Remanencia de datos

Cuando un usuario borra un archivo, el sistema operativo normalmente elimina solo la entrada del archivo en el índice y marca el espacio como libre. Los bits reales permanecen en el soporte hasta que otros datos los sobrescriban, algo que puede no ocurrir nunca. Hasta entonces, un archivo borrado a menudo puede recuperarse con herramientas de uso común. Vaciar la papelera o formatear rápidamente un volumen cambian poco, porque ambas acciones actúan sobre el índice y no sobre los datos.

Sobrescribir funciona bien en soportes magnéticos, aunque pueden quedar restos tenues en los bordes de las pistas. Los soportes flash son más difíciles de controlar: el controlador reubica los datos entre celdas, y el comando TRIM solo indica que los bloques ya no se necesitan, sin garantía. En la RAM, el escenario de «cold boot» puede extraer claves de cifrado de una máquina en funcionamiento.

Como la remanencia no puede darse por inexistente, las prácticas de saneamiento de soportes la eliminan de forma deliberada. Incluyen la sobrescritura de todo el soporte cuando lo permite, los comandos secure erase y purge del fabricante integrados en el dispositivo, la desmagnetización y la trituración física de los soportes que salen de la organización.

En los SSD, el enfoque práctico es el borrado criptográfico: destruir la clave de cifrado hace irrecuperable el texto cifrado restante. Las guías de ciclo de vida, como la NIST SP 800-88, relacionan el método de saneamiento con el soporte y con la sensibilidad de los datos que contenía.

La remanencia convierte cada portátil retirado, servidor vendido o disco alquilado devuelto en una posible divulgación de datos. Documentos confidenciales, credenciales y claves se han recuperado repetidamente de almacenamiento de segunda mano. Por eso, el saneamiento de soportes es una expectativa básica en las auditorías de seguridad y en los marcos de protección de datos.

La remanencia también existe en la nube y en el almacenamiento virtualizado. Solo sale de las manos del cliente. Cuando se borra un disco virtual, sus bloques vuelven a un grupo compartido, y que se pongan a cero antes de reasignarlos depende de la plataforma. Las instantáneas, los clones y los volúmenes de aprovisionamiento fino multiplican los lugares donde existe un bloque. Por eso, los clientes suelen cifrar todo desde el principio y consideran la destrucción de la clave como el evento de borrado, el único paso que controlan por completo. En los servicios gestionados, la garantía de saneamiento es contractual: qué se compromete a hacer el proveedor al liberar un volumen y qué pruebas aporta.

Un saneamiento que no puede demostrarse no satisface a un auditor. Los procesos maduros de eliminación siguen tres pasos. El registro resultante también se convierte en la pista de evidencia si más tarde se descubre que un dispositivo salió de la organización con datos.

1. 1

   Registrar cada dispositivo

   Anote el número de serie, la clasificación de los datos, el método, la herramienta y su versión, el operador y la fecha.

2. 2

   Verificar el resultado

   Realice una lectura por muestreo que confirme que las áreas direccionables no devuelven datos reconocibles.

3. 3

   Destruir lo que no se puede verificar

   Si la verificación es imposible, como en un disco que ya no acepta comandos, la destrucción física es la alternativa documentada.

Cada dispositivo necesita un registro que perdure hasta su eliminación. En el inventario de hardware, la ficha del dispositivo guarda el número de serie, el estado y la persona responsable, de modo que cada equipo puede vincularse con su registro de eliminación. Mantener ese registro forma parte de la gestión de activos de TI.

Los errores comunes incluyen formatear rápidamente un volumen y dar por hecho que está limpio, o aplicar sobrescrituras de varias pasadas a un SSD y suponer que se alcanzaron todas las celdas. También es frecuente sanear el portátil y olvidar el teléfono, la cinta de respaldo o el disco de repuesto guardado en un cajón. La brecha más peligrosa es el periodo entre la retirada y la eliminación, cuando la mayoría de los dispositivos desaparecen de verdad.