Saneamiento de Datos (sanitization)

La eliminación común es un acto contable. El sistema operativo quita la entrada del archivo del índice del sistema de archivos y marca el espacio como disponible, pero los bytes subyacentes permanecen en el medio hasta que algo los sobrescribe. A esos restos se les llama remanencia. El saneamiento apunta a los datos mismos, no al índice. Aplica técnicas físicas o lógicas que no dejan nada recuperable, ya sea porque el medio se vaya a vender, devolver a un arrendador, trasladar entre entornos de distinta sensibilidad o desechar.

En el uso cotidiano, borrar, limpiar y eliminar se emplean de forma imprecisa y a menudo como sinónimos. Las guías formales hacen lo contrario y definen cada término antes de usarlo, porque la diferencia entre un formateo rápido y una purga verificada es la diferencia entre una filtración de datos y un desecho limpio.

El marco de referencia es la NIST Special Publication 800-88, Guidelines for Media Sanitization. Define tres acciones de fuerza creciente:

1. 1

   Limpieza (Clear)

   Sobrescribe el almacenamiento direccionable con un patrón fijo mediante comandos estándar de lectura y escritura. Protege frente a la recuperación con herramientas de software comunes, siempre que el medio permanezca en un entorno controlado.

2. 2

   Purga (Purge)

   Aplica técnicas avanzadas, como la desmagnetización, el borrado por bloques o el borrado criptográfico, de modo que la recuperación resulte inviable. Protege frente a técnicas de laboratorio de última generación.

3. 3

   Destrucción (Destroy)

   Deja el medio físicamente inutilizable mediante trituración, desintegración, pulverización o incineración. Protege frente a cualquier intento, al costo del propio medio.

Tres factores determinan el escalón: la confidencialidad de los datos que contiene el medio, si el medio permanecerá dentro de la organización o saldrá de ella, y qué soporta técnicamente. El cifrado cambia la ecuación. En una unidad cifrada bien gestionada, el borrado criptográfico, es decir, la destrucción de la clave, logra en segundos una protección equivalente a la purga. Por eso NIST recomienda cifrar los datos desde el momento en que se escriben y tratar la destrucción de la clave como un método de saneamiento de pleno derecho. Una técnica eficaz en una tecnología de almacenamiento puede no servir en otra:

• Discos y cintas magnéticas: la sobrescritura directa suele ser eficaz. La desmagnetización elimina por completo los dominios magnéticos y deja el medio inutilizable.
• Medios flash (SSD, unidades USB): el nivelado de desgaste y el sobreaprovisionamiento mantienen celdas fuera del control del host. Por eso se prefieren los comandos de saneamiento nativos de la unidad o el borrado criptográfico.
• Dispositivos móviles e integrados: las funciones de restablecimiento varían en fuerza y pueden no alcanzar el almacenamiento extraíble. Cada componente requiere su propio tratamiento.
• Medios ópticos: no pueden sobrescribirse. La destrucción es la única opción fiable.
• Unidades fallidas o dañadas: un medio que ya no acepta comandos no puede verificarse, así que la destrucción física documentada es la alternativa.

La misma palabra se usa a nivel de registros y no de medios: sanear una base de datos, un buzón de correo o un inquilino en la nube al final de un periodo de retención. Aquí la dificultad es la completitud, no la física. El registro puede sobrevivir en réplicas, registros de transacciones, índices de búsqueda, extracciones de almacenes de datos y copias de seguridad hechas antes de ejecutar el saneamiento. Las copias que no pueden editarse de forma selectiva suelen gestionarse dejando que la retención expire. Esto debe indicarse de forma explícita en el calendario de retención y no dejarse implícito.

El almacenamiento en la nube añade una dimensión contractual. Cuando un volumen eliminado devuelve sus bloques a un fondo compartido, si esos bloques se ponen a cero antes de reasignarse depende de la plataforma, no del inquilino. El compromiso de saneamiento del proveedor, es decir, qué hace al liberar un volumen y qué evidencias produce, pasa a formar parte del acuerdo de servicio.

Un saneamiento que no puede demostrarse no satisface a un auditor. Los procesos de desecho maduros registran para cada dispositivo los datos que siguen. Cuando el desecho se subcontrata, la cadena de custodia y los certificados del proveedor se suman al registro. El inventario resultante responde a la pregunta que los reguladores formulan tras un incidente: ¿cómo sabe la organización que ningún dispositivo salió de su control con datos todavía a bordo?

En Anexet Inventory, cada dispositivo tiene una ficha con tipo, fabricante, número de serie, número de inventario, estado y ubicación. El inventario de hardware es el punto de partida del registro: muestra qué equipo es cuál antes de que cualquiera salga del edificio.

La mayoría de los fallos de saneamiento son de proceso, no técnicos. Lo que mantiene cerradas esas brechas es tratar el saneamiento como una etapa programada del ciclo de vida, con un responsable designado, y no como una tarea improvisada en el momento del desecho. Entre los fallos típicos están:

• Formatear rápidamente un volumen y darlo por saneado.
• Aplicar sobrescrituras de varias pasadas a un SSD cuyas celdas retiradas conservan los datos antiguos.
• Sanear el portátil y olvidar el teléfono, las cintas de copia de seguridad o las unidades de repuesto en un cajón.
• Perder el rastro del medio entre la baja de servicio y el desecho, el intervalo en que los dispositivos suelen extraviarse con más frecuencia. Un registro de gestión de activos de TI sirve precisamente para cerrar esa brecha.

Empiece por los medios que contienen los datos más sensibles y por los que salen de la organización, como portátiles arrendados y discos devueltos. Después incluya las copias de seguridad y los repuestos que nunca aparecieron en el inventario.