Un término, varias técnicas
El saneamiento es la práctica, y su objetivo es que no queden datos recuperables cuando un soporte se reutiliza, se destina a otro fin o se desecha. El método de saneamiento es la forma en que se logra ese objetivo en un dispositivo concreto: el mecanismo específico que ejecuta un operador.
La diferencia importa. Los métodos varían según la tecnología de almacenamiento en la que funcionan, la fuerza de la protección que dan, si el soporte sobrevive y cómo puede demostrarse el resultado después.
Los métodos se dividen en dos familias. Los lógicos (sobrescritura, borrado en bloque, borrado criptográfico) actúan sobre los datos mediante software o el controlador, así que el soporte puede seguir reutilizándose. Los físicos (desmagnetización y destrucción) actúan sobre el propio soporte y ponen fin a su vida útil.
La NIST Special Publication 800-88 asigna cada método a uno de tres niveles de resultado. Clear frena la recuperación habitual por software. Purge frena las técnicas de laboratorio más avanzadas. Destroy retira el soporte del uso por completo.
Los cinco métodos reconocidos
Las guías formales y la práctica del sector coinciden en cinco métodos. Cada uno corresponde a una clase de soporte y alcanza un nivel de resultado:
| Método | Cómo funciona | Resultado | Soportes típicos |
|---|---|---|---|
| Sobrescritura | Escribe un patrón fijo en cada ubicación direccionable | Clear | Discos magnéticos en funcionamiento |
| Borrado en bloque | Un comando del controlador borra celdas flash, incluidas las que el host no alcanza | Purge | SSD, memorias USB, almacenamiento embebido |
| Borrado criptográfico | Destruye la clave de cifrado, de modo que los datos quedan ilegibles | Purge | Unidades cifradas y soportes flash |
| Desmagnetización | Un campo magnético intenso colapsa los dominios que retienen los datos | Purge | Discos duros y cintas magnéticas |
| Destrucción física | Triturado, desintegración, pulverización o incineración dejan el soporte inutilizable | Destroy | Cualquier soporte, incluidas unidades averiadas |
Cómo se comporta cada método en la práctica
La tabla no recoge las diferencias prácticas, y suelen ser ellas las que deciden una política de baja.
Sobrescritura: una sola pasada con un patrón conocido basta para discos magnéticos modernos, pero el soporte debe estar totalmente operativo. La pasada no alcanza sectores reasignados ni espacio que el host nunca direccionó, por eso la sobrescritura se clasifica como clear y no como purge.
Borrado en bloque: el propio controlador de la unidad ejecuta la operación de saneamiento. Puede borrar celdas que el sistema operativo nunca ve, incluidas las áreas sobreaprovisionadas. El comando tiene que completarse con éxito para contar.
Borrado criptográfico: es casi instantáneo, sea cual sea la capacidad. Su fiabilidad depende de la gestión de claves. Una clave custodiada, respaldada o filtrada puede deshacer el borrado, así que el inventario de claves importa tanto como el comando.
Desmagnetización: una sola exposición borra todo lo magnético, incluidos el firmware y los datos de servo, de modo que el soporte nunca vuelve a funcionar. No afecta a soportes flash ni ópticos, por lo que no sirve como método general.
Destrucción física: es la única opción fiable para soportes que no pueden ejecutar comandos, como unidades averiadas o discos ópticos. Es la elección habitual para los datos más sensibles. La protección depende del tamaño de partícula que alcance el equipo.
Cómo elegir un método
Elegir un método consiste en hacer coincidir condiciones, no en ordenar por fortaleza. Una política práctica fija las condiciones y deja que el método se derive de ellas:
- 1
Tecnología del soporte
Determina qué métodos son posibles. La sobrescritura sirve para discos magnéticos, el borrado en bloque para flash, la desmagnetización solo para soportes magnéticos y la destrucción para todo.
- 2
Sensibilidad de los datos
Cuanto más alta es la clasificación, más alto es el nivel de resultado que exige la política. Los datos menos sensibles pueden bastar con clear; los regulados suelen requerir purge o destroy.
- 3
Destino siguiente del soporte
Reutilizarlo en el mismo nivel de sensibilidad permite clear. Trasladarlo a un entorno menos fiable o darlo de baja exige purge o destroy.
- 4
Estado del soporte
Una unidad que ya no acepta comandos no puede sanearse lógicamente. Pasa directamente a la desmagnetización o a la destrucción.
- 5
Cifrado desde el primer uso
En una unidad cifrada bien gestionada, destruir la clave logra protección de nivel purge en segundos. Por eso se recomienda cifrar los datos desde el momento de la escritura.
- 6
Restricciones prácticas
Volumen, tiempo, coste del equipo y capacidad de verificar el resultado. Un método rápido que no puede demostrarse es, en la práctica, más débil que uno más lento que sí puede hacerlo.
Dos casos habituales
Dos combinaciones cubren la mayoría de las decisiones. Un disco magnético en buen estado que permanece en la organización se sanea a clear por sobrescritura. Cualquier soporte que salga de ella, ya sea vendido, devuelto al arrendador o reciclado, pasa por purge o destroy según la clasificación de los datos que contenía.
Verificación y registros
Con cualquier método, un resultado sin verificar es solo una suposición. La sobrescritura y el borrado en bloque se verifican tomando muestras del soporte y comprobando que no aparecen datos reconocibles. El borrado criptográfico se verifica confirmando que la clave ha desaparecido de todos los lugares donde se guardaba, incluidas copias de seguridad y custodias. La destrucción se verifica con el tamaño de partícula nominal del equipo y con testigos o certificados. Una verificación fallida devuelve el soporte al mismo método o lo escala hasta la destrucción.
Los programas maduros registran, por dispositivo, el número de serie, la clasificación de los datos, el método y la herramienta aplicados, el operador, la fecha y el resultado de la verificación. Así, cuando se cuestionen unidades dadas de baja años después, la organización puede demostrar qué soporte se sanó y cómo, sin depender de la memoria.
Un método de saneamiento solo vale lo que el registro que demuestra su ejecución.
Anexet Team