Técnica de Saneamiento de Datos

En el lenguaje cotidiano, método y técnica se usan como sinónimos. En el trabajo operativo la diferencia importa. Un método de sanitización nombra la acción y el nivel que debe alcanzar: borrar, purgar o destruir, según la escala del NIST SP 800-88. Una técnica de sanitización es el mecanismo concreto que ejecuta esa acción sobre un medio específico: sobrescribir sectores, desmagnetizar dominios magnéticos, invocar la función de borrado del controlador, destruir una clave de cifrado o triturar el dispositivo.

La consecuencia es práctica. La política se escribe en métodos y la ejecución ocurre en técnicas. Una política puede exigir que se purguen los discos de los empleados que se van, pero quien elige el mecanismo es el ingeniero que tiene en las manos un SSD dañado. Una misma técnica puede incluso servir a dos métodos: la desmagnetización purga un disco magnético y, al mismo tiempo, lo destruye.

Cinco mecanismos cubren casi toda la sanitización práctica, y cada uno tiene una base física que determina dónde funciona. En un disco magnético en buen estado, una sola pasada de sobrescritura impide la recuperación por software. Las pasadas adicionales agregan tiempo, no certeza.

Cada mecanismo enfrenta una forma distinta de remanencia: los datos que sobreviven en el medio después de un borrado común.

Lo que hace correcta a una técnica no es su fuerza en el papel, sino la física del medio. Una pasada de sobrescritura que no deja nada recuperable en un disco duro no llega a las celdas que el controlador de un SSD sacó de la vista.

La memoria flash no tolera la sobrescritura. El wear leveling y el over-provisioning mantienen parte de las celdas físicas fuera del espacio de direcciones del host, fuera del alcance de cualquier comando de escritura. La técnica de referencia para los SSD es la función sanitize del controlador o el borrado criptográfico. Una unidad demasiado dañada para ejecutar cualquiera de las dos va directo a la destrucción.

El almacenamiento en la nube falla ante cualquier técnica física por la razón opuesta: el inquilino nunca toca el medio. Si los bloques de un volumen eliminado se ponen en cero antes de reutilizarse, depende de la plataforma. Por eso el borrado es criptográfico, mediante la destrucción de la clave, o contractual, según los compromisos del proveedor.

Cada medio descarta algunas técnicas. El signo ✓ marca una técnica que funciona en ese medio y el ✗ una que falla o no puede aplicarse. El borrado criptográfico solo cuenta cuando el medio se cifró desde el primer uso. En los SSD, la segunda técnica de referencia es la función sanitize del controlador.

Una técnica se juzga según la fuerza que exige su método. El borrado debe vencer las herramientas comunes de recuperación por software. La purga debe volver inviable la recuperación incluso en un laboratorio. La destrucción debe vencer a cualquiera. Una sobrescritura suficiente para reutilizar una laptop dentro de la empresa resulta insuficiente cuando la laptop se vende. La técnica es la misma, pero el veredicto cambia porque cambió el destino.

Ejecutar sin verificar es una suposición, no una sanitización. Después de sobrescribir, se lee una muestra del espacio para confirmar que no vuelve nada reconocible. Un borrado por bloques registra su estado de finalización. La destrucción se documenta con número de serie, método y cadena de custodia. Dentro de un programa de sanitización de medios, cada uno de esos registros se conserva junto con el trabajo. Una unidad que deja de aceptar comandos a mitad de una sobrescritura va a la destrucción.

La mayoría de los fallos vienen de aplicar una técnica a un medio para el que nunca fue diseñada. Las sobrescrituras múltiples en un SSD lo desgastan, mientras las celdas retiradas conservan sus datos. Desmagnetizar flash o medios ópticos no sirve de nada. Triturar un SSD de forma gruesa puede dejar fragmentos con datos legibles, así que el tamaño de partícula debe corresponder a la densidad de área. También son frecuentes los formateos rápidos presentados como sanitización, los borrados criptográficos con una segunda copia viva de la clave en un respaldo y los volúmenes en la nube que se dan por limpios porque la consola mostró «eliminado». Cada técnica se ejecutó con honestidad y no demostró nada. El medio decide el resultado, no el esfuerzo.

Entre la política y la acción hay una decisión de ingeniería que sopesa las restricciones prácticas frente a la fuerza requerida. Revise los puntos en este orden:

1. 1

   Confirme el medio

   Identifique el tipo de almacenamiento y si el medio todavía acepta comandos. Un disco que no responde solo tiene una técnica disponible: la destrucción.

2. 2

   Asocie la técnica

   Con la tabla, descarte las técnicas que el medio no soporta, como la sobrescritura en flash.

3. 3

   Evalúe el tiempo

   La sobrescritura toma horas por terabyte; el borrado criptográfico, segundos.

4. 4

   Revise la gestión de claves

   El borrado criptográfico supone cifrado desde el primer uso y ninguna copia residual de la clave en respaldos o en custodia.

5. 5

   Considere costo y ubicación

   Los desmagnetizadores y las trituradoras son costosos, y la destrucción elimina el valor de reúso. Una sucursal sin ese equipo depende del borrado por software o de la custodia por mensajería.

Empiece por el medio, no por la herramienta. Enumere los dispositivos que salen de su organización, el tipo de almacenamiento de cada uno y la técnica que funciona en él. Trate un archivo eliminado como si todavía estuviera presente hasta que se ejecute una de estas técnicas.

Un borrado solo está completo cuando el registro lo confirma. Guarde, para cada dispositivo, el método, la técnica, el número de serie y la persona que aprobó el resultado.