Che cosa fa davvero l'eliminazione
In un file system tradizionale un file è descritto da metadati: una voce di directory e un record che punta ai blocchi con il suo contenuto. L'eliminazione ordinaria rimuove o contrassegna quel record e restituisce i blocchi all'elenco dello spazio libero. I blocchi restano intatti, quindi il contenuto sopravvive integro come remanenza dei dati finché il file system non assegna quello spazio ad altro. Su un volume poco utilizzato questo potrebbe non accadere mai; su uno molto attivo può accadere in pochi minuti. Quindi «eliminato» descrive la visibilità del file, non la presenza dei suoi dati.
Le fasi dell'eliminazione
Solo l'ultima fase, la pulizia sicura, distrugge davvero i dati, ed è l'unica che si può documentare come distruzione.
- 1
Cestino
Il file viene spostato, non eliminato. Resta visibile e può essere ripristinato.
- 2
Cestino svuotato
La voce di directory viene rimossa. Il contenuto resta come spazio non allocato.
- 3
Sovrascritto
Nuovi dati vengono scritti su parte o su tutti i blocchi originali. Il recupero diventa parziale e poi impossibile.
- 4
Cancellato in modo sicuro
Il contenuto viene distrutto deliberatamente: con la sovrascrittura, con la cancellazione crittografica della chiave che lo protegge o con un comando di sanitizzazione del dispositivo.
Il recupero e perché funziona
Il contenuto sopravvive ai propri metadati, perciò gli strumenti di recupero analizzano lo spazio non allocato alla ricerca di strutture riconoscibili, come firme di file, intestazioni e formati noti. Ricostruiscono i file senza alcuna informazione di directory, con una tecnica chiamata file carving. L'informatica forense si basa su questo: documenti eliminati, frammenti di messaggi e immagini sono ritrovamenti abituali. La stessa caratteristica rende l'eliminazione ordinaria un controllo inadeguato quando un dispositivo lascia l'organizzazione, e questo apre la strada al furto di dati.
Dove le copie sopravvivono al file
Anche un file cancellato in modo sicuro può sopravvivere altrove, perché i sistemi moderni duplicano il contenuto automaticamente, spesso tramite backup e servizi di sincronizzazione. Un'eliminazione efficace inizia quindi da un inventario: occorre sapere dove esistono i dati, non solo come cancellare una singola copia.
| Tipo di copia | Cosa resta |
|---|---|
| Backup e snapshot | Copie realizzate prima dell'eliminazione, spesso soggette a piani di conservazione |
| Cronologia delle versioni | Versioni precedenti conservate da file system, piattaforme documentali e cloud |
| Sincronizzazione | Copie su altri dispositivi e account cloud, ciascuna con il proprio comportamento |
| Cache e anteprime | Miniature, file di salvataggio automatico e voci di indice con contenuto estratto |
| Code di stampa e journal | Log di database e journal di sistema che hanno registrato il contenuto |
La tecnologia di memorizzazione cambia la meccanica
Sui supporti flash (SSD, eMMC, schede di memoria) il controller gestisce internamente la collocazione dei dati tramite livellamento dell'usura e sovraprovisionamento. Una scrittura richiesta dal sistema operativo può quindi non raggiungere le celle fisiche che contenevano i dati originali. Per questo la sovrascrittura settore per settore non è affidabile su questi supporti. Gli approcci accettati sono il comando di sanitizzazione o di cancellazione sicura del dispositivo, oppure la cancellazione crittografica: cifrare il supporto fin dall'inizio e distruggere la chiave, rendendo inutilizzabile in un solo passaggio tutto il testo cifrato residuo. La distruzione fisica resta l'ultima opzione per i supporti che non si possono verificare né considerare affidabili.
L'eliminazione come obbligo
Le normative sulla protezione dei dati impongono di non conservare i dati più a lungo del necessario. Il GDPR riconosce alle persone il diritto alla cancellazione in circostanze definite. Piani di conservazione, procedure di cancellazione verificabili e documentazione dello smaltimento dei supporti aiutano le organizzazioni a rispettare questi obblighi. Inoltre, notebook, dischi e telefoni dismessi non devono lasciare l'organizzazione con dati ancora recuperabili.
Un comando di eliminazione rimuove solo un riferimento. Solo una distruzione documentata cancella davvero i dati.
Anexet Team