Cosa comprende il termine
La sanitizzazione dei supporti si applica ogni volta che un supporto di memorizzazione esce dal controllo del suo proprietario. Un portatile viene rivenduto, un server in leasing viene restituito, una chiavetta USB passa da un progetto all'altro, un disco guasto torna al fornitore e i nastri di backup raggiungono la fine del periodo di conservazione. In ogni caso, il detentore successivo non deve poter recuperare ciò che vi aveva memorizzato il precedente.
Il termine copre molto più dei computer, perché la memoria si nasconde in dispositivi che nessuno considera dischi: dischi interni ed esterni, chiavette USB, schede di memoria e SSD portatili, smartphone e tablet con memoria flash integrata, nastri e dischi ottici, oltre al disco o modulo flash interno di stampanti, scanner e apparati di rete. Ogni supporto rimovibile che cambia mano richiede la stessa decisione.
Clear, Purge o Destroy
La sanitizzazione non è un unico livello di robustezza, ma una scala. Lo standard NIST SP 800-88 ne nomina i tre gradini, e la scelta giusta dipende dalla sensibilità dei dati e dalla destinazione del supporto: ritorno in un ambiente simile, passaggio a un ambiente meno affidabile oppure uscita definitiva dall'organizzazione. Ogni gradino è un metodo di sanitizzazione con limiti propri.
| Esito | Cosa fa | Uso tipico |
|---|---|---|
| Clear (Cancellazione) | Sovrascrive i dati in modo che gli strumenti di recupero comuni non funzionino | Supporto riutilizzato all'interno dell'organizzazione con lo stesso livello di sensibilità |
| Purge (Epurazione) | Rimuove i dati in modo che il recupero sia impraticabile anche con tecniche di laboratorio | Supporto che lascia l'organizzazione o passa a un uso meno sensibile |
| Destroy (Distruzione) | Rende il supporto illeggibile e inutilizzabile: distruzione meccanica, incenerimento, disintegrazione | Supporto guasto, non scrivibile o molto sensibile da smaltire |
Perché cancellare non è sanitizzare
Quando un sistema operativo elimina un file, rimuove la voce del file system che punta ai dati e segna lo spazio come libero. I byte restano sul supporto finché lo spazio non viene riutilizzato, e fino ad allora spesso possono essere recuperati con strumenti largamente disponibili. Questi residui si chiamano remanenza. Anche una formattazione rapida non è più efficace, perché riscrive l'indice e non necessariamente l'area dei dati.
La sanitizzazione deve raggiungere anche i dati che il sistema attuale non vede: settori rimappati su un disco in via di guasto, l'area di over-provisioning di un SSD, partizioni lasciate da installazioni precedenti e lo spazio residuo alla fine di blocchi sovrascritti solo in parte. Per questo agisce sul supporto stesso ed è un passo obbligatorio prima che qualunque supporto cambi mano.
Cosa rende difficile la memoria flash
La sovrascrittura, tecnica classica di cancellazione, è nata per i dischi magnetici, dove l'host indirizza direttamente ogni settore. La memoria flash smentisce questa ipotesi. Il wear leveling e l'over-provisioning fanno sì che il controller scriva su celle invisibili all'host, quindi un passaggio di sovrascrittura non può garantire di aver raggiunto ogni copia fisica del dato. Per SSD, chiavette USB e smartphone la sanitizzazione si affida perciò ai comandi nativi del dispositivo o alla cancellazione crittografica, che distrugge la chiave di cifratura invece dei dati.
La cancellazione crittografica è rapida e completa quando il supporto è stato cifrato fin dal primo giorno di uso, ma è affidabile solo quanto la gestione delle chiavi che la sostiene. Una chiave depositata presso terzi, copiata o trafugata può annullare la cancellazione. Per i supporti che non possono eseguire un comando di sanitizzazione e non sono mai stati cifrati, la distruzione fisica è di solito l'unica risposta difendibile.
Verifica e registrazione
Un'operazione di sanitizzazione che non può essere documentata, agli occhi di un revisore, non è avvenuta. I programmi maturi trattano l'azione e la sua registrazione come un unico controllo. L'operatore esegue la tecnica, verifica a campione che i dati siano spariti e rilascia un certificato. Quando lo smaltimento è affidato a terzi, la catena di custodia e i certificati del fornitore entrano nella documentazione. La sequenza tipica è questa:
- 1
Esecuzione della tecnica
L'operatore applica al supporto il metodo di sanitizzazione scelto.
- 2
Verifica a campione
Un campione conferma che i dati non sono più recuperabili.
- 3
Emissione del certificato
Il certificato indica supporto, tecnica, strumento, operatore, data ed esito.
Sapere quali supporti esistono
Un certificato può indicare solo un supporto che qualcuno ha registrato. Anexet Inventory tiene una scheda per ogni dispositivo, con tipo, produttore, numero di serie, stato e posizione, così il numero di serie riportato nel certificato corrisponde a una voce dell'inventario. Anexet non sanitizza i supporti: fornisce l'inventario su cui si basa il registro di sanitizzazione.
Dove si colloca la sanitizzazione nella policy
La sanitizzazione è un controllo del ciclo di vita, non un evento isolato. Collega l'inventario degli asset, che sa quali supporti esistono e dove si trovano, alla classificazione dei dati, che stabilisce quanto forte deve essere la sanitizzazione, e al piano di conservazione, che stabilisce quando termina il periodo di conservazione dei dati.
Requisiti scritti compaiono in diversi framework. Lo standard NIST SP 800-88 tratta direttamente l'argomento, la norma ISO/IEC 27001 richiede una gestione documentata dei supporti fino allo smaltimento, e le regole di settore per i dati delle carte di pagamento e sanitari prevedono anch'esse uno smaltimento controllato. In azienda il proprietario dei dati classifica, l'IT esegue e la sicurezza verifica. La policy definisce inoltre i valori predefiniti per le uscite più comuni: riuso interno, restituzione di apparecchiature in leasing, rivendita, riciclo e distruzione.
Un disco dismesso è una fuga di dati che non è ancora avvenuta. La sanitizzazione fa in modo che non avvenga.
Anexet Team