Che cos'è la pulizia sicura
La pulizia sicura (purge) è la rimozione permanente e irreversibile dei dati da un supporto di memorizzazione, in modo che il recupero sia impossibile anche con tecniche di laboratorio avanzate. I dati residui che sopravvivono a una cancellazione ordinaria si chiamano remanenza, ed è proprio questo che la pulizia sicura intende eliminare.
Oltre la pulizia sicura c'è la distruzione fisica, come la triturazione o l'incenerimento, che rende inutilizzabile anche il supporto. La pulizia sicura invece lascia il dispositivo funzionante, quindi è adatta ai supporti che resteranno in uso.
Pulizia sicura, eliminazione e clearing
Quando un utente elimina un file, il sistema operativo rimuove il suo nome dall'indice del file system e segna lo spazio come libero. I byte di un file eliminato restano sul supporto finché non vengono sovrascritti per caso, e gli strumenti standard spesso possono recuperarli fino a quel momento.
Il clearing sovrascrive i dati una sola volta con uno schema fisso, il che protegge dal recupero con software comune. La pulizia sicura è più forte, perché rende il recupero impossibile anche con tecniche di laboratorio. La tabella mostra da cosa protegge ciascun livello.
| Protegge da | Eliminazione | Clearing | Pulizia sicura |
|---|---|---|---|
| Recupero con software comune | |||
| Recupero in laboratorio |
NIST SP 800-88
Il riferimento è la NIST Special Publication 800-88, Guidelines for media sanitization. Definisce la scala clear-purge-destroy e associa ai diversi tipi di supporto (dischi magnetici, SSD, nastri, memorie flash, dispositivi mobili) le tecniche appropriate. I metodi di pulizia riconosciuti includono:
| Metodo | Come funziona | Limite |
|---|---|---|
| Sovrascrittura | Scrive uno schema su tutta l'area indirizzabile, storicamente in più passaggi | Inaffidabile sui supporti flash |
| Cancellazione a blocchi | Un comando del firmware cancella tutte le aree utente, comprese quelle che il sistema non può indirizzare | Dipende dal firmware del disco |
| Cancellazione crittografica | Distrugge la chiave di cifratura, rendendo il testo cifrato illeggibile | Efficace quanto la distruzione della chiave |
Quando si applica la pulizia sicura
La pulizia sicura si applica in momenti precisi della vita di un supporto, non dopo ogni eliminazione:
- prima che un disco, un portatile, un telefono o un nastro lasci l'organizzazione, ad esempio in caso di vendita, donazione, riciclo o restituzione di apparecchiature in leasing
- quando un supporto passa tra ambienti con livelli di sensibilità diversi
- quando i dati superano il periodo di conservazione invece di restare dove sono, come nei dati obsoleti di cui nessuno ha più bisogno
- nella risposta agli incidenti, quando i dati sono finiti su un sistema meno protetto
Limiti pratici
La sovrascrittura è inaffidabile sui supporti flash. Wear leveling e over-provisioning impediscono all'host di garantire che ogni cella fisica sia stata riscritta. Per questo sugli SSD si preferiscono i comandi sanitize nativi del disco o la cancellazione crittografica, che però è solida quanto il processo di distruzione della chiave che la sostiene.
La pulizia sicura riguarda un singolo supporto. Backup, snapshot e copie shadow possono ancora contenere i dati e richiedono un trattamento equivalente. Il termine vale anche per i dati logici, come i record rimossi da un database, da una casella di posta o da un archivio alla fine del periodo di conservazione.
Qui la difficoltà sta nella completezza, non nella fisica. Un record può sopravvivere in repliche, log delle transazioni, indici di ricerca, estrazioni dei data warehouse, report in cache e backup precedenti. Una pulizia logica coordina quindi le azioni su tutte le copie. Per i backup che non possono essere modificati in modo selettivo, la soluzione abituale è la scadenza della conservazione, indicata esplicitamente nel piano di conservazione.
Come appare in Anexet
La pulizia logica compare anche nella console di Anexet DLP. La finestra di eliminazione degli incidenti rimuove gli incidenti più vecchi di un numero di giorni impostato, conserva soltanto gli ultimi N oppure elimina tutto ciò che precede una data scelta. La scheda di archiviazione dei dati del Reports Server stabilisce per quanto tempo vengono conservati i dati raccolti, qui gli ultimi 180 giorni.
1 / 2
Scegliere un metodo
La decisione dipende da tre elementi: la sensibilità dei dati presenti sul supporto, il fatto che il supporto venga riutilizzato dentro o fuori dall'organizzazione e ciò che il supporto supporta fisicamente. Gli errori nascono quando questi elementi si mescolano, ad esempio applicando un metodo pensato per il riutilizzo a un dispositivo che verrà venduto, oppure distruggendo hardware ancora utilizzabile senza necessità.
- 1
Classificare i dati
Stabilisci innanzitutto quanto siano sensibili i dati presenti sul supporto.
- 2
Verificare il percorso di riutilizzo
Chiarisci se il supporto resterà in un ambiente con la stessa sensibilità o lascerà l'organizzazione.
- 3
Abbinare il metodo
La distruzione è adatta ai supporti sensibili che lasciano l'organizzazione. Il comando sanitize nativo del disco è adatto al riutilizzo allo stesso livello, la cancellazione crittografica ai supporti cifrati con chiavi ben gestite.
Prove e responsabilità
La verifica è importante perché le politiche aziendali e i revisori di solito richiedono la prova che la bonifica sia riuscita. Per questo la remanenza viene controllata a posteriori.
Poiché la pulizia sicura è irreversibile, richiede autorizzazione e registrazione. I controlli tipici prevedono un approvatore nominativo e la verifica che nessun vincolo legale né indagine in corso copra i dati. Richiedono anche un certificato che riporti il supporto o l'insieme di dati, il metodo, l'operatore, la data e l'esito della verifica. Quando lo smaltimento è affidato all'esterno, la catena di custodia e i certificati di distruzione del fornitore diventano parte di questa documentazione.
La pulizia sicura non si può annullare, quindi il certificato che la dimostra fa parte della pulizia stessa.
Anexet Team