Remanenza dei dati

Quando un utente elimina un file, il sistema operativo di norma rimuove solo la voce del file nell’indice e contrassegna lo spazio come libero. I bit restano sul supporto finché altri dati non li sovrascrivono, cosa che potrebbe non accadere mai. Fino ad allora un file eliminato spesso può essere recuperato con strumenti molto diffusi. Svuotare il Cestino o formattare rapidamente un volume cambia poco, perché entrambe le operazioni agiscono sull’indice e non sui dati.

La sovrascrittura è in genere efficace sui supporti magnetici, anche se ai bordi delle tracce possono restare segni deboli. I supporti flash sono più difficili da controllare: il controller sposta i dati tra le celle, e il comando TRIM segnala soltanto che i blocchi non servono più, senza garanzie. Nella RAM, lo scenario del «cold boot» può estrarre chiavi di crittografia da una macchina in funzione.

Poiché la remanenza non può essere considerata inesistente, esistono pratiche di sanitizzazione dei supporti che la eliminano deliberatamente. Comprendono la sovrascrittura dell’intero supporto dove è consentita, i comandi secure erase e purge del produttore integrati nel dispositivo, la smagnetizzazione e la distruzione fisica dei supporti che lasciano l’organizzazione.

Per gli SSD l’approccio pratico è la cancellazione crittografica: distruggere la chiave di crittografia rende irrecuperabile il testo cifrato residuo. Le linee guida sul ciclo di vita, come la NIST SP 800-88, abbinano il metodo di sanitizzazione al supporto e alla riservatezza dei dati che conteneva.

La remanenza trasforma ogni laptop dismesso, server venduto o disco noleggiato restituito in una possibile divulgazione di dati. Documenti riservati, credenziali e chiavi sono stati recuperati più volte da supporti di seconda mano. Per questo la sanitizzazione è un requisito di base negli audit di sicurezza e nei regimi di protezione dei dati.

La remanenza non scompare nel cloud o nello storage virtualizzato: esce semplicemente dalle mani del cliente. Quando un disco virtuale viene eliminato, i suoi blocchi tornano a un pool condiviso, e se vengano azzerati prima della riassegnazione dipende dalla piattaforma. Snapshot, cloni e volumi thin provisioning moltiplicano i punti in cui esiste un dato blocco. Per questo i tenant di solito cifrano tutto fin dall’inizio e considerano la distruzione della chiave come l’evento di cancellazione, l’unico passo che controllano del tutto. Nei servizi gestiti la garanzia di sanitizzazione è contrattuale: cosa si impegna a fare il provider quando un volume viene rilasciato e quali evidenze fornisce.

Una sanitizzazione che non si può dimostrare non soddisfa un revisore. I processi di dismissione maturi seguono tre passaggi. Il fascicolo che ne deriva diventa anche la traccia di prova se in seguito si scopre che un dispositivo ha lasciato l’organizzazione con dei dati.

1. 1

   Registrare ogni dispositivo

   Annotare numero di serie, classificazione dei dati, metodo, strumento e versione, operatore e data.

2. 2

   Verificare il risultato

   Eseguire una rilettura a campione che confermi che le aree indirizzabili non restituiscono dati riconoscibili.

3. 3

   Distruggere ciò che non si può verificare

   Se la verifica è impossibile, per esempio su un disco che non accetta più comandi, la distruzione fisica è l’alternativa documentata.

Ogni dispositivo ha bisogno di una scheda che resti disponibile fino allo smaltimento. Nell’inventario hardware la scheda del dispositivo riporta numero di serie, stato e responsabile, così ogni macchina può essere collegata al proprio fascicolo di dismissione. Tenere questo registro fa parte della gestione degli asset IT.

Gli errori comuni sono formattare rapidamente un volume dando per scontato che sia pulito, oppure eseguire sovrascritture multiple su un SSD presumendo che tutte le celle siano state raggiunte. Capita anche di sanitizzare il laptop dimenticando il telefono, il nastro di backup o il disco di scorta in un cassetto. Il rischio maggiore riguarda il periodo tra la dismissione e lo smaltimento, quando la maggior parte dei dispositivi scompare davvero.