Protezione delle Informazioni Residue

I termini vicini descrivono ciascuno solo un frammento del quadro. La rimanenza è il fenomeno: tracce di dati fisicamente recuperabili che sopravvivono alla cancellazione. La purga è una tecnica: rimozione irreversibile tramite sovrascrittura, cancellazione a livello di blocco o distruzione della chiave. La protezione delle informazioni residue è la pratica costruita attorno a questi concetti. Consiste nel decidere in anticipo come ogni copia dei dati sarà resa irrecuperabile alla fine del suo ciclo di vita, e nel poter dimostrare che è avvenuto.

Per questo riguarda l'intero ciclo di vita, non solo il giorno dello smaltimento. Le scelte che determinano quanto completamente i dati residui possono essere neutralizzati vengono fatte molto prima che si butti via qualcosa. L'archiviazione era cifrata fin dalla prima scrittura? Come sono organizzati backup e snapshot? Quali dispositivi hanno contenuto i dati? Quando un laptop viene dismesso, le opzioni sono già limitate da ciò che è accaduto durante la sua vita utile.

La pratica si basa su un piccolo insieme di tecniche. Ognuna è adatta a un tipo di supporto e a un diverso livello di sensibilità:

È difficile garantire la cancellazione di ogni copia, ovunque. I controller flash spostano i dati all'insaputa dell'host. Le piattaforme cloud restituiscono blocchi a pool condivisi che il cliente non può raggiungere. Un disco guasto non accetta alcun comando. La cifratura prima dello smaltimento capovolge questo requisito. Se i dati sono stati cifrati per tutta la loro vita, lo smaltimento si riduce alla distruzione della chiave. Ogni copia dimenticata, come la cella usurata, il vecchio backup o l'array dimenticato, diventa testo cifrato che nessuno può leggere.

La solidità di questo approccio dipende interamente dalla gestione delle chiavi. Una chiave che sopravvive in un deposito (escrow), in un backup di configurazione o in un server di chiavi a sua volta sottoposto a backup vanifica la cancellazione. Per questo, la fase di distruzione deve coprire ogni luogo in cui esiste la chiave. La seconda avvertenza riguarda la storia. La cifratura protegge solo i dati scritti dopo la sua attivazione. Un disco che ha funzionato due anni in chiaro e poi è stato cifrato porta ancora sotto di sé quell'epoca. Serve una sanificazione o una distruzione completa, non solo l'eliminazione della chiave. Per questo la cancellazione crittografica vale solo quanto la gestione delle chiavi che la sostiene.

La sanificazione dei supporti riguarda il dispositivo che viene smaltito. La protezione delle informazioni residue deve considerare anche ogni altro luogo in cui i dati persistono silenziosamente:

• Residui del file system: file temporanei, paging, swap, file di ibernazione, copie shadow.
• Backup e repliche: snapshot, repliche di database, estrazioni e indici, ciascuno con la propria conservazione.
• Dispositivi periferici: stampanti, scanner e apparecchi di rete con memoria interna.
• Supporti mobili e rimovibili: telefoni, tablet, chiavi USB e schede. Spesso aggirano lo smaltimento formale.
• Memoria: rimanenza transitoria in RAM, rilevante se le macchine si possono raffreddare.

La sola tecnica non regge a un audit. Un programma funzionante mantiene un inventario dei supporti esistenti. Collega la scelta del metodo alla classificazione dei dati contenuti in ciascun supporto. Segue ogni dispositivo tra la dismissione e lo smaltimento, cioè nella finestra in cui l'hardware scompare più spesso.

Gli eventi di sanificazione vengono registrati per dispositivo: numero di serie, classificazione dei dati, metodo applicato, strumento e versione, operatore, data ed esito della verifica. Quando lo smaltimento è affidato a terzi, i certificati del fornitore e la catena di custodia entrano in questo registro. I regimi di protezione dei dati giudicano l'organizzazione in base alle prove che sa produrre, non in base all'intenzione dichiarata nella sua policy. Anche le registrazioni del prodotto seguono la stessa regola: la console può eliminare i record degli incidenti per età, numero o data.

1 / 2

• 
• 

Gli errori ricorrenti sono gli stessi in tutte le organizzazioni. Una formattazione rapida viene trattata come una cancellazione. Una sovrascrittura multi-passaggio eseguita su un SSD il cui wear leveling conserva silenziosamente le celle vecchie. Il laptop viene sanificato, ma si dimenticano il disco della docking station, il telefono e i nastri di backup. Una cancellazione crittografica viene vanificata da una copia della chiave rimasta in un backup. I supporti si perdono durante il trasporto mentre il ticket di smaltimento è ancora aperto. I volumi cloud si considerano puliti perché la console indicava «eliminato», ma la garanzia reale sta nel contratto del fornitore e non è mai stata verificata. Ogni guasto è poco costoso da prevenire e costoso da scoprire, di solito quando un dispositivo ricompare con i dati ancora presenti. Anche la conservazione conta: i dati obsoleti che nessuno rivede restano informazioni residue.

Iniziate dai dati sensibili la cui fuga farebbe più danni, poi mappate i canali che usano davvero. Un programma che prova a ripulire tutti i dischi in una volta si blocca, quindi partite dai supporti e dalle copie che escono prima dall'edificio.

Per approfondire: Fuga tecnica di informazioni: cos'è e come proteggersi?.