Sanificazione dei Dati (Sanitization)

La cancellazione ordinaria è un'operazione contabile. Il sistema operativo rimuove la voce del file dall'indice del file system e segnala lo spazio come disponibile, ma i byte sottostanti restano sul supporto finché qualcos'altro non li sovrascrive. Questi dati residui si chiamano remanenza. La sanificazione agisce sui dati stessi e non sull'indice. Applica tecniche fisiche o logiche che non lasciano nulla di recuperabile, che il supporto stia per essere venduto, restituito a un locatore, spostato tra ambienti di sensibilità diversa o rottamato.

Nell'uso quotidiano, cancellare, ripulire ed eliminare sono usati in modo approssimativo e spesso come sinonimi. Le linee guida formali fanno l'opposto e definiscono ogni termine prima di usarlo, perché la differenza tra una formattazione rapida e una purga verificata è la stessa che separa una fuga di dati da uno smaltimento pulito.

Il riferimento è il NIST Special Publication 800-88, Guidelines for Media Sanitization. Definisce tre azioni di forza crescente:

1. 1

   Clear (cancellazione)

   Sovrascrive lo storage indirizzabile con un pattern fisso, usando comandi standard di lettura e scrittura. Protegge dal recupero da parte di strumenti software comuni, finché il supporto resta in un ambiente controllato.

2. 2

   Purge (purga)

   Applica tecniche avanzate, come la smagnetizzazione, la cancellazione a blocchi o la cancellazione crittografica, rendendo il recupero non praticabile. Protegge da tecniche di laboratorio allo stato dell'arte.

3. 3

   Destroy (distruzione)

   Rende il supporto fisicamente inutilizzabile tramite triturazione, disintegrazione, polverizzazione o incenerimento. Protegge da chiunque, a costo del supporto stesso.

Tre fattori determinano il gradino: la riservatezza dei dati presenti sul supporto, se il supporto resterà all'interno dell'organizzazione o ne uscirà, e che cosa il supporto supporta tecnicamente. La crittografia cambia il calcolo. Su un'unità cifrata gestita bene, la cancellazione crittografica, cioè la distruzione della chiave, offre in pochi secondi una protezione di livello purga. Per questo il NIST raccomanda di cifrare i dati fin dalla scrittura e di considerare la distruzione della chiave un metodo di sanificazione a pieno titolo. Una tecnica efficace su una tecnologia di archiviazione può non funzionare su un'altra:

• Dischi e nastri magnetici: la sovrascrittura diretta è generalmente efficace. La smagnetizzazione rimuove completamente i domini magnetici e rende il supporto inutilizzabile.
• Supporti flash (SSD, chiavette USB): il wear leveling e l'over-provisioning mantengono alcune celle fuori dal controllo dell'host. Per questo sono preferibili i comandi di sanificazione nativi dell'unità o la cancellazione crittografica.
• Dispositivi mobili ed embedded: le funzioni di ripristino integrate variano nell'efficacia e possono non coprire l'archiviazione rimovibile. Ogni componente richiede un trattamento specifico.
• Supporti ottici: non possono essere sovrascritti. La distruzione è l'unica opzione affidabile.
• Unità guaste o danneggiate: un supporto che non accetta più comandi non può essere verificato, quindi la distruzione fisica documentata è la soluzione di ripiego.

La stessa parola si usa anche per i record, non solo per i supporti: sanificare un database, una casella di posta o un tenant cloud alla scadenza di un periodo di conservazione. Qui la difficoltà sta nella completezza, non nella fisica. Un record può sopravvivere in repliche, log delle transazioni, indici di ricerca, estrazioni dei data warehouse e backup eseguiti prima della sanificazione. I backup che non possono essere modificati in modo selettivo vengono di norma gestiti lasciando scadere la conservazione. Questo deve essere indicato esplicitamente nel piano di conservazione, invece di restare implicito.

L'archiviazione cloud aggiunge una dimensione contrattuale. Quando un volume eliminato restituisce i propri blocchi a un pool condiviso, l'eventuale azzeramento di quei blocchi prima della riassegnazione dipende dalla piattaforma e non dal tenant. L'impegno del fornitore sulla sanificazione, cioè che cosa fa al rilascio di un volume e quali prove produce, diventa quindi parte del contratto di servizio.

Una sanificazione che non può essere dimostrata non convince un revisore. I processi di smaltimento maturi registrano per ogni dispositivo i seguenti elementi. Quando lo smaltimento è affidato a terzi, la catena di custodia e i certificati del fornitore entrano nel registro. L'inventario che ne risulta risponde alla domanda che i regolatori pongono dopo un incidente: come sa l'organizzazione che nessun dispositivo ha lasciato il suo controllo con dati ancora presenti?

In Anexet Inventory ogni dispositivo ha una scheda con tipo, produttore, numero di serie, numero d'inventario, stato e ubicazione. L'inventario hardware è il punto di partenza per il registro dello smaltimento: mostra quale dispositivo è quale, prima che qualcuno lo porti fuori dalla sede.

La maggior parte dei fallimenti di sanificazione è di processo, non tecnica. Ciò che tiene chiuse queste lacune è trattare la sanificazione come una fase pianificata del ciclo di vita, con un responsabile designato, e non come un'attività improvvisata al momento dello smaltimento. Tra i fallimenti più comuni:

• Formattare rapidamente un volume e dichiararlo sanificato.
• Applicare sovrascritture multi-passata su un SSD le cui celle ritirate conservano i vecchi dati.
• Sanificare il laptop dimenticando il telefono, i nastri di backup o i dischi di scorta in un cassetto.
• Perdere traccia dei supporti tra la dismissione e lo smaltimento, cioè nell'intervallo in cui i dispositivi più spesso vanno smarriti. Un registro di gestione degli asset IT serve proprio a chiudere questa lacuna.

Inizia dai supporti che contengono i dati più sensibili e da quelli che lasciano l'organizzazione, come i portatili in leasing e i dischi restituiti. Aggiungi poi i backup e i dischi di scorta che non sono mai comparsi nell'inventario.