Metodo di Sanitizzazione

La sanitizzazione è la pratica, e il suo obiettivo è che non restino dati recuperabili quando un supporto viene riutilizzato, destinato a un altro scopo o smaltito. Il metodo di sanitizzazione è il modo in cui questo obiettivo si raggiunge su un dispositivo specifico: il meccanismo concreto eseguito dall’operatore.

La distinzione conta. I metodi differiscono per le tecnologie di memorizzazione su cui agiscono, per la solidità della protezione che offrono, per la sopravvivenza del supporto e per il modo in cui il risultato può essere documentato in seguito.

I metodi si dividono in due famiglie. I metodi logici (sovrascrittura, block erase, cancellazione crittografica) agiscono sui dati tramite software o il controller di memorizzazione, quindi il supporto può restare riutilizzabile. I metodi fisici (degauss e distruzione) agiscono sul supporto stesso e ne concludono la vita utile.

La NIST Special Publication 800-88 colloca ciascun metodo in uno di tre livelli di risultato. Clear blocca il normale recupero via software. Purge blocca le tecniche di laboratorio più avanzate. Destroy toglie definitivamente il supporto dall’uso.

Le linee guida ufficiali e la prassi del settore convergono su cinque metodi. Ciascuno corrisponde a una classe di supporto e a un livello di risultato:

La tabella non riporta tutte le differenze pratiche, che spesso decidono la politica di smaltimento.

Sovrascrittura: un solo passaggio con un pattern noto basta per i dischi magnetici moderni, purché il supporto sia pienamente funzionante. Il passaggio non raggiunge i settori rimappati né lo spazio che l’host non ha mai indirizzato. Per questo la sovrascrittura è classificata come clear e non come purge.

Block erase: lo esegue il controller dell’unità stessa e può cancellare celle che il sistema operativo non vede mai, incluse le aree sovra-approvvigionate. Il comando deve completarsi con successo per contare.

Cancellazione crittografica: è quasi istantanea, qualunque sia la capacità. La sua affidabilità dipende però dalla gestione delle chiavi. Una chiave depositata, copiata o trapelata può annullare la cancellazione, quindi l’inventario delle chiavi conta quanto il comando.

Degauss: una sola esposizione cancella tutto ciò che è magnetico, incluso il firmware dell’unità e i dati servo, e il supporto non torna più a funzionare. Non ha effetto su supporti flash o ottici, quindi non può essere un metodo generale.

Distruzione fisica: è l’unica opzione affidabile per i supporti che non possono eseguire comandi, come le unità guaste o i dischi ottici, ed è la scelta abituale per i dati più sensibili. La protezione dipende dalla dimensione delle particelle raggiunta dall’attrezzatura.

Scegliere un metodo significa far combaciare degli input, non stilare una graduatoria di robustezza. Una politica praticabile fissa gli input, e il metodo ne deriva:

1. 1

   Tecnologia del supporto

   Stabilisce quali metodi sono fisicamente possibili: la sovrascrittura va bene per i dischi magnetici, il block erase per il flash, il degauss solo per i supporti magnetici, la distruzione per tutti.

2. 2

   Sensibilità dei dati

   Più alta è la classificazione, più alto è il livello di risultato richiesto. I dati meno sensibili possono bastare con clear, mentre i dati regolamentati richiedono di norma purge o destroy.

3. 3

   Destinazione successiva del supporto

   Il riutilizzo allo stesso livello di sensibilità consente clear. Il trasferimento a un ambiente meno affidabile o lo smaltimento richiede purge o destroy.

4. 4

   Condizione del supporto

   Un’unità che non accetta più comandi non può essere sanitizzata logicamente. Va direttamente al degauss o alla distruzione.

5. 5

   Cifratura fin dal primo utilizzo

   Su un’unità cifrata e ben gestita, distruggere la chiave ottiene in pochi secondi una protezione di livello purge. Per questo si raccomanda di cifrare i dati già al momento della scrittura.

6. 6

   Vincoli pratici

   Volume, tempo, costo dell’attrezzatura e possibilità di verificare il risultato. Un metodo rapido che non può essere documentato è, in pratica, più debole di uno più lento che lo può essere.

Due combinazioni coprono la maggior parte delle decisioni. Un disco magnetico integro che resta nell’organizzazione viene portato a clear con la sovrascrittura. Qualsiasi supporto che la lascia, venduto, restituito al locatore o riciclato, passa a purge o destroy in base alla classificazione dei dati che conteneva.

Qualunque sia il metodo, un risultato non verificato è solo un’ipotesi. La sovrascrittura e il block erase si verificano campionando il supporto e controllando che non compaia alcun dato riconoscibile. La cancellazione crittografica si verifica confermando che la chiave è scomparsa da ogni luogo in cui era conservata, inclusi backup e depositi. La distruzione si verifica con la dimensione nominale delle particelle dichiarata dall’attrezzatura e con testimoni o certificati. Una verifica non riuscita rimanda il supporto allo stesso metodo oppure lo fa salire fino alla distruzione.

I programmi maturi registrano, per ogni dispositivo, il numero di serie, la classificazione dei dati, il metodo e lo strumento applicati, l’operatore, la data e l’esito della verifica. Così, quando dispositivi dismessi vengono messi in discussione anni dopo, l’organizzazione può dimostrare quale supporto è stato sanitizzato e come, senza affidarsi alla memoria.