Tecnica di Sanitizzazione

Nel linguaggio comune metodo e tecnica si usano come sinonimi. Nel lavoro operativo la differenza conta. Un metodo di sanitizzazione indica l'azione e il livello che deve raggiungere: cancellazione, pulizia o distruzione, secondo la scala del NIST SP 800-88. Una tecnica di sanitizzazione è il meccanismo concreto che realizza quell'azione su un supporto specifico: sovrascrivere i settori, smagnetizzare i domini magnetici, richiamare la funzione di cancellazione del controller, distruggere una chiave di cifratura o triturare il dispositivo.

La conseguenza è pratica. La policy si scrive in metodi, mentre l'esecuzione avviene con le tecniche. Una policy può richiedere la pulizia dei dischi dei dipendenti in uscita, ma il meccanismo lo sceglie l'ingegnere che ha in mano un SSD guasto. Una stessa tecnica può anche servire due metodi: la smagnetizzazione pulisce un disco magnetico e insieme lo distrugge.

Cinque meccanismi coprono quasi tutta la sanitizzazione pratica, e ognuno ha una base fisica che ne determina il campo d'impiego. Su un disco magnetico funzionante, un solo passaggio di sovrascrittura annulla il recupero via software. I passaggi successivi aggiungono tempo, non certezza.

Ogni meccanismo risponde a una forma diversa di remanenza: i dati che sopravvivono sul supporto dopo una normale cancellazione.

Ciò che rende corretta una tecnica non è la sua efficacia sulla carta, ma la fisica del supporto. Un passaggio di sovrascrittura che su un disco rigido non lascia nulla di recuperabile non raggiunge le celle che il controller di un SSD ha tolto dalla vista.

La memoria flash non tollera la sovrascrittura. Il wear leveling e l'over-provisioning tengono una parte delle celle fisiche fuori dallo spazio di indirizzi dell'host, oltre la portata di qualsiasi comando di scrittura. La tecnica di riferimento per gli SSD è la funzione di sanitize del controller oppure la cancellazione crittografica. Un'unità troppo danneggiata per eseguire l'una o l'altra va direttamente alla distruzione.

Lo storage cloud non regge nessuna tecnica fisica per il motivo opposto: il cliente non tocca mai il supporto. Se i blocchi di un volume eliminato vengano azzerati prima del riutilizzo dipende dalla piattaforma. La cancellazione è quindi o crittografica, con la distruzione della chiave, o contrattuale, secondo gli impegni del fornitore.

Ogni supporto esclude alcune tecniche. Il segno ✓ indica una tecnica che funziona su quel supporto, il segno ✗ una tecnica che fallisce o non può essere applicata. La cancellazione crittografica vale solo dove il supporto è stato cifrato fin dal primo utilizzo. Per gli SSD, la seconda tecnica di riferimento è la funzione di sanitize del controller.

Una tecnica si giudica in base alla robustezza che richiede il suo metodo. La cancellazione deve battere i normali strumenti di recupero software. La pulizia deve rendere il recupero impossibile anche in laboratorio. La distruzione deve battere chiunque. Una sovrascrittura sufficiente a riutilizzare un portatile all'interno diventa inadeguata quando il portatile viene venduto. La tecnica è la stessa, ma il giudizio cambia perché è cambiata la destinazione.

Eseguire senza verificare è un'ipotesi, non una sanitizzazione. Dopo la sovrascrittura si rilegge un campione dello spazio per confermare che non riaffiori nulla di riconoscibile. Una cancellazione a blocchi registra il proprio stato di completamento. La distruzione si documenta con numero di serie, metodo e catena di custodia. Nell'ambito di un programma di sanitizzazione dei supporti, ciascuno di questi registri viene conservato insieme all'intervento. Un disco che a metà sovrascrittura smette di accettare comandi va alla distruzione.

La maggior parte dei fallimenti nasce dall'applicare una tecnica a un supporto per cui non era stata progettata. Le sovrascritture multiple su un SSD ne consumano l'usura, mentre le celle ritirate conservano i dati. Smagnetizzare la flash o i supporti ottici non serve a nulla. Una triturazione grossolana di un SSD può lasciare frammenti con dati leggibili, quindi la dimensione delle particelle deve corrispondere alla densità superficiale. Sono comuni anche le formattazioni rapide presentate come sanitizzazione, le cancellazioni crittografiche con una seconda copia viva della chiave nel backup e i volumi cloud ritenuti puliti perché la console ha mostrato “eliminato”. Ogni tecnica è stata eseguita onestamente e non ha dimostrato nulla. A decidere l'esito è il supporto, non lo sforzo.

Tra la policy e l'azione c'è una decisione ingegneristica che bilancia i vincoli pratici con la robustezza richiesta. Verifichi i punti in ordine:

1. 1

   Confermi il supporto

   Individui il tipo di memoria e se il supporto accetta ancora comandi. Un disco che non risponde ha una sola tecnica rimasta: la distruzione.

2. 2

   Abbini la tecnica

   Con la tabella, scarti le tecniche che il supporto non può sostenere, come la sovrascrittura su flash.

3. 3

   Valuti la velocità

   La sovrascrittura richiede ore per terabyte, la cancellazione crittografica secondi.

4. 4

   Verifichi la gestione delle chiavi

   La cancellazione crittografica presuppone la cifratura fin dal primo utilizzo e nessuna copia residua della chiave in backup o in deposito.

5. 5

   Consideri costi e sede

   Smagnetizzatori e trituratori sono costosi, e la distruzione annulla il valore di riutilizzo. Una filiale senza queste attrezzature si affida alla cancellazione software o alla custodia da parte di un corriere.

Parta dal supporto, non dallo strumento. Elenchi i dispositivi che lasciano la sua organizzazione, il tipo di memoria presente in ciascuno e la tecnica che funziona su di esso. Consideri un file eliminato come ancora presente finché una di queste tecniche non è stata eseguita.

Una cancellazione è completa solo quando il registro lo conferma. Conservi per ogni dispositivo il metodo, la tecnica, il numero di serie e la persona che ha approvato il risultato.