Sanificazione

Nel linguaggio comune, sanitizzare significa rendere igienico: disinfettare una superficie, trattare l'acqua o pulire una ferita. Anche lo sviluppo software ha preso in prestito il termine, per esempio quando l'input dell'utente viene ripulito dai caratteri che potrebbero essere eseguiti come codice. Entrambi i significati hanno un nucleo comune: neutralizzare la parte pericolosa e lasciare utilizzabile il resto.

La sicurezza delle informazioni applica il verbo ai dati stessi. Sanitizzare i dati significa rimuoverli, cancellarli o neutralizzarli, così che ciò che resta non possa più essere recuperato o usato in modo improprio. A differenza del senso comune, il risultato non deve sembrare pulito. Un disco sovrascritto con schemi fissi è un successo, non un disordine.

Sanitizzare è un termine di risultato. Si impegna su un esito, cioè che i dati siano spariti o innocui, senza prescrivere il metodo. Questa ampiezza lo rende comodo nel parlato e vago nei requisiti, per questo le norme preferiscono verbi più precisi e definiscono ciascuno prima dell'uso.

Ciò che distingue il sanitizzare dal cancellare è la remanenza: il residuo che la rimozione ordinaria lascia sul supporto. Un file, un messaggio o un volume cancellato nel cloud di solito sopravvive come byte recuperabili, e la sanitizzazione chiude questa falla in modo deliberato.

Eliminare rimuove soltanto la voce dell'indice. Cancellare (erase) sovrascrive i dati stessi. Il purge rende impossibile il recupero in laboratorio con smagnetizzazione, cancellazione dei blocchi o cancellazione crittografica. Distruggere consuma il supporto fisico quando il purge non è possibile. La tabella mostra cosa ottiene ciascun metodo:

Il verbo vale anche al di sotto del livello dell'intero supporto. I documenti contengono più del testo visibile: fogli nascosti nei fogli di calcolo, modifiche tracciate, commenti e metadati come nomi degli autori, nomi delle aziende e percorsi dei file. Sanitizzare un file prima che esca dall'organizzazione significa eliminare questi residui.

Gli insiemi di dati ricevono lo stesso trattamento prima di essere riutilizzati in sviluppo, test e analisi. Qui il verbo si avvicina al mascheramento dei dati. Il mascheramento conserva la forma dei dati e nasconde i valori. La sanitizzazione è soddisfatta solo quando il contenuto sensibile è semplicemente scomparso.

La sanitizzazione è anche la pulizia standard dopo una divulgazione involontaria o una fuga di dati. Le copie sfuggite vengono individuate, ripulite o distrutte, e l'operazione viene registrata.

Il caso classico è un dispositivo che cambia mano: portatili restituiti da chi lascia l'azienda, dischi sostituiti in garanzia, telefoni ritirati, server dismessi. Ogni uscita è una decisione di sanitizzazione dei supporti, e il metodo segue il supporto.

Due abitudini distinguono un programma di dismissione da un gesto isolato. La prima è verificare un campione dei supporti sanitizzati. La seconda è registrare numeri di serie, metodi, operatori e date. Questo registro trasforma l'abitudine in una prova, che gli auditor e gli investigatori di incidenti chiedono sempre.

Il cloud è il caso più difficile: il cliente possiede i dati ma non tocca mai il supporto. Eliminare un oggetto è un atto logico. Repliche, backup, snapshot e cache possono contenere lo stesso contenuto in altre regioni o account, e nessuno di essi può essere sovrascritto direttamente dal cliente.

La strada pratica è la cancellazione crittografica: distruggere le chiavi con cui i dati sono stati cifrati. Così ogni copia, nota o ignota, diventa illeggibile in un colpo solo. Il resto è contrattuale: le impostazioni di conservazione, le finestre di backup e gli impegni del fornitore sull'hardware condiviso determinano quanto può essere completa la pulizia.

I programmi di sanitizzazione falliscono spesso sulla responsabilità più che sugli strumenti. Ogni fase ha bisogno di un responsabile nominato, perché nessuno dia per scontato che la dismissione sia stata approvata da qualcun altro. Una ripartizione tipica dei ruoli appare così:

Applicata con regolarità, la sanitizzazione è igiene di base dei dati e non solo un passaggio della dismissione. Rimuovere alla scadenza i dati obsoleti, come vecchi record e copie di test già usate, riduce ciò che può trapelare, essere richiesto in giudizio o essere venduto. I dati che non esistono più non richiedono ulteriore protezione.

Il verbo è onesto solo quando il risultato è dimostrato. Regolatori e framework di sicurezza trattano la rimozione verificata come un requisito, non come una cortesia. In pratica servono tre cose:

1. 1

   Scegliere il metodo

   Scelga un metodo adatto al supporto e alla sensibilità dei dati.

2. 2

   Verificare il risultato

   Controlli un campione dell'output invece di fidarsi solo dello strumento.

3. 3

   Tenere un registro

   Colleghi ogni dispositivo o insieme di dati all'azione, all'operatore e alla data.

La sanitizzazione è uno dei pochi controlli che funzionano ancora quando gli altri hanno fallito. Un portatile rubato con un disco sanitizzato non rivela nulla, e un file ripulito dai metadati nascosti non dice nulla della squadra che lo ha scritto.

Parta dai dati il cui danno sarebbe maggiore se uscissero, poi dai canali che usano davvero. Le politiche scritte per tutto in una volta finiscono per bloccare il lavoro e vengono disattivate.