Sanityzacja nośników danych

Sanityzacja nośników jest potrzebna zawsze, gdy nośnik pamięci przechodzi spod kontroli jednego właściciela pod kontrolę innego. Laptop zostaje odsprzedany, wydzierżawiony serwer wraca do dostawcy, pendrive przechodzi między projektami, uszkodzony dysk trafia z powrotem do producenta, a taśmy z kopiami zapasowymi osiągają koniec okresu przechowywania. W każdym z tych przypadków kolejny posiadacz nie może odzyskać tego, co zapisał na nim poprzedni.

Termin obejmuje więcej niż komputery, bo pamięć masowa kryje się w urządzeniach, których nikt nie traktuje jak dysku: w dyskach wewnętrznych i zewnętrznych, pendrive'ach USB, kartach pamięci i przenośnych dyskach SSD, telefonach i tabletach z wbudowaną pamięcią flash, taśmach i dyskach optycznych oraz w wewnętrznym dysku lub module flash drukarek, skanerów i sprzętu sieciowego. Każdy nośnik wymienny, który zmienia właściciela, wymaga tej samej decyzji.

Sanityzacja nie jest jednym poziomem siły, lecz drabiną. Norma NIST SP 800-88 nazywa jej trzy szczeble, a właściwy wybór zależy od tego, jak wrażliwe były dane i dokąd nośnik trafi dalej: z powrotem do podobnego środowiska, do mniej zaufanego albo całkowicie poza organizację. Każdy szczebel to osobna metoda sanityzacji z własnymi ograniczeniami.

Gdy system operacyjny usuwa plik, kasuje wpis w systemie plików, który wskazuje na dane, i oznacza miejsce jako wolne. Same bajty pozostają na nośniku, dopóki nie zostaną nadpisane, a do tego czasu często można je odzyskać powszechnie dostępnymi narzędziami. Tę pozostałość nazywa się remanencją. Szybkie formatowanie nie jest mocniejsze, bo przepisuje indeks, niekoniecznie obszar danych.

Sanityzacja musi sięgać także do danych, których bieżący system nie widzi: przemapowanych sektorów uszkodzonego dysku, obszaru nadmiarowego (over-provisioning) dysku SSD, partycji pozostałych po wcześniejszych instalacjach i wolnej przestrzeni na końcu częściowo nadpisanych bloków. Dlatego działa na sam nośnik i jest wymagana, zanim jakikolwiek nośnik zmieni właściciela.

Nadpisywanie, klasyczna technika czyszczenia, powstało dla dysków magnetycznych, gdzie system może zaadresować każdy sektor. Pamięć flash łamie to założenie. Wyrównywanie zużycia (wear leveling) i nadmiarowość pozwalają kontrolerowi kierować zapisy do komórek, których system nie widzi, więc jedno nadpisanie nie dowodzi, że dotarło do każdej fizycznej kopii. Dla SSD, pendrive'ów i telefonów sanityzacja opiera się więc na wbudowanych poleceniach nośnika albo na kasowaniu kryptograficznym, które niszczy klucz szyfrowania zamiast danych.

Kasowanie kryptograficzne jest szybkie i pełne, gdy nośnik był szyfrowany od pierwszego dnia użytkowania, ale jest wiarygodne tylko na tyle, na ile wiarygodne jest zarządzanie kluczami. Klucz zdeponowany, skopiowany lub wyciekły może cofnąć skutek kasowania. Dla nośników, które nie wykonają polecenia sanityzacji i nigdy nie były szyfrowane, zwykle jedyną obronną odpowiedzią jest zniszczenie fizyczne.

Działanie sanityzacyjne, którego nie da się udokumentować, w oczach audytora nie zaszło. Dojrzałe programy traktują działanie i jego zapis jako jedną kontrolę. Gdy utylizacja jest zlecona na zewnątrz, do zapisu dołączają łańcuch dostaw i certyfikaty dostawcy. Typowa kolejność wygląda tak:

1. 1

   Wykonanie

   Operator stosuje wybraną metodę sanityzacji do nośnika.

2. 2

   Próbkowanie wyniku

   Próbka potwierdza, że dane nie dają się już odzyskać.

3. 3

   Wystawienie certyfikatu

   Certyfikat wskazuje nośnik, technikę, narzędzie, operatora, datę i wynik.

Certyfikat może wskazać tylko nośnik, który ktoś zarejestrował. Anexet Inventory prowadzi kartę każdego urządzenia z typem, producentem, numerem seryjnym, statusem i lokalizacją, więc numer z certyfikatu da się dopasować do wpisu w ewidencji. Anexet nie sanityzuje nośników sam. Dostarcza ewidencję, na której opiera się dokumentacja sanityzacji.

Sanityzacja jest kontrolą cyklu życia, a nie jednorazowym zdarzeniem. Łączy ewidencję zasobów, która wie, jakie nośniki istnieją i gdzie są, ze schematem klasyfikacji danych, który określa, jak mocna musi być sanityzacja, oraz z harmonogramem retencji, który określa, kiedy kończy się okres przechowywania danych.

Wymagania pisemne pojawiają się w kilku ramach: NIST SP 800-88 dotyczy tematu wprost, ISO/IEC 27001 wymaga udokumentowanego postępowania z nośnikami aż do utylizacji, a przepisy branżowe dla danych kart płatniczych i medycznych także wymagają kontrolowanej utylizacji. W organizacji właściciel danych klasyfikuje, IT wykonuje, a bezpieczeństwo weryfikuje. Polityka określa też postępowanie domyślne dla typowych ścieżek: ponowne użycie wewnętrzne, zwrot sprzętu z dzierżawy, odsprzedaż, recykling i zniszczenie.