Czyszczenie (purge)

Czyszczenie (purge) to trwałe, nieodwracalne usunięcie danych z nośnika, tak aby ich odzyskanie było niewykonalne nawet najnowszymi technikami laboratoryjnymi. Dane, które pozostają po zwykłym wymazaniu, nazywa się remanencją, a czyszczenie ma je wyeliminować.

Poza czyszczeniem jest fizyczne zniszczenie nośnika, na przykład niszczenie na strzępy lub spalenie, które również czyni go bezużytecznym. Czyszczenie pozostawia urządzenie sprawne, dlatego pasuje do nośników, które dalej będą w użyciu.

Gdy użytkownik usuwa plik, system operacyjny kasuje jego nazwę z indeksu systemu plików i oznacza miejsce jako wolne. Bajty usuniętego pliku pozostają na nośniku, dopóki nie zostaną przypadkiem nadpisane, a zwykłe narzędzia często mogą je do tego czasu odzyskać.

Clearing nadpisuje dane jednorazowo stałym wzorcem, co chroni przed odzyskaniem ich zwykłym oprogramowaniem. Czyszczenie (purge) jest mocniejsze, bo uniemożliwia odzyskanie nawet technikami laboratoryjnymi. Tabela pokazuje, przed czym chroni każdy poziom.

Ramowym dokumentem odniesienia jest NIST Special Publication 800-88, Guidelines for media sanitization. Definiuje drabinę clear-purge-destroy i przypisuje typom nośników (dyski magnetyczne, SSD, taśmy, pamięci flash, urządzenia mobilne) odpowiednie techniki. Uznane metody czyszczenia obejmują:

Czyszczenie stosuje się w określonych momentach życia nośnika, a nie po każdym usunięciu pliku:

• Zanim dysk, laptop, telefon lub taśma opuści organizację, na przykład przy sprzedaży, darowiźnie, recyklingu lub zwrocie sprzętu dzierżawionego
• Gdy nośnik przechodzi między środowiskami o różnych poziomach wrażliwości
• Gdy dane przekraczają okres retencji zamiast pozostawać na miejscu, jak nieaktualne dane, których nikt już nie potrzebuje
• W reagowaniu na incydenty, gdy dane trafiły do systemu o niższym poziomie ochrony

Nadpisywanie jest zawodne na nośnikach flash. Wear leveling i over-provisioning sprawiają, że host nie może zagwarantować, że każda fizyczna komórka została ponownie zapisana. Dlatego dla dysków SSD preferuje się natywne polecenia sanitize albo kasowanie kryptograficzne, a to drugie jest tak silne, jak proces niszczenia klucza, który za nim stoi.

Czyszczenie obejmuje pojedynczy nośnik. Kopie zapasowe, migawki i kopie cieniowe mogą nadal zawierać dane i wymagają równoważnego potraktowania. Termin dotyczy też danych logicznych, na przykład rekordów usuwanych z bazy danych, skrzynki pocztowej lub archiwum po zakończeniu okresu retencji.

Tu wyzwaniem jest kompletność, a nie fizyka. Rekord może przetrwać w replikach, dziennikach transakcji, indeksach wyszukiwania, ekstraktach hurtowni, raportach w pamięci podręcznej i wcześniejszych kopiach zapasowych. Czyszczenie logiczne koordynuje więc działania na każdej kopii. Dla kopii, których nie da się edytować selektywnie, zwykle przyjmuje się wygaśnięcie retencji, zapisane wprost w harmonogramie przechowywania.

Czyszczenie logiczne widać też w konsoli Anexet DLP. Okno usuwania incydentów kasuje incydenty starsze niż wskazana liczba dni, zostawia tylko ostatnie N albo usuwa wszystko sprzed wybranej daty. Zakładka przechowywania danych Reports Server określa, jak długo zebrane dane są przechowywane, tu: ostatnie 180 dni.

1 / 2

• 
• 

Decyzja zależy od trzech czynników: wrażliwości danych na nośniku, tego, czy nośnik zostanie ponownie użyty wewnątrz czy poza organizacją, oraz tego, co nośnik fizycznie obsługuje. Błędy pojawiają się, gdy czynniki się mieszają, na przykład gdy metodę przeznaczoną do ponownego użycia stosuje się do sprzedawanego urządzenia albo niszczy sprawny sprzęt bez potrzeby.

1. 1

   Oceń dane

   Najpierw ustal, jak wrażliwe są dane zapisane na nośniku.

2. 2

   Sprawdź ścieżkę ponownego użycia

   Ustal, czy nośnik zostanie w środowisku o tej samej wrażliwości, czy opuści organizację.

3. 3

   Dobierz metodę

   Zniszczenie pasuje do wrażliwych nośników opuszczających organizację. Natywne sanitize dysku sprawdza się przy ponownym użyciu na tym samym poziomie, a kasowanie kryptograficzne przy zaszyfrowanych nośnikach z dobrze kontrolowanymi kluczami.

Weryfikacja ma znaczenie, bo polityki organizacyjne i audytorzy zwykle wymagają dowodu, że sanityzacja się powiodła. Dlatego remanencję sprawdza się po fakcie.

Ponieważ czyszczenie jest nieodwracalne, wymaga autoryzacji i zapisu w rejestrze. Typowe kontrole obejmują imiennego zatwierdzającego oraz sprawdzenie, czy żadna blokada prawna ani otwarte postępowanie nie obejmuje danych. Wymagają też certyfikatu z opisem nośnika lub zbioru danych, metody, operatora, daty i wyniku weryfikacji. Przy zleceniu utylizacji na zewnątrz łańcuch przechowania i certyfikaty zniszczenia wykonawcy stają się częścią tej dokumentacji.