Remanencja (pozostałości danych)

Gdy użytkownik usuwa plik, system zwykle usuwa tylko wpis w indeksie systemu plików i oznacza miejsce jako wolne. Właściwe bity pozostają na nośniku, dopóki inne dane ich nie nadpiszą, co może nigdy się nie stać. Do tego czasu usunięty plik często można odzyskać powszechnie dostępnymi narzędziami. Opróżnienie kosza i szybkie formatowanie woluminu zmieniają niewiele, bo oba działają na indeksie, a nie na samych danych.

Nadpisywanie dobrze działa na nośnikach magnetycznych, choć na krawędziach ścieżek mogą zostać słabe ślady. Nośniki flash są trudniejsze do kontroli: kontroler przenosi dane między komórkami, a polecenie TRIM tylko sygnalizuje, że bloki nie są potrzebne, bez gwarancji. W pamięci RAM zimny rozruch może wydobyć klucze szyfrujące z działającej maszyny.

Skoro remanencji nie można zakładać jako nieistniejącej, praktyki sanityzacji usuwają ją celowo. Należą do nich nadpisanie całego nośnika tam, gdzie na to pozwala, wbudowane w urządzenie polecenia secure erase i purge producenta, demagnetyzacja oraz fizyczne niszczenie nośników opuszczających organizację.

Dla dysków SSD praktycznym rozwiązaniem jest wymazanie kryptograficzne: zniszczenie klucza szyfrowania sprawia, że pozostały szyfrogram jest nieodzyskiwalny. Wytyczne cyklu życia, takie jak NIST SP 800-88, dobierają metodę sanityzacji do nośnika i poufności danych, które przechowywał.

Remanencja zamienia każdy wycofany laptop, sprzedany serwer czy zwrócony dysk leasingowy w potencjalne ujawnienie danych. Poufne dokumenty, poświadczenia i klucze wielokrotnie odzyskiwano z używanych nośników. Dlatego sanityzacja nośników to podstawowe oczekiwanie w audytach bezpieczeństwa i regulacjach ochrony danych.

Remanencja nie znika w chmurze ani w pamięci zwirtualizowanej, tylko wychodzi spod kontroli klienta. Po usunięciu dysku wirtualnego jego bloki wracają do wspólnej puli, a to, czy zostaną wyzerowane przed ponownym przydziałem, zależy od platformy. Migawki, klony i woluminy z cienką alokacją mnożą miejsca, w których istnieje dany blok. Najemcy zwykle szyfrują wszystko od początku i traktują zniszczenie klucza jako moment wymazania, bo to jedyny krok, który w pełni kontrolują. W usługach zarządzanych gwarancja sanityzacji wynika z umowy: co dostawca zobowiązuje się zrobić po zwolnieniu woluminu i jakie dowody przedstawi.

Sanityzacji, której nie da się wykazać, audytor nie uzna. Dojrzałe procesy utylizacji przebiegają w trzech krokach. Zapisany w ten sposób dokument staje się też dowodem, jeśli później okaże się, że urządzenie opuściło organizację z danymi.

1. 1

   Zapisz dane każdego urządzenia

   Odnotuj numer seryjny, klasyfikację danych, metodę, narzędzie i jego wersję, operatora oraz datę.

2. 2

   Zweryfikuj wynik

   Wykonaj próbkowy odczyt kontrolny, który potwierdzi, że adresowalne obszary nie zwracają rozpoznawalnych danych.

3. 3

   Zniszcz to, czego nie da się zweryfikować

   Jeśli weryfikacja jest niemożliwa, na przykład gdy dysk nie przyjmuje już poleceń, udokumentowanym rozwiązaniem jest zniszczenie fizyczne.

Każde urządzenie potrzebuje zapisu, który przetrwa do chwili utylizacji. W inwentaryzacji sprzętu karta urządzenia przechowuje numer seryjny, status i osobę odpowiedzialną, więc każde urządzenie da się powiązać z dokumentem sanityzacji. Prowadzenie takiego rejestru to część zarządzania aktywami IT.

Typowe błędy to szybkie sformatowanie woluminu i założenie, że jest czysty, oraz wielokrotne nadpisywanie dysku SSD w przekonaniu, że dotarto do wszystkich komórek. Często czyści się laptop, a zapomina o telefonie, taśmie backupowej albo zapasowym dysku w szufladzie. Najwięcej urządzeń ginie jednak między wycofaniem z użytku a utylizacją, dlatego ten okres wymaga największej uwagi.