Sanityzacja danych (sanitization)

Zwykłe usunięcie to czynność księgowa. System operacyjny usuwa wpis pliku z indeksu systemu plików i oznacza miejsce jako wolne, ale bajty pozostają na nośniku, dopóki coś innego ich nie nadpisze. Ten pozostały ślad nazywa się remanencją. Sanityzacja działa na samych danych, a nie na indeksie. Stosuje techniki fizyczne lub logiczne, które nie zostawiają nic możliwego do odzyskania, niezależnie od tego, czy nośnik ma zostać sprzedany, zwrócony leasingodawcy, przeniesiony między środowiskami o różnej wrażliwości, czy zezłomowany.

W codziennym języku słowa „wykasować”, „wymazać” i „wyczyścić” używa się luźno i często zamiennie. Wytyczne formalne robią odwrotnie i definiują każdy termin, zanim go użyją. Różnica między szybkim formatowaniem a zweryfikowanym oczyszczeniem (purge) to różnica między ujawnieniem danych a czystą utylizacją.

Ramą odniesienia jest NIST Special Publication 800-88, Guidelines for Media Sanitization. Definiuje ona trzy działania o rosnącej sile:

1. 1

   Czyszczenie (Clear)

   Nadpisuje adresowalną przestrzeń pamięci ustalonym wzorcem, używając standardowych poleceń odczytu i zapisu. Chroni przed odzyskaniem przez zwykłe narzędzia programowe, o ile nośnik pozostaje w środowisku kontrolowanym.

2. 2

   Oczyszczanie (Purge)

   Stosuje zaawansowane techniki: rozmagnesowanie, kasowanie blokowe lub kasowanie kryptograficzne, dzięki czemu odzyskanie danych staje się niewykonalne. Chroni przed technikami laboratoryjnymi na najwyższym poziomie.

3. 3

   Niszczenie (Destroy)

   Czyni nośnik fizycznie bezużytecznym przez rozdrabnianie, dezintegrację, sproszkowanie lub spalenie. Chroni przed każdym, ale kosztem samego nośnika.

O wyborze szczebla decydują trzy czynniki: poufność danych zapisanych na nośniku, to, czy nośnik pozostanie w organizacji czy ją opuści, oraz to, co nośnik technicznie obsługuje. Szyfrowanie zmienia rachunek. Na dobrze zarządzanym zaszyfrowanym dysku kasowanie kryptograficzne, czyli zniszczenie klucza, daje ochronę na poziomie oczyszczania w kilka sekund. Dlatego NIST zaleca szyfrowanie danych od chwili zapisu i traktowanie zniszczenia klucza jako pełnoprawnej metody sanityzacji. Technika działająca na jednej technologii nośnika może być nieskuteczna na innej:

• Dyski i taśmy magnetyczne: bezpośrednie nadpisywanie jest zazwyczaj skuteczne. Rozmagnesowanie całkowicie usuwa domeny magnetyczne i czyni nośnik bezużytecznym.
• Nośniki flash (SSD, dyski USB): wyrównywanie zużycia i nadprowizjonowanie utrzymują część komórek poza kontrolą hosta, dlatego preferowane są natywne polecenia sanityzacji dysku lub kasowanie kryptograficzne.
• Urządzenia mobilne i wbudowane: funkcje resetu różnią się siłą działania i mogą nie objąć nośników wymiennych. Każdy komponent wymaga osobnego postępowania.
• Nośniki optyczne: nie da się ich nadpisać. Zniszczenie jest jedyną wiarygodną opcją.
• Uszkodzone dyski: nośnik, który nie przyjmuje już poleceń, nie da się zweryfikować, więc rozwiązaniem awaryjnym jest udokumentowane zniszczenie fizyczne.

Tego samego słowa używa się także wobec rekordów, nie tylko nośników: przy końcu okresu retencji sanityzuje się bazę danych, skrzynkę pocztową albo dzierżawę w chmurze. Tu trudność tkwi w kompletności, a nie w fizyce. Rekord może przetrwać w replikach, dziennikach transakcji, indeksach wyszukiwania, eksportach hurtowni danych i kopiach zapasowych wykonanych przed sanityzacją. Kopie, których nie da się edytować selektywnie, zwykle obsługuje się przez wygaśnięcie retencji. Harmonogram retencji powinien to wskazywać wprost, a nie pozostawiać domyślnie.

Przechowywanie w chmurze dodaje wymiar umowny. Gdy usunięty wolumin zwraca bloki do wspólnej puli, to, czy bloki zostaną wyzerowane przed ponownym przydziałem, zależy od platformy, a nie od najemcy. Zobowiązanie dostawcy dotyczące sanityzacji, czyli to, co robi przy zwolnieniu woluminu i jakie dowody przedstawia, staje się więc częścią umowy o świadczenie usług.

Sanityzacja, której nie da się wykazać, nie zadowoli audytora. Dojrzałe procesy utylizacji rejestrują dla każdego urządzenia poniższe dane. Gdy utylizacja jest zlecana na zewnątrz, do rejestru dołącza łańcuch pieczy nad nośnikiem i certyfikaty dostawcy. Powstały inwentarz odpowiada na pytanie, które regulatorzy zadają po incydencie: skąd organizacja wie, że żadne urządzenie nie opuściło jej kontroli z danymi wciąż na pokładzie?

W Anexet Inventory każde urządzenie ma kartę z typem, producentem, numerem seryjnym, numerem inwentarzowym, statusem i lokalizacją. Inwentarz sprzętu jest punktem wyjścia dla wpisu w rejestrze utylizacji: pokazuje, który sprzęt jest który, zanim cokolwiek opuści budynek.

Większość niepowodzeń sanityzacji ma charakter procesowy, a nie techniczny. To, co zamyka te luki, to traktowanie sanityzacji jako zaplanowanego etapu cyklu życia z wyznaczonym właścicielem, a nie doraźnym zadaniem w chwili utylizacji. Typowe błędy to:

• Szybkie sformatowanie woluminu i uznanie go za sanityzowany.
• Wielokrotne nadpisywanie dysku SSD, którego wycofane komórki zachowują stare dane.
• Sanityzacja laptopa przy zapomnieniu o telefonie, taśmach z kopiami zapasowymi lub zapasowych dyskach w szufladzie.
• Utrata śladu nośnika między wycofaniem z eksploatacji a utylizacją, czyli w okresie, w którym urządzenia najczęściej giną. Ewidencję zarządzania aktywami IT prowadzi się właśnie po to, by zamknąć tę lukę.

Zacznij od nośników z najbardziej wrażliwymi danymi i od tych, które opuszczają organizację, na przykład leasingowanych laptopów i zwracanych dysków. Następnie uwzględnij kopie zapasowe i zapasowe dyski, których nigdy nie ujęto w inwentarzu.