Sanityzacja

W języku potocznym sanityzować znaczy uczynić coś higienicznym: zdezynfekować powierzchnię, uzdatnić wodę albo oczyścić ranę. Także informatyka zapożyczyła to słowo, na przykład gdy dane wpisane przez użytkownika są oczyszczane ze znaków, które mogłyby zostać wykonane jako kod. Oba znaczenia łączy jedno: unieszkodliwić niebezpieczną część i zachować użyteczność całości.

Bezpieczeństwo informacji stosuje ten czasownik do samych danych. Sanityzacja danych to usunięcie, wymazanie lub unieszkodliwienie informacji tak, aby to, co pozostało, nie dało się już odzyskać ani nadużyć. W przeciwieństwie do znaczenia potocznego wynik nie musi wyglądać czysto. Dysk nadpisany ustalonym wzorcem to sukces, a nie bałagan.

Sanityzować to czasownik wyniku. Zobowiązuje do rezultatu, czyli tego, że dane są usunięte lub nieszkodliwe, nie określając metody. Ta szerokość czyni go poręcznym w mowie i nieprecyzyjnym w wymaganiach, dlatego normy wolą węższe czasowniki i definiują każdy z nich przed użyciem.

Różnicę między sanityzacją a kasowaniem robi remanencja, czyli pozostałości, które zwykłe usunięcie zostawia na nośniku. Skasowany plik, wiadomość czy wolumen w chmurze zwykle przetrwa jako bajty do odzyskania, a sanityzacja zamyka tę lukę celowo.

Kasowanie usuwa tylko wpis w indeksie. Wymazywanie nadpisuje same dane. Purge uniemożliwia odzysk w laboratorium metodami odmagnesowania, kasowania bloków lub kryptograficznego wymazania. Zniszczenie fizyczne (destroy) stosuje się, gdy purge jest niemożliwy. Tabela pokazuje, co daje każda metoda:

Czasownik dotyczy też poziomu poniżej całego nośnika. Dokumenty niosą więcej niż widoczny tekst: ukryte arkusze, śledzone zmiany, komentarze i metadane, takie jak nazwiska autorów, nazwy firm czy ścieżki plików. Oczyszczenie pliku przed wyjściem z organizacji oznacza usunięcie tych śladów.

Zbiory danych przechodzą tę samą obróbkę przed ponownym użyciem w programowaniu, testach i analityce. Tu czasownik zbliża się do maskowania danych. Maskowanie zachowuje kształt danych i ukrywa wartości. Sanityzacja jest spełniona dopiero wtedy, gdy wrażliwa treść po prostu zniknęła.

Sanityzacja jest też standardowym sprzątaniem po nieumyślnym ujawnieniu lub wycieku danych. Skopiowane wyciekłe egzemplarze się odnajduje, czyści lub niszczy, a cała operacja zostaje zapisana.

Klasyczny przypadek to urządzenie, które zmienia właściciela: laptopy zwrócone przez odchodzących pracowników, dyski wymieniane na gwarancji, telefony oddawane w rozliczeniu, wycofane serwery. Każde wyjście sprzętu to decyzja o sanityzacji nośników, a metoda zależy od nośnika.

Dwa nawyki odróżniają program utylizacji od jednorazowego gestu. Pierwszy to sprawdzanie próbki wyczyszczonych nośników. Drugi to zapisywanie numerów seryjnych, metod, operatorów i dat. Ten rejestr zamienia nawyk w dowód, o który pytają audytorzy i śledczy po incydentach.

Chmura to najtrudniejszy przypadek: klient jest właścicielem danych, ale nigdy nie dotyka nośnika. Usunięcie obiektu to czynność logiczna. Repliki, kopie zapasowe, migawki i pamięci podręczne mogą zawierać tę samą treść w innych regionach lub kontach, a klient nie może nadpisać żadnej z nich bezpośrednio.

Praktyczną drogą jest kryptograficzne wymazanie, czyli zniszczenie kluczy, którymi dane były zaszyfrowane. Sprawia to, że każda kopia, znana lub nieznana, staje się nieczytelna od razu. Reszta jest umowna: ustawienia retencji, okna kopii zapasowych i zobowiązania dostawcy wobec sprzętu współdzielonego decydują o tym, jak pełne może być sprzątanie.

Programy sanityzacji częściej zawodzą na odpowiedzialności niż na narzędziach. Każdy etap potrzebuje nazwanego właściciela, żeby nikt nie zakładał, że utylizację zatwierdził ktoś inny. Typowy podział ról wygląda tak:

Stosowana regularnie sanityzacja jest podstawową higieną danych, a nie tylko krokiem przy wycofaniu sprzętu. Terminowe usuwanie nieaktualnych danych, takich jak stare rekordy i zużyte kopie testowe, zmniejsza to, co może wyciec, zostać zażądane w postępowaniu lub sprzedane. Dane, których nie ma, nie wymagają dalszej ochrony.

Czasownik jest uczciwy tylko wtedy, gdy wynik został wykazany. Regulatorzy i ramy bezpieczeństwa traktują zweryfikowane usunięcie jak wymóg, a nie grzeczność. W praktyce wymaga to trzech rzeczy:

1. 1

   Dobierz metodę

   Wybierz metodę pasującą do nośnika i wrażliwości danych.

2. 2

   Sprawdź wynik

   Sprawdzaj próbkę wyniku, zamiast ufać samemu narzędziu.

3. 3

   Prowadź rejestr

   Przypisz każde urządzenie lub zbiór do działania, operatora i daty.

Sanityzacja należy do nielicznych zabezpieczeń, które działają nawet wtedy, gdy inne zawiodły. Skradziony laptop z wyczyszczonym dyskiem nic nie daje, a plik pozbawiony ukrytych metadanych nie zdradza zespołu, który go pisał.

Zacznij od danych, których wyciek bolałby najbardziej, a potem od kanałów, którymi naprawdę płyną. Polityki pisane naraz dla wszystkiego kończą blokowaniem pracy i zostają wyłączone.