Arquivo Excluído

Em um sistema de arquivos convencional, um arquivo é descrito por metadados: uma entrada de diretório e um registro que aponta para os blocos com o seu conteúdo. A eliminação comum remove ou marca esse registro e devolve os blocos à lista de espaço livre. Os blocos em si ficam intactos, portanto o conteúdo sobrevive por inteiro como remanência de dados até que o sistema atribua esse espaço a outra coisa. Em um volume pouco usado isso pode nunca acontecer, e em um volume muito ativo pode acontecer em minutos. Assim, «excluído» descreve a visibilidade do arquivo, e não a presença dos seus dados.

Só a última etapa, a purga, destrói os dados em sentido estrito, e só essa pode ser documentada como destruição.

1. 1

   Reciclagem

   O arquivo é movido e não eliminado. Continua visível e pode ser restaurado.

2. 2

   Reciclagem esvaziada

   A entrada de diretório é removida. O conteúdo permanece como espaço não alocado.

3. 3

   Sobrescrito

   Foram gravados novos dados em parte ou na totalidade dos blocos originais. A recuperação torna-se parcial e depois impossível.

4. 4

   Apagado com segurança

   O conteúdo é destruído de propósito, por sobrescrita, pelo apagamento criptográfico da chave que o protege ou por um comando de sanitização do dispositivo.

Como o conteúdo sobrevive aos seus metadados, as ferramentas de recuperação varrem o espaço não alocado à procura de estruturas reconhecíveis, como assinaturas de arquivo, cabeçalhos e formatos conhecidos. Reconstroem os arquivos sem qualquer informação de diretório, numa técnica chamada file carving. A análise forense assenta nisto: documentos eliminados, fragmentos de mensagens e imagens são achados comuns. A mesma propriedade torna a eliminação simples um controle insuficiente quando um dispositivo sai da organização, o que abre caminho para o roubo de dados.

Mesmo um arquivo apagado com segurança pode sobreviver noutro local, porque os sistemas modernos copiam o conteúdo automaticamente, muitas vezes por meio de cópias de segurança. Uma eliminação eficaz começa por um inventário: é preciso saber onde os dados existem, e não apenas como apagar uma cópia.

Em armazenamento flash (SSD, eMMC, cartões de memória), o controlador decide internamente onde os dados ficam, através de nivelamento de desgaste e sobreprovisionamento. Por isso, uma sobrescrita enviada pelo sistema pode não atingir as células que guardavam os dados originais. Sobrescrever setor a setor não é confiável nessas mídias. As abordagens aceitas são o comando de sanitização ou de apagamento seguro do próprio dispositivo, ou o apagamento criptográfico: cifrar a mídia desde o início e destruir a chave, o que torna inutilizável, em um único passo, todo o texto cifrado restante. A destruição física é a opção final para mídias que não podem ser verificados nem considerados confiáveis.

As normas de proteção de dados exigem que os dados não sejam conservados por mais tempo do que o necessário. O RGPD confere às pessoas o direito ao apagamento em circunstâncias definidas. Calendários de conservação, procedimentos de apagamento verificáveis e registros do descarte de mídias ajudam as organizações a cumprir essas obrigações. Notebooks, discos e celulares retirados também não devem sair da organização com registros ainda recuperáveis.