Sanitização de Mídia

A sanitização de mídia se aplica sempre que um meio de armazenamento sai do controle de um proprietário. Um notebook é revendido, um servidor alugado é devolvido, um pendrive circula entre projetos, um disco com defeito volta ao fabricante e fitas de backup chegam ao fim da retenção. Em todos esses casos, o próximo detentor não pode conseguir recuperar o que o anterior gravou nele.

O termo abrange mais do que computadores, porque o armazenamento está escondido em aparelhos que ninguém trata como disco: unidades internas e externas, pendrives USB, cartões de memória e SSDs portáteis, celulares e tablets com memória flash, fitas e discos ópticos, além do disco ou módulo flash interno de impressoras, scanners e equipamentos de rede. Cada mídia removível que muda de mãos exige a mesma decisão.

A sanitização não é um único nível de intensidade, mas uma escada. A NIST SP 800-88 nomeia seus três degraus, e a escolha depende de quão sensíveis eram os dados e para onde a mídia vai: de volta a um ambiente semelhante, a um ambiente menos confiável ou para fora da organização. Cada degrau é um método de sanitização com limites próprios.

Quando um sistema operacional exclui um arquivo, remove a entrada do sistema de arquivos que aponta para os dados e marca o espaço como livre. Os bytes continuam na mídia até que o espaço seja reutilizado, e até lá costumam poder ser recuperados com ferramentas de uso geral. Esse resíduo se chama remanência. Uma formatação rápida não é mais forte, porque reescreve o índice, e não necessariamente a área de dados.

A sanitização também precisa alcançar dados que o sistema atual não enxerga: setores realocados em um disco com falhas, a área de overprovisioning de um SSD, partições deixadas por instalações anteriores e o slack space no fim de blocos parcialmente sobrescritos. Por isso ela atua sobre o próprio armazenamento e é obrigatória antes de qualquer mídia mudar de mãos.

A sobrescrita, técnica clássica de limpeza, foi feita para discos magnéticos, nos quais o host endereça cada setor diretamente. A memória flash quebra essa premissa. O wear leveling e o overprovisioning fazem o controlador gravar em células que o host não vê, então uma passagem de sobrescrita não prova que atingiu todas as cópias físicas. Para SSDs, pendrives e celulares, a sanitização depende de comandos nativos do próprio dispositivo ou de apagamento criptográfico, que destrói a chave de criptografia em vez dos dados.

O apagamento criptográfico é rápido e completo quando a mídia foi criptografada desde o primeiro dia de uso, mas só é confiável na medida da gestão de chaves por trás dele. Uma chave depositada em custódia, copiada ou vazada pode desfazer o apagamento. Para mídias que não executam comando de sanitização e nunca foram criptografadas, a destruição física costuma ser a única resposta defensável.

Uma ação de sanitização que não pode ser comprovada, aos olhos de um auditor, não aconteceu. Programas maduros tratam a ação e o registro como um único controle. O operador executa a técnica, faz amostragem do resultado para confirmar que os dados sumiram e emite um certificado. Quando o descarte é terceirizado, a cadeia de custódia e os certificados do fornecedor entram no registro. A sequência típica é esta:

1. 1

   Executar a técnica

   O operador aplica à mídia o método de sanitização escolhido.

2. 2

   Amostrar o resultado

   Uma amostra confirma que os dados não podem mais ser recuperados.

3. 3

   Emitir o certificado

   O certificado indica a mídia, a técnica, a ferramenta, o operador, a data e o resultado.

Um certificado só pode indicar uma mídia que alguém registrou. O Anexet Inventory mantém uma ficha de cada dispositivo, com tipo, fabricante, número de série, status e localização, para que o número de série do certificado corresponda a um registro do inventário. A Anexet não sanitiza mídias. Ela fornece o inventário no qual se apoia o registro de sanitização.

A sanitização é um controle de ciclo de vida, não um evento isolado. Ela liga o inventário de ativos, que sabe quais mídias existem e onde estão, à classificação de dados, que define quão forte deve ser a sanitização, e ao cronograma de retenção, que define quando termina o prazo de guarda dos dados.

Exigências escritas aparecem em vários marcos de segurança. A NIST SP 800-88 trata do tema diretamente, a ISO/IEC 27001 exige tratamento documentado de mídias até o descarte, e as regras setoriais para dados de cartão de pagamento e dados de saúde também exigem descarte controlado. Na organização, o dono dos dados classifica, a TI executa e a segurança verifica. A política define ainda o padrão para as saídas comuns: reutilização interna, devolução de equipamento alugado, revenda, reciclagem e destruição.