Purga (limpeza segura)

Purga é a remoção permanente e irreversível de dados de uma mídia de armazenamento, de modo que a recuperação seja inviável, mesmo com técnicas de laboratório de ponta. Os dados que sobram após uma exclusão comum são chamados de remanescência, e a purga existe para eliminá-los.

Além da purga existe a destruição física, como trituração ou incineração, que também torna a mídia inutilizável. A purga deixa o dispositivo em condições de uso, por isso serve para mídias que continuarão em uso.

Quando um usuário exclui um arquivo, o sistema operacional remove o nome dele do índice do sistema de arquivos e marca o espaço como livre. Os bytes de um arquivo excluído permanecem na mídia até serem sobrescritos por acaso, e utilitários comuns muitas vezes conseguem recuperá-los até lá.

A limpeza (clearing) sobrescreve os dados uma vez com um padrão fixo, o que protege contra recuperação com ferramentas de software comuns. A purga é mais forte, porque torna a recuperação inviável até com técnicas de laboratório. A tabela mostra o que cada nível impede.

A estrutura de referência é a NIST Special Publication 800-88, Guidelines for media sanitization. Ela define a escada clear-purge-destroy e associa tipos de mídia (discos magnéticos, SSDs, fitas, memórias flash, dispositivos móveis) às técnicas adequadas. Os métodos de purga reconhecidos incluem:

A purga acontece em momentos específicos da vida de uma mídia, e não após cada exclusão:

• Antes de um disco, notebook, telefone ou fita sair da organização, por exemplo na venda, doação, reciclagem ou devolução de equipamento alugado
• Quando a mídia passa a ambientes com níveis de sensibilidade diferentes
• Quando os dados ultrapassam o período de retenção em vez de permanecer no lugar, como dados obsoletos que ninguém mais precisa
• Na resposta a incidentes, quando os dados vazaram para um sistema com proteção menor

A sobrescrita não é confiável em mídias flash. Wear leveling e over-provisioning impedem que o host garanta a regravação de cada célula física. Por isso, em SSDs, são preferidos os comandos nativos de sanitize do disco ou o apagamento criptográfico, e este último é tão forte quanto o processo de destruição da chave por trás dele.

A purga cobre uma única mídia. Backups, snapshots e cópias shadow podem continuar contendo os dados e precisam de tratamento equivalente. O termo também vale para dados lógicos, como registros removidos de um banco de dados, de uma caixa de correio ou de um arquivo ao fim do período de retenção.

Aqui o desafio é a completude, não a física. Um registro pode persistir em réplicas, logs de transação, índices de busca, extrações de data warehouse, relatórios em cache e backups anteriores. Por isso a purga lógica coordena ações em todas as cópias. Para backups que não podem ser editados seletivamente, a resposta usual é a expiração da retenção, declarada explicitamente na política de retenção.

A purga lógica também aparece no console do Anexet DLP. A janela de exclusão de incidentes remove incidentes mais antigos que um número de dias definido, mantém apenas os últimos N ou remove tudo anterior a uma data escolhida. A aba de armazenamento de dados do Reports Server define por quanto tempo os dados coletados são mantidos, aqui os últimos 180 dias.

1 / 2

• 
• 

A decisão segue três entradas: a sensibilidade dos dados na mídia, se ela será reutilizada dentro ou fora da organização e o que ela suporta fisicamente. Os erros aparecem quando essas entradas se misturam, por exemplo ao aplicar um método de reúso a um dispositivo que será vendido ou ao destruir hardware aproveitável sem necessidade.

1. 1

   Classifique os dados

   Antes de escolher qualquer método, defina a sensibilidade dos dados que estão na mídia.

2. 2

   Verifique o caminho de reúso

   Descubra se a mídia continuará em um ambiente de mesma sensibilidade ou se sairá da organização.

3. 3

   Associe o método à mídia

   A destruição serve para mídias sensíveis que saem da organização. O sanitize nativo do disco serve para reúso no mesmo nível, e o apagamento criptográfico serve para mídias criptografadas com chaves bem controladas.

A verificação importa porque as políticas da organização e os auditores normalmente exigem prova de que a sanitização foi bem-sucedida. Por isso a remanescência é verificada depois do fato.

Como a purga é irreversível, ela exige autorização e registro. Controles típicos incluem um aprovador nomeado e a verificação de que nenhuma retenção legal ou investigação em curso cobre os dados. Também exigem um certificado com a mídia ou o conjunto de dados, o método, o operador, a data e o resultado da verificação. Quando o descarte é terceirizado, a cadeia de custódia e os certificados de destruição do fornecedor passam a fazer parte desse registro.