Remanescência de dados

Quando um usuário exclui um arquivo, o sistema normalmente remove apenas a entrada do arquivo no índice e marca o espaço como livre. Os bits reais continuam na mídia até que outros dados os sobrescrevam, o que pode nunca acontecer. Até lá, um arquivo excluído costuma ser recuperado com ferramentas amplamente disponíveis. Esvaziar a Lixeira e formatar rapidamente um volume mudam pouco, porque ambos atuam sobre o índice e não sobre os dados.

A sobrescrita funciona bem em mídias magnéticas, embora traços fracos possam permanecer nas bordas das trilhas. Mídias flash são mais difíceis de controlar: o controlador realoca dados entre células, e o comando TRIM apenas sinaliza blocos que não são mais necessários, sem garantia. Na RAM, o cenário de “cold boot” pode extrair chaves de criptografia de uma máquina em funcionamento.

Como a remanescência não pode ser ignorada, as práticas de sanitização de mídia a removem de forma deliberada. Entre elas estão a sobrescrita de toda a mídia, quando ela permite, os comandos secure erase e purge do fabricante embutidos no dispositivo, a desmagnetização e a trituração física de mídias que deixam a organização.

Para SSDs, a abordagem prática é o apagamento criptográfico: destruir a chave de criptografia torna o texto cifrado restante irrecuperável. Diretrizes de ciclo de vida, como a NIST SP 800-88, relacionam o método de sanitização à mídia e à sensibilidade dos dados que ela continha.

A remanescência transforma cada notebook desativado, servidor vendido ou disco alugado devolvido em uma possível divulgação de dados. Documentos confidenciais, credenciais e chaves já foram recuperados repetidas vezes de armazenamento de segunda mão. Por isso, a sanitização de mídia é uma expectativa básica em auditorias de segurança e regimes de proteção de dados.

A remanescência também existe na nuvem e no armazenamento virtualizado. Ela apenas sai das mãos do cliente. Quando um disco virtual é excluído, seus blocos voltam a um pool compartilhado, e saber se são zerados antes da realocação depende da plataforma. Snapshots, clones e volumes com thin provisioning multiplicam os lugares onde um bloco existe. Por isso, os locatários costumam criptografar tudo desde o início e tratar a destruição da chave como o evento de apagamento, pois é o único passo que controlam por completo. Em serviços gerenciados, a garantia de sanitização é contratual: o que o provedor se compromete a fazer ao liberar um volume e quais evidências entrega.

Sanitização que não pode ser comprovada não satisfaz um auditor. Processos maduros de descarte seguem três etapas. O registro resultante também se torna a trilha de evidências caso um dispositivo saia da organização com dados.

1. 1

   Registrar cada dispositivo

   Anote o número de série, a classificação dos dados, o método, a ferramenta e sua versão, o operador e a data.

2. 2

   Verificar o resultado

   Faça uma leitura por amostragem para confirmar que as áreas endereçáveis não retornam dados reconhecíveis.

3. 3

   Destruir o que não pode ser verificado

   Se a verificação for impossível, como em um disco que não aceita mais comandos, a destruição física é a alternativa documentada.

Cada dispositivo precisa de um registro que sobreviva até o descarte. No inventário de hardware, a ficha do dispositivo guarda o número de série, o status e o responsável, então cada equipamento pode ser associado ao seu registro de descarte. Manter esse registro faz parte da gestão de ativos de TI.

Erros comuns incluem formatar rapidamente um volume e presumir que ele está limpo, ou executar sobrescritas de múltiplas passadas em um SSD e presumir que todas as células foram alcançadas. Também é comum sanitizar o notebook e esquecer o telefone, a fita de backup ou o disco extra guardado na gaveta. A lacuna mais perigosa é o período entre a desativação e o descarte, quando a maioria dos dispositivos de fato desaparece.