Sanitização de Dados (sanitization)

A exclusão comum é um ato contábil. O sistema operacional remove a entrada do arquivo do índice do sistema de arquivos e marca o espaço como disponível, mas os bytes continuam na mídia até que algo os sobrescreva. Esse resíduo chama-se remanescência. A sanitização atua sobre os próprios dados, e não sobre o índice. Ela aplica técnicas físicas ou lógicas que não deixam nada recuperável, seja porque a mídia será vendida, devolvida a um arrendador, movida entre ambientes de sensibilidade diferente ou descartada.

No uso cotidiano, as palavras apagar, limpar e excluir são usadas de forma vaga e muitas vezes como sinônimos. As orientações formais fazem o contrário e definem cada termo antes de usá-lo, porque a diferença entre uma formatação rápida e uma purga verificada é a diferença entre uma exposição de dados e um descarte seguro.

A referência adotada é a NIST Special Publication 800-88, Guidelines for Media Sanitization. Ela define três ações de força crescente:

1. 1

   Limpeza (Clear)

   Sobrescreve o armazenamento endereçável com um padrão fixo, usando comandos padrão de leitura e gravação. Protege contra recuperação por ferramentas de software comuns, desde que a mídia permaneça em um ambiente controlado.

2. 2

   Purga (Purge)

   Aplica técnicas avançadas, como desmagnetização, apagamento em bloco ou apagamento criptográfico, tornando a recuperação inviável. Protege contra técnicas de laboratório de última geração.

3. 3

   Destruição (Destroy)

   Torna a mídia fisicamente inutilizável por trituração, desintegração, pulverização ou incineração. Protege contra qualquer tentativa, ao custo da própria mídia.

Três fatores definem o degrau: a confidencialidade dos dados armazenados na mídia, se ela permanecerá dentro da organização ou sairá dela, e o que a mídia suporta tecnicamente. A criptografia muda a conta. Em uma unidade criptografada bem gerenciada, o apagamento criptográfico, ou seja, a destruição da chave, alcança em segundos uma proteção no nível da purga. Por isso a NIST recomenda criptografar os dados desde o momento da gravação e tratar a destruição da chave como um método de sanitização de pleno direito. Uma técnica eficaz em uma tecnologia de armazenamento pode ser ineficaz em outra:

• Discos e fitas magnéticas: a sobrescrita direta costuma ser eficaz. A desmagnetização remove por completo os domínios magnéticos e torna a mídia inutilizável.
• Mídias flash (SSDs, pendrives): o nivelamento de desgaste e o superprovisionamento mantêm células fora do controle do host. Por isso são preferíveis os comandos de sanitização nativos do dispositivo ou o apagamento criptográfico.
• Dispositivos móveis e embarcados: as funções de redefinição variam em força e podem não alcançar o armazenamento removível. Cada componente exige tratamento próprio.
• Mídias ópticas: não podem ser sobrescritas. A destruição é a única opção confiável.
• Unidades com falha ou danificadas: uma mídia que não aceita mais comandos não pode ser verificada, então a destruição física documentada é a alternativa.

A mesma palavra é usada no nível de registros, e não de mídias: sanitizar um banco de dados, uma caixa de e-mail ou um locatário na nuvem ao fim de um período de retenção. Aqui a dificuldade é a completude, e não a física. O registro pode sobreviver em réplicas, logs de transação, índices de busca, extrações de data warehouse e backups feitos antes da sanitização. Backups que não podem ser editados seletivamente costumam ser tratados deixando a retenção expirar. Isso deve constar de forma explícita no cronograma de retenção, e não ficar implícito.

O armazenamento em nuvem acrescenta uma dimensão contratual. Quando um volume excluído devolve seus blocos a um pool compartilhado, se esses blocos são zerados antes da realocação é uma propriedade da plataforma, não do locatário. O compromisso de sanitização do provedor, ou seja, o que ele faz ao liberar um volume e quais evidências apresenta, passa a fazer parte do contrato de serviço.

Uma sanitização que não pode ser comprovada não satisfaz um auditor. Processos de descarte maduros registram, para cada dispositivo, os itens abaixo. Quando o descarte é terceirizado, a cadeia de custódia e os certificados do fornecedor também entram no registro. O inventário resultante responde à pergunta que os reguladores fazem após um incidente: como a organização sabe que nenhum dispositivo saiu de seu controle com dados ainda armazenados?

No Anexet Inventory, cada dispositivo tem uma ficha com tipo, fabricante, número de série, número de patrimônio, status e localização. O inventário de hardware é o ponto de partida do registro: mostra qual equipamento é qual antes que qualquer um saia da empresa.

A maioria das falhas de sanitização é de processo, não técnica. O que mantém essas lacunas fechadas é tratar a sanitização como uma etapa programada do ciclo de vida, com responsável definido, e não como uma tarefa avulsa no momento do descarte. Entre as falhas típicas estão:

• Formatar rapidamente um volume e chamá-lo de sanitizado.
• Aplicar sobrescritas de múltiplas passagens em um SSD cujas células aposentadas retêm dados antigos.
• Sanitizar o laptop e esquecer o celular, as fitas de backup ou os discos sobressalentes numa gaveta.
• Perder o rastro da mídia entre a baixa de uso e o descarte, o intervalo em que os dispositivos mais costumam desaparecer. Um registro de gestão de ativos de TI existe justamente para fechar essa lacuna.

Comece pelas mídias com os dados mais sensíveis e pelas que saem da organização, como notebooks em leasing e discos devolvidos. Depois inclua os backups e os sobressalentes que nunca entraram no inventário.