Um termo, várias técnicas
A sanitização é a prática, e o seu objetivo é não deixar dados recuperáveis quando uma mídia é reutilizada, redestinada ou descartada. O método de sanitização é o modo como esse objetivo é alcançado em um dispositivo específico: o mecanismo concreto que um operador executa.
A diferença importa. Os métodos variam conforme a tecnologia de armazenamento em que atuam, a força da proteção que oferecem, se a mídia sobrevive e como o resultado pode ser comprovado depois.
Os métodos formam duas famílias. Os lógicos (sobrescrita, apagamento em bloco, apagamento criptográfico) atuam sobre os dados por software ou pelo controlador, por isso a mídia pode continuar reutilizável. Os físicos (desmagnetização e destruição) atuam sobre a própria mídia e encerram a sua vida útil.
A NIST Special Publication 800-88 classifica cada método em um de três níveis de resultado. Clear impede a recuperação comum por software. Purge impede técnicas de laboratório de última geração. Destroy retira a mídia de uso por completo.
Os cinco métodos reconhecidos
As orientações formais e a prática do setor convergem para cinco métodos. Cada um se aplica a uma classe de mídia e atinge um nível de resultado:
| Método | Como funciona | Resultado | Mídia típica |
|---|---|---|---|
| Sobrescrita | Grava um padrão fixo em cada posição endereçável | Clear | Discos magnéticos em funcionamento |
| Apagamento em bloco | Comando do controlador apaga células flash, inclusive áreas que o host não endereça | Purge | SSDs, pendrives USB, armazenamento embarcado |
| Apagamento criptográfico | Destrói a chave de cifragem, tornando os dados ilegíveis | Purge | Unidades cifradas e mídias flash |
| Desmagnetização | Campo magnético forte colapsa os domínios que guardam os dados | Purge | Discos rígidos e fitas magnéticas |
| Destruição física | Trituração, desintegração, pulverização ou incineração tornam a mídia inutilizável | Destroy | Qualquer mídia, inclusive unidades com falha |
Como cada método se comporta na prática
A tabela não mostra as diferenças práticas, e são elas que costumam decidir a política de descarte.
Sobrescrita: uma única passagem com um padrão conhecido basta para discos magnéticos modernos, mas a mídia precisa estar totalmente funcional. A passagem não alcança setores remapeados nem áreas que o host nunca endereçou, por isso a sobrescrita é clear, e não purge.
Apagamento em bloco: o próprio controlador da unidade executa a sanitização. Ele pode apagar células que o sistema operacional nunca vê, inclusive áreas superprovisionadas. O comando precisa concluir com sucesso para contar.
Apagamento criptográfico: é quase instantâneo, qualquer que seja a capacidade. A sua confiabilidade depende da gestão de chaves. Uma chave depositada, copiada ou vazada pode desfazer o apagamento, por isso o inventário de chaves importa tanto quanto o comando.
Desmagnetização: uma única exposição apaga tudo o que é magnético, inclusive o firmware e os dados de servo, e a mídia nunca mais funciona. Não tem efeito sobre mídias flash ou ópticas, por isso não serve como método geral.
Destruição física: é a única opção confiável para mídias que não executam comandos, como unidades com falha ou discos ópticos. É a escolha habitual para os dados mais sensíveis. A proteção depende do tamanho das partículas que o equipamento alcança.
Escolhendo um método
Escolher um método é combinar entradas, não classificar força. Uma política funcional define as entradas, e o método decorre delas:
- 1
Tecnologia da mídia
Define quais métodos são possíveis. A sobrescrita serve para discos magnéticos, o apagamento em bloco para flash, a desmagnetização só para mídias magnéticas, e a destruição serve para tudo.
- 2
Sensibilidade dos dados
Quanto maior a classificação, maior o nível de resultado exigido. Dados menos sensíveis podem bastar com clear; dados regulados costumam exigir purge ou destroy.
- 3
Próximo destino da mídia
A reutilização no mesmo nível de sensibilidade permite clear. A transferência a um ambiente menos confiável ou o descarte exige purge ou destroy.
- 4
Estado da mídia
Uma unidade que já não aceita comandos não pode ser sanitizada logicamente. Ela segue direto para desmagnetização ou destruição.
- 5
Criptografia desde o primeiro uso
Numa unidade cifrada bem gerida, destruir a chave dá proteção de nível purge em segundos. Por isso recomenda-se cifrar os dados já na gravação.
- 6
Restrições práticas
Volume, tempo, custo do equipamento e possibilidade de verificação. Um método rápido que não pode ser comprovado é, na prática, mais fraco do que um mais lento que pode.
Dois casos comuns
Duas combinações cobrem a maior parte das decisões. Um disco magnético em bom estado que fica na organização é limpo por sobrescrita. Qualquer mídia que saia da organização, seja vendida, devolvida ao locador ou reciclada, passa por purge ou destroy conforme a classificação dos dados que continha.
Verificação e registros
Qualquer que seja o método, um resultado não verificado é apenas uma suposição. A sobrescrita e o apagamento em bloco se verificam por amostragem da mídia, lendo e não encontrando nenhum dado reconhecível. O apagamento criptográfico se verifica confirmando que a chave saiu de todos os locais onde era guardada, inclusive backups e depósitos. A destruição se verifica pelo tamanho nominal de partícula do equipamento e por testemunhas ou certificados. Uma verificação reprovada devolve a mídia ao mesmo método ou a eleva até a destruição.
Programas maduros registram, por dispositivo, o número de série, a classificação dos dados, o método e a ferramenta usados, o operador, a data e o resultado da verificação. Assim, quando unidades desativadas forem questionadas anos depois, a organização consegue mostrar qual mídia foi sanitizada e como, sem depender da memória.
Um método de sanitização só vale tanto quanto o registro que comprova sua execução.
Anexet Team