Técnica de Sanitização

No uso cotidiano, método e técnica são usados como sinônimos. No trabalho operacional, a diferença importa. Um método de sanitização nomeia a ação e o nível que ela precisa atingir: limpar, purgar ou destruir, conforme a escala do NIST SP 800-88. Uma técnica de sanitização é o mecanismo concreto que executa essa ação em um meio específico: sobrescrever setores, desmagnetizar domínios magnéticos, acionar a função de apagamento da controladora, destruir uma chave de criptografia ou triturar o dispositivo.

A consequência é prática. A política é escrita em métodos, e a execução acontece em técnicas. Uma política pode exigir que os discos de funcionários desligados sejam purgados, mas quem escolhe o mecanismo é o técnico que tem nas mãos um SSD com defeito. Uma mesma técnica pode até servir a dois métodos: a desmagnetização purga um disco magnético e, ao mesmo tempo, o destrói.

Cinco mecanismos cobrem quase toda a sanitização prática, e cada um tem uma base física que determina onde funciona. Em um disco magnético em bom estado, uma única passagem de sobrescrita impede a recuperação por software. Passagens extras acrescentam tempo, não garantia.

Cada mecanismo combate uma forma diferente de remanência: os dados que sobrevivem no meio depois de uma exclusão comum.

O que torna uma técnica correta não é sua força no papel, e sim a física do meio. Uma passagem de sobrescrita que não deixa nada recuperável em um disco rígido não alcança as células que a controladora de um SSD tirou de vista.

A memória flash não resiste à sobrescrita. O wear leveling e o over-provisioning mantêm parte das células físicas fora do espaço de endereços do host, fora do alcance de qualquer comando de gravação. A técnica de referência para SSDs é a função de sanitize da controladora ou o apagamento criptográfico. Um drive danificado demais para executar qualquer uma das duas vai direto para a destruição.

O armazenamento em nuvem falha em todas as técnicas físicas pelo motivo oposto: o locatário nunca toca no meio. Se os blocos de um volume excluído são zerados antes de serem reutilizados depende da plataforma. Por isso, o apagamento é ou criptográfico, com a destruição da chave, ou contratual, conforme os compromissos do provedor.

Cada meio exclui algumas técnicas. O sinal ✓ marca uma técnica que funciona naquele meio, e o ✗ marca uma que falha ou não pode ser aplicada. O apagamento criptográfico só conta onde o meio foi criptografado desde o primeiro uso. Nos SSDs, a segunda técnica de referência é a função de sanitize da controladora.

Uma técnica é avaliada pela força que seu método exige. A limpeza deve vencer as ferramentas comuns de recuperação por software. A purga deve tornar a recuperação inviável até em laboratório. A destruição deve vencer qualquer pessoa. Uma sobrescrita suficiente para reaproveitar um notebook internamente se torna inadequada quando o notebook é vendido. A técnica é a mesma, mas o veredito muda porque o destino mudou.

Executar sem verificar é uma suposição, não uma sanitização. Depois da sobrescrita, lê-se uma amostra do espaço para confirmar que nada reconhecível voltou. Um apagamento por blocos registra o próprio status de conclusão. A destruição se documenta com número de série, método e cadeia de custódia. Em um programa de sanitização de mídias, cada um desses registros é guardado junto com o serviço. Um drive que deixa de aceitar comandos no meio da sobrescrita vai para a destruição.

A maioria das falhas vem de aplicar uma técnica a um meio para o qual ela nunca foi projetada. Sobrescritas múltiplas em um SSD desgastam o drive, enquanto as células retiradas mantêm seus dados. Desmagnetizar flash ou mídias ópticas não adianta nada. A trituração grosseira de um SSD pode deixar fragmentos com dados legíveis, por isso o tamanho do fragmento precisa acompanhar a densidade de área. Também são comuns formatações rápidas apresentadas como sanitização, apagamentos criptográficos com uma segunda cópia viva da chave em backup e volumes em nuvem tidos como limpos porque o console mostrou “excluído”. Cada técnica foi executada com honestidade e não provou nada. Quem decide o resultado é o meio, não o esforço.

Entre a política e a ação existe uma decisão de engenharia que pesa as restrições práticas contra a força exigida. Confira os pontos nesta ordem:

1. 1

   Confirme o meio

   Identifique o tipo de memória e se o meio ainda aceita comandos. Um disco que não responde tem apenas uma técnica restante: a destruição.

2. 2

   Associe a técnica

   Usando a tabela, descarte as técnicas que o meio não suporta, como a sobrescrita em flash.

3. 3

   Avalie a velocidade

   A sobrescrita leva horas por terabyte; o apagamento criptográfico leva segundos.

4. 4

   Verifique a gestão de chaves

   O apagamento criptográfico pressupõe criptografia desde o primeiro uso e nenhuma cópia residual da chave em backup ou em custódia.

5. 5

   Considere custo e localização

   Desmagnetizadores e trituradores são caros, e a destruição encerra o valor de reúso. Uma filial sem esses equipamentos depende de apagamento por software ou de custódia por courier.

Comece pelo meio, não pela ferramenta. Liste os dispositivos que saem da sua organização, o tipo de armazenamento de cada um e a técnica que funciona nele. Trate um arquivo excluído como ainda presente até que uma dessas técnicas tenha sido executada.

O apagamento só está concluído quando o registro confirma. Guarde, para cada dispositivo, o método, a técnica, o número de série e a pessoa que aprovou o resultado.