Você tem defesas tecnológicas, governança de TI robusta e uma força de trabalho com consciência cibernética. Seus dados são protegidos, replicados e armazenados em backup. Isso é ótimo, só há mais uma coisa que você precisa saber: por que você deve destruir seus próprios dados.
Por que você deve destruir seus próprios dados
Dados os esforços que desenvolvemos para proteger os dados e para satisfazer a aparente dicotomia de garantir que sejam acessíveis e seguros, é contra-intuitivo considerar a destruição intencional de dados não apenas como um requisito, mas como uma necessidade.
Existem vários motivos pelos quais você precisa fazer isso.
Substituição de hardware
O hardware envelhece e, como todas as máquinas, tem uma vida operacional finita. Quando servidores, computadores desktop, laptops, dispositivos de armazenamento conectados à rede e dispositivos móveis, como telefones celulares e tablets, são redundantes, eles devem ser descartados.
O dispositivo pode ser substituído devido a falha de hardware. Algumas empresas não esperam pelo fracasso, elas gerenciam proativamente a desativação do hardware para evitar paralisações imprevistas. Diferentes classes de dispositivos recebem uma duração em serviço e, quando atingem essa idade, são substituídos.
As substituições de dispositivos também podem ser motivadas por fatores externos, como o lançamento de uma nova versão do Microsoft Windows. Se o seu hardware antigo não tiver potência para executar o novo sistema operacional, ele terá que ser substituído.
Reutilização de hardware
Se alguém deixar seu posto e seu laptop ou desktop estiver sendo reimplantado para substituí-lo, você precisará limpar o dispositivo com segurança antes de entregá-lo ao novo membro da equipe.
Razões legislativas ou de conformidade
Legislação como a Regulamentos Gerais de Proteção de Dados força as organizações a declarar publicamente (geralmente em sua Política de Privacidade online) por quanto tempo irão reter informações de identificação pessoal – dados pessoais. Isso é chamado de período de retenção.
A retenção de dados além do período de retenção declarado pode levar a violações graves das políticas de proteção e privacidade de dados e à atenção indesejada da autoridade supervisora relevante. Sem mencionar custos indesejados e danos à sua reputação.
Dando tudo
Grandes esforços são feitos para evitar que os agentes de ameaças coloquem as mãos nos seus dados. Descartar hardware antigo sem dar a devida atenção aos dados nele contidos é como entregá-los diretamente aos bandidos.
Você não joga documentos confidenciais em papel no lixo comum. Você os destrói para torná-los inacessíveis e ilegíveis. Você também precisa apagar com segurança os dados do hardware antigo.
Para além das implicações comerciais da fuga de informações empresariais sensíveis, se alguma informação pessoalmente identificável for incluída nos dados, isso conta como uma violação de dados acionável na Europa.
Como limpar discos rígidos com segurança
Existem muitas maneiras de remover com segurança seus dados de um disco rígido ou de tornar o disco rígido ilegível. Você pode:
- Substituir os dados
- Desmagnetize as unidades
- Danificar fisicamente ou destruir as unidades
Cada uma dessas técnicas tem vantagens e desvantagens, e algumas empresas usam mais de uma por vez.
Substituindo dados
Quando um sistema operacional exclui um arquivo, ele remove o nome do arquivo da lista de arquivos desse disco rígido e marca o espaço no disco rígido onde o arquivo foi armazenado como disponível para reutilização.
Eventualmente, essa região do disco rígido será substituída por outro arquivo. Se essa área da unidade não tiver sido substituída, é trivial recuperar os dados do arquivo excluído – eles estão ali mesmo, no disco rígido, onde costumavam estar. Excluir todos os arquivos antes de descartar um disco rígido ou computador antigo não é suficiente para impedir o acesso não autorizado aos dados excluídos. Ele precisa ser substituído propositalmente.
Pacotes de software especializados podem ser usados para gravar valores de dados em todos os pontos de dados possíveis em um disco rígido, destruindo tudo o que estava previamente armazenado nele. No entanto, a substituição é lenta, especialmente se você estiver limpando discos rígidos de alta capacidade ou tiver uma grande pilha de unidades para trabalhar.
A substituição de software não é uma maneira infalível de limpar com segurança uma unidade de estado sólido (SSD). Você precisa verificar o site do fabricante e obter o utilitário específico da marca para apagar completamente um de seus SSDs.
Substituir dados em uma unidade física ou apagar completamente um SSD não prejudica a unidade em si. Pode ser reutilizado. Se você estiver limpando uma máquina para passá-la a outro funcionário ou doar para instituições de caridade, esse é um bom método a ser usado.
Desmagnetização
Os discos rígidos físicos tradicionais armazenam seus dados como padrões magnéticos nos pratos giratórios. A desmagnetização usa campos magnéticos fortes para interromper esses padrões, embaralhando efetivamente todo o disco rígido.
A desmagnetização não é seletiva, você não pode desmagnetizar os pratos por conta própria – em vez disso, ela danifica todo o mecanismo do disco rígido. Isso significa que muitas vezes apaga os dados do firmware do servocontrolador, tornando a unidade inoperante. Isso reduz ainda mais as chances de alguém ler dados dessa unidade.
No entanto, se o seu plano era reutilizar a unidade depois de apagada, a desmagnetização não é a melhor opção. Mesmo que a unidade ainda funcione após a desmagnetização, você terá dúvidas sobre sua longevidade – e acabou de cancelar sua garantia.
As máquinas de desmagnetização são caras. Varinhas de desmagnetização mais acessíveis estão disponíveis, mas para destruição garantida, você precisa usar uma unidade de mesa poderosa. E como os SSDs não usam magnetismo para armazenar seus dados, a desmagnetização não funciona nos SSDs.
Destruição Física de Unidades
Feito corretamente, é garantido que funcionará. A destruição do disco rígido elimina todas as chances de recuperação de dados dele.
Para destruir completamente um disco rígido mecânico, você pode fazer uma série de furos nele em distâncias escalonadas, trabalhando para fora, próximo ao centro. Você pode fazer isso de uma forma mais primitiva com um martelo grande e alguns pregos de 10 cm. Coloque a unidade em um bloco de madeira e prenda alguns pregos nas travessas, quebrando-as.
Por mais incrível que possa parecer, existem trituradores nos quais você pode colocar discos rígidos, e eles são pulverizados. Custam uma fortuna, fazem muito barulho e abalam os edifícios, mas existem. O ponto a observar é o passo das rodas de trituração. Eles geralmente estão separados por cerca de 2,5 cm ou mais. Alguns dos chips dentro dos SSDs são menores do que isso, então os chips recuperados podem ser retirados dos cavacos, transplantados para unidades doadoras e ressuscitados.
Para a destruição de unidades, já ouvi falar de organizações que fecharam acordos com usinas de recuperação de metal que derreteram as unidades gratuitamente e reciclaram o metal. Além de lidar com a questão da destruição de dados, ajudou o programa de sustentabilidade e as metas verdes da organização.
A nuvem e o software como serviço
Com a adoção massiva do armazenamento em nuvem, não é apenas com os discos rígidos locais que você precisa se preocupar. Seus dados agora estão nos discos rígidos de outra pessoa. Um data center monitorará a integridade de seus discos rígidos e os substituirá ao primeiro sinal de um problema que se aproxima. Como eles descartam suas unidades antigas e seus dados? E, de qualquer forma, como eles apagarão seus dados se você mudar para um provedor de nuvem diferente?
As mesmas considerações precisam ser dadas aos provedores de software como serviço (SaaS). Um data center tradicional normalmente estará contratualmente obrigado a destruir dados com segurança no final de um contrato e a fornecer confirmação por escrito de que isso ocorreu. Esse tipo de rigor é muito mais raro em provedores de SaaS.
Certifique-se de que a destruição de dados faça parte do seu contrato ou acordo antes de entrar em contato com eles. Obtenha-o por escrito e certifique-se de que uma declaração ou certificado de destruição segura de dados seja um produto acordado.
Não apenas discos rígidos
Qualquer coisa em que você possa armazenar dados deve ser destruída ou apagada antes de ser descartada ou reutilizada. Que significa:
- CDs
- DVDs
- Fitas de backup
- Discos rígidos externos
- Cartões de memória USB
Os telemóveis são outra categoria importante que exige uma destruição cuidadosa dos dados. Uma simples redefinição de fábrica muitas vezes não é suficiente devido às ferramentas de recuperação de dados que podem contornar essa medida.
Para uma limpeza mais segura, use um software especializado desenvolvido para dispositivos móveis ou consulte as diretrizes do fabricante do seu telefone.
Até mesmo dispositivos como impressoras multifuncionais podem reter grandes quantidades de informações à medida que os documentos são alimentados para serem copiados, impressos ou digitalizados.
Encontre um parceiro confiável
Às vezes, as empresas de reciclagem oferecem certificados de destruição segura de dados para computadores e outros equipamentos de processamento de dados que coletam de você. Uma boa empresa demonstrará rigor de ponta a ponta em seus processos.
- O equipamento será etiquetado com código de barras quando for recolhido.
- Deverá ser fornecido um manifesto de coleta dos equipamentos coletados listando o código de barras e a etiqueta ou número de série do dispositivo que recebeu aquele adesivo.
- Eles terão rastreadores em suas vans para saber se o motorista não se desviou ou se desviou da rota de coleta do dia.
- A documentação após a coleta incluirá um certificado de destruição segura de dados para cada dispositivo, vinculando o adesivo com código de barras ao número de série do dispositivo e ao número de série dos discos rígidos dentro do dispositivo.
- Eles listarão os padrões aos quais aderem e as certificações que possuem, que devem abranger tópicos como gestão da qualidade, gestão ambiental, gestão da segurança da informação e destruição segura de material confidencial.
É muito fácil encontrar uma empresa que execute esses serviços sem nenhum custo direto para você, desde que tenha permissão para lucrar com a reciclagem de dispositivos eletrônicos.
Berço ao túmulo
A proteção de dados começa no momento em que os dados são gravados ou criados em um dispositivo pela primeira vez e dura até que esse dispositivo seja retirado do serviço ativo e seja inequivocamente garantido que os dados foram eliminados dele.
O resultado final
Seus dados contêm muitas chaves para parte de sua vida, e sua destruição deve ser tratada com tanto cuidado quanto sua proteção enquanto servem a um propósito.
Felizmente, existem muitos métodos para se manter seguro e garantir a destruição dos seus dados. Só não confie em “mover tudo para a lixeira” – é tão valioso quanto deixar a chave da porta da frente embaixo de um vaso de flores.