Kiedy urządzenie IT kończy swój cykl życia, łatwo założyć, że wystarczy usunąć dane i przekazać sprzęt do recyklingu. W rzeczywistości usunięcie danych nie zawsze oznacza ich bezpieczne zniszczenie.

Właśnie dlatego wokół niszczenia danych wciąż funkcjonuje wiele mitów. Przyjrzyjmy się pięciu najczęstszym.

1. „Nie potrzebujemy procedury niszczenia danych”

Niszczenie danych może wydawać się prostym zadaniem, jednak bez jasno określonej procedury, różne osoby i działy mogą postępować ze sprzętem na różne sposoby.

Dobra procedura powinna określać m.in.:

• kiedy urządzenie należy wycofać z użytkowania,
• kto odpowiada za jego przekazanie,
• jaką metodę niszczenia zastosować,
• jak identyfikować i śledzić urządzenia,
• w jaki sposób udokumentować cały proces.

2. „Jedna metoda niszczenia danych jest odpowiednia dla każdego nośnika”

Dyski HDD czy SSD wykorzystują różne technologie przechowywania danych. Nie można więc zakładać, że jedna metoda będzie odpowiednia dla każdego nośnika.

Przykładowo demagnetyzacja (degaussing) jest przeznaczona dla nośników magnetycznych, natomiast SSD wykorzystują pamięć flash i wymagają innego podejścia.

Dlatego przed wyborem metody należy ustalić:

jaki jest rodzaj nośnika → jaki poziom bezpieczeństwa jest wymagany → jaka metoda będzie odpowiednia.

3. „Fizyczne zniszczenie zawsze gwarantuje, że danych nie da się odzyskać”

To jedno z najczęstszych błędnych przekonań. Uszkodzenie nośnika czy urządzenia/obudowy nie oznacza automatycznie, że dane zostały skutecznie i bezpowrotnie usunięte.

Samo mechaniczne uszkodzenie może nie wystarczyć, aby uniemożliwić odzyskanie informacji. W zależności od rodzaju nośnika oraz zakresu uszkodzeń, specjalistyczne metody odzyskiwania danych mogą pozwolić na odczytanie części zapisanych informacji.

Dlatego fizyczne zniszczenie sprzętu nie zawsze powinno być traktowane jako samodzielna gwarancja bezpiecznego zniszczenia danych.

4. „Nie potrzebujemy dokumentacji potwierdzającej zniszczenie danych”

Załóżmy, że firma przekazuje kilkaset urządzeń zewnętrznemu dostawcy usług niszczenia danych. Dostawca potwierdza ich zniszczenie i sprawa wydaje się zakończona. Jednak zewnętrzny audyt bezpieczeństwa lub wewnętrzna weryfikacja procesów może wymagać przedstawienia dokumentacji potwierdzającej, że określone urządzenia lub nośniki zostały bezpiecznie zniszczone.

Dokumentacja procesu powinna obejmować m.in.:

• numery seryjne urządzeń,
• datę zniszczenia,
• zastosowaną metodę,
• potwierdzenie wykonania procesu.

5. „Najważniejsza jest najniższa cena”

Cena jest istotnym elementem przy wyborze dostawcy, ale w przypadku niszczenia danych nie powinna być jedynym kryterium.

Warto sprawdzić również:

• jak wygląda odbiór i transport urządzeń,
• czy sprzęt jest identyfikowany i śledzony,
• jakie metody niszczenia oferuje dostawca,
• jakie informacje zwiera dokument potwierdzający zniszczenie.

Dlatego zamiast pytać wyłącznie:

„Ile kosztuje zniszczenie jednego urządzenia?”

warto zapytać:

„Co dokładnie obejmuje usługa i w jaki sposób możemy zweryfikować, że proces został wykonany prawidłowo?”