Coraz szybszy rozwój technologiczny spowodował konieczność bardzo częstej wymiany sprzętu IT. Sprzęt ten w postaci nośników danych, np. dysków twardych, kaset do napędów taśmowych (streamerów), pamięci flash, może zawierać kluczowe dla firmy informacje, które w przypadku dostania się w nieodpowiednie ręce mogą stanowić potencjalne zagrożenie dla przedsiębiorstwa bądź instytucji. To sprawia, że ochrona danych przed niepowołanym dostępem jest ważna jak nigdy wcześniej. Niestety w Polsce wiedza dotycząca ochrony danych cyfrowych jest obecnie bardzo znikoma. Firmy nie do końca zdają sobie sprawę z konsekwencji, jakie mogą ponieść z powodu niewłaściwego obchodzenia się z cyfrowymi dokumentami. Skuteczne niszczenie danych jest jednym z podstawowych warunków bezpieczeństwa każdej organizacji i jej klientów. Nieudane zniszczenie danych może negatywnie wpłynąć na wizerunek firmy, a nawet przysporzyć wielu problemów prawnych.
W instytucjach i przedsiębiorstwach, w których zarządza się niejawnymi informacjami (takimi jak np. dane osobowe, numery kart kredytowych, numery kont, informacje o produktach, raporty sprzedaży itp.), może dojść do niekontrolowanego wycieku tych informacji. Instytucje, takie jak banki, firmy ubezpieczeniowe czy telekomunikacyjne, obarczone są obowiązkiem usuwania danych z urządzeń i nośników elektronicznych, które są przeznaczone do likwidacji, przekazania albo naprawy (reguluje to np. ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r.). Niestety, część z nich nie robi tego w sposób skuteczny, a to grozi nie tylko kosztami spowodowanymi utratą danych, ale również odpowiedzialnością karną. Dlaczego niektóre instytucje i firmy borykają się z problemami wycieku informacji poufnych? Przyczyna najczęściej tkwi w braku wiedzy dotyczącej zasad skutecznego kasowania poufnych danych.
Jak bezpowrotnie usunąć dane?
Skasowanie plików przez użytkownika nie oznacza, że dane zostały usunięte z nośnika (mimo, że już nie są one widoczne). Dobry informatyk jest w stanie odzyskać dane usunięte poleceniem „delete”, nawet jeśli zostały one skasowane z pominięciem kosza. System operacyjny nie usuwa bowiem fizycznie plików z systemu plików, a jedynie informację o ich lokalizacji. Również formatowanie dysku twardego z poziomu BIOS-u (low level formatting) nie jest bezpiecznym rozwiązaniem – dane wciąż można odzyskać. Brak tej wiedzy powoduje, iż znaczna część instytucji sprzedaje bądź wyrzuca stare komputery wraz z dyskami twardymi, na których pozostają niezwykle ważne i poufne dane dotyczące funkcjonowania firmy czy też dane kontrahentów.
W zasadzie istnieją dwie metody skutecznego usuwania danych: metoda programowa (tzw. miękka) oraz sprzętowa (twarda).
Pierwsza, niezwykle skuteczna metoda bezpiecznego usuwania danych z dysków twardych (2,5", 3,5", ATA, SATA, SCSI itp.) polega na kasowaniu informacji za pomocą specjalistycznego, certyfikowanego między innymi przez ABW czy CESG (brytyjski odpowiednik polskiego ABW) oprogramowania, które poprzez wielokrotne nadpisanie danych według jednego ze specjalnych algorytmów (np. algorytmu Petera Gutmanna) powoduje niemożność ich późniejszego odczytania, nawet w specjalnych laboratoriach odzyskiwania danych. Zaletą tego typu rozwiązania jest możliwość późniejszego wykorzystania nośników, z których usunięto dane, gdyż nie zostały one uszkodzone w sposób fizyczny. Wadą logicznego kasowania danych jest fakt, iż dane można usunąć jedynie z dysków sprawnych mechanicznie, a cały proces jest stosunkowo wolny oraz kosztowny.
Drugą metodą jest przeprowadzenie procesu demagnetyzacji z użyciem specjalistycznego sprzętu – demagnetyzerów. Znajduje ona zastosowanie w przypadku kasowania danych zarówno ze sprawnych, jak i z uszkodzonych taśm magnetycznych lub dysków. Jeśli nośnik został uszkodzony w macierzy dyskowej, laptopie czy standardowym komputerze, a producent dostarczył na wymianę nowy dysk, czy też wymieniamy nośnik na szybszy, o większej pojemności etc., możliwe jest przeprowadzenie demagnetyzacji w celu bezpowrotnego skasowania danych. Demagnetyzacja może być zastosowana także wtedy, gdy pragniemy pozbyć się niewykorzystywanych już nośników (np. chcemy wykorzystać nowszą technologię – np. wymienić kasety typu DDS czy LTO/Ultrium 1 na LTO/Ultrium 4) lub bezpowrotnie usunąć wiele dysków twardych z macierzy bądź standardowych komputerów. Zaletą tej technologii jest pewność, iż dane zostaną skutecznie wykasowane, a także szybkość i bezpieczeństwo całego procesu. Wadą jest niewątpliwie wysoka cena sprzętu odpowiedniej jakości, dlatego wielu klientów decyduje się na skorzystanie z usług wyspecjalizowanej firmy.
Na czym polega demagnetyzacja?
Demagnetyzacja polega na bezpowrotnym skasowaniu zapisanych informacji za pomocą urządzeń zwanych demagnetyzerami lub degausserami. Nośniki są poddawane działaniu silnego impulsu magnetycznego, który niszczy wszystkie zapisy dokonane w warstwie magnetycznej. Po przeprowadzeniu demagnetyzacji dane zostają bezpowrotnie utracone. Po procesie demagnetyzacji nośniki, takie jak dyski twarde 2,5"/3,5", kasety LTO, 3592, T10K, nie nadają się do ponownego wykorzystania ze względu na ścieżki servo, które zostają całkowicie wymazane. Niektóre nośniki taśmowe, zwłaszcza te starsze technologicznie, np. DLT, DDS, kasety audio i wideo (analogowe), odzyskują swe pierwotne właściwości magnetyczne, gdyż demagnetyzacja zmniejsza do zera tzw. pozostałość magnetyczną, a do tego nośniki te nie posiadają ścieżek servo. Dzięki tym właściwościom taśmy nadają się do dalszego użytkowania nawet po przeprowadzeniu procesu demagnetyzacji.
Wybór demagnetyzera
Nie każdy oferowany na rynku demagnetyzer efektywnie i bezpiecznie zniszczy dane zawarte na nośnikach. Aby skutecznie wykasować zapisane informacje, siła pola demagnetyzującego musi być około dwukrotnie większa niż koercyjność magnetyczna kasowanego nośnika. W najbardziej zawansowanych modelach siła pola magnetycznego wynosi w przybliżeniu nawet 20000 Gs. Zazwyczaj są to urządzenia w pełni automatyczne. Dzięki tak dużemu polu skasowanie danych zajmuje tylko kilka sekund. Modele ręczne charakteryzują się mniejszą siłą pola (od około 4000 Gs wzwyż), co istotnie wpływa na czas, jaki trzeba poświęcić na „wyczyszczenie” jednego nośnika. W tym przypadku usunięcie danych, np. z dysku twardego, zajmuje około dwóch minut, a do tego konieczny jest czynny udział osoby, która będzie przesuwała i obracała dysk po płycie demagnetyzera. Zarówno CPD (Centra Przetwarzania Danych), jak i inne instytucje potrzebują demagnetyzacji różnego rodzaju nośników, ale nie każde urządzenie jest uniwersalne. Na przykład do taśm VHS można używać demagnetyzerów ręcznych, których pole magnetyczne jest mniejsze, ale w zupełności wystarcza do pozbycia się danych. Jeśli istnieje potrzeba zdemagnetyzowania kilku tysięcy taśm w ciągu jednego dnia, najbardziej odpowiednie będzie urządzenie automatyczne, które pracuje w trybie ciągłym. Do niszczenia danych na nośnikach cyfrowych, a szczególnie na najnowszych dyskach twardych, potrzebne są silniejsze urządzenia, o wartościach generowanego pola powyżej 10000 Gs.
Wraz z różnicami w wydajności i skuteczności różne są też ceny urządzenia. Ostatnio na rynku pojawiły się również hybrydy urządzeń niszcząco-kasujących. Jedno urządzenie w pierwszej fazie procesu demagnetyzuje nośnik, a następnie zgniata go przy użyciu stalowego kolca. Potraktowanie nośnika w ten sposób daje podwójną pewność prawidłowo przeprowadzonego procesu.
Wybór odpowiedniego demagnetyzera powinien uwzględniać przede wszystkim częstotliwość oraz intensywność jego użytkowania oraz typy nośników, z których usuwane będą dane. Obecnie na polskim rynku dostępnych jest kilkanaście modeli w bardzo szerokim zakresie cenowym. Klient może więc kupić taki model, który będzie dla niego najbardziej odpowiedni. Z doświadczenia wiemy, że dużym powodzeniem cieszą się urządzenia do ręcznego kasowania danych, których największym atutem jest atrakcyjna cena, niestety kosztem wydajności czy pewności poprawności skasowania danych (w przypadku demagnetyzerów ręcznych cały proces musi być przeprowadzony zgodnie z zaleceniami producenta – w przeciwnym razie dane mogą pozostać nienaruszone).
Ponieważ zakup odpowiedniego sprzętu do demagnetyzacji jest stosunkowo dużą inwestycją, rozwiązaniem alternatywnym jest skorzystanie z profesjonalnej usługi kasowania danych z nośników, którą można zlecić firmie zewnętrznej. Należy zwrócić uwagę na kilka szczegółów, zanim podejmie się decyzję o powierzeniu takiej firmie najważniejszej rzeczy w każdej organizacji – danych. Należy sprawdzić, czy dana firma posiada stosowne kompetencje, certyfikaty (np. ISO), zatwierdzone procedury wewnętrzne, referencje klientów, specjalizacje w zakresie kasowania danych, odpowiednio przeszkolonych pracowników oraz odpowiedni sprzęt wykorzystywany do demagnetyzacji/kasowania. Jeśli firma przyjmująca zlecenie wykonania usługi kasowania danych zatrudnia pełnomocnika ds. ochrony informacji niejawnych, posiadającego dostęp do poufnych informacji niejawnych, jest to dodatkowym atutem. Dobrze jest również sprawdzić, czy dany usługodawca posiada ważne ubezpieczenie OC oraz czy może pochwalić się swoją rzetelnością oraz historią funkcjonowania na rynku.
Niektóre firmy oferują bardzo niskie ceny za usługę demagnetyzacji lub samej utylizacji nośników danych, które nie pokrywają nawet kosztów transportu tych nośników. Należy trzymać się z dala od takich firm – nośniki, na których w dalszym ciągu zapisane są informacje (narażone są zwłaszcza dyski twarde) mogą pojawić się w najmniej oczekiwanym momencie na rynku, nawet poza granicami Polski. Firmy takie nie zarabiają na samej usłudze, ale na dalszym odsprzedaniu nośników. Użytkownikowi nie może wystarczyć samo potwierdzenie odbioru nośników przez firmę świadczącą usługi, jeśli nie wie na pewno, co później stanie się z nimi. Każdy z etapów usługi powinien być odpowiednio udokumentowany, a klient musi mieć wgląd w cały proces i kontrolę nad nim w każdym jego momencie.
Z punktu widzenia dużych przedsiębiorstw jest to bardzo praktyczne. Skorzystanie z usług profesjonalnej firmy daje pełną gwarancję szybkiego oraz bezpiecznego przeprowadzenia całego procesu, a gdy u zamawiającego takie usługi przeprowadzany będzie audyt, poszczególne działy będą mogły przedstawić dokumentację wystawioną przez wykonawcę usługi, potwierdzającą skasowanie wszystkich danych oraz przekazanie starych, już bezużytecznych nośników do dalszej utylizacji.
Problem bezpieczeństwa cyfrowych danych jest analogiczny do problemu ochrony danych w formie fizycznej, czyli dokumentów papierowych. Pamiętamy afery sprzed kilku lat, gdy okazało się, że na śmietniku można znaleźć poufne informacje klientów banków, kartoteki medyczne szpitali etc. Wydarzenia te skłoniły do większej dbałości o bezpieczeństwo dokumentów w formie papierowej. Miejmy nadzieję, że podobne wydarzenia spowodują zwrócenie należytej uwagi również na problem bezpieczeństwa danych w formie cyfrowej, a firmy i instytucje będą dbać o to bezpieczeństwo w odpowiedni sposób.
Tomasz Filipów
DISKUS Polska
Zabezpieczenia 6/2010