Co dzieje się z danymi zapisanymi na dysku, kiedy komputer zostaje wycofany z użytkowania? Samo usunięcie plików czy nawet sformatowanie dysku nie oznacza, że danych nie będzie się już dało odzyskać. Dla organizacji i firm, które przetwarzają dane osobowe, finansowe czy medyczne i które regularnie wycofują sprzęt IT z użytkowania, postępowanie z wycofywanymi nośnikami powinno być dobrze przemyślanym elementem polityki bezpieczeństwa.
Jednym ze sposobów ograniczenia ryzyka odzyskania danych jest fizyczne zniszczenie nośnika. O tym, jak robić to bezpiecznie i skutecznie, przeczytasz w tym artykule.
W codziennej pracy działów IT wycofywanie i wymiana sprzętu często wyglądają podobnie. Pracownik dostaje nowy komputer, zbędne podzespoły są utylizowane, a stary dysk zostaje odłożony do magazynu. Problem jest taki, że na takim nośniku nadal znajdują się informacje, które nie powinny być dostępne dla osób nieuprawnionych.
Standardowe formatowanie, a już zwłaszcza usunięcie plików i opróżnienie kosza, to nie jest odpowiednie zabezpieczenie czy zniszczenie danych. Takie dane nadal bez problemu można odzyskać przy wykorzystaniu odpowiedniej technologii i specjalistycznych narzędzi.
Dlatego w przypadku nośników, które nie będą już potrzebne, warto zastosować rozwiązanie gwarantujące fizyczne uszkodzenie nośnika i jego elementów przechowujących dane.
Warto oddzielić wymagania prawne od konkretnych metod technicznych. RODO nie nakazuje przedsiębiorcy stosowania konkretnej niszczarki ani określonej technologii niszczenia dysków. Wymaga natomiast, aby administrator – uwzględniając charakter, zakres i kontekst przetwarzania danych oraz związane z tym ryzyko – stosował odpowiednie środki zapewniające bezpieczeństwo danych. Wynika to m.in. z art. 24., 25. i 32. RODO.
Szczególnie istotny jest art. 32., który wskazuje na konieczność uwzględnienia ryzyka nieuprawnionego ujawnienia danych osobowych lub dostępu do nich, a także ich przypadkowego lub niezgodnego z prawem zniszczenia, utraty czy modyfikacji. Znaczenie ma również zasada ograniczenia przechowywania określona w art. 5., według którego dane osobowe powinny być przechowywane w formie pozwalającej na identyfikację danej osoby przez okres nie dłuższy, niż jest to niezbędne do celów, w jakich dane są przetwarzane.
W praktyce oznacza to potrzebę określenia przez organizację zasad dotyczących okresów przechowywania danych oraz sposobu postępowania z informacjami, które nie są już potrzebne. Bezpieczne wycofywanie nośników danych powinno być jednym z elementów takiego procesu.
Warto przy tym pamiętać, że nie istnieje jedna uniwersalna metoda usuwania danych odpowiednia dla każdej organizacji i każdego rodzaju informacji. Zastosowane rozwiązanie powinno odpowiadać charakterowi danych, poziomowi ryzyka oraz przyjętym procedurom bezpieczeństwa.
Przekazanie dysków do zewnętrznej firmy może być właściwym rozwiązaniem, jeżeli cały proces jest odpowiednio zorganizowany i zabezpieczony. Wiąże się to jednak z dodatkowymi etapami, takimi jak przechowywanie, transport i przekazanie nośników poza organizację. Alternatywą jest fizyczne niszczenie nośników bezpośrednio w siedzibie firmy, dziale IT, serwerowni lub innym kontrolowanym miejscu. Takie rozwiązanie może pozwolić na:
1. Ograniczenie liczby osób mających kontakt z nośnikiem. Nośnik nie musi być przechowywany do czasu zorganizowania odbioru przez firmę zewnętrzną ani przekazywany kolejnym podmiotom.
2. Skrócenie procesu wycofywania sprzętu. Nośnik może zostać zniszczony bezpośrednio po wycofaniu urządzenia z użytkowania, zgodnie z obowiązującą w organizacji procedurą.
3. Ograniczenie miejsca do magazynowania. Niepotrzebne dyski nie muszą przez tygodnie czy miesiące zajmować miejsca w serwerowni, magazynie czy szafach w dziale IT.
4. Zachowanie kontroli nad procesem niszczenia. Organizacja sama określa, kto, kiedy i w jaki sposób dokonuje zniszczenia nośnika.
5. Uporządkowanie procedury wycofywania sprzętu. Fizyczne niszczenie nośników może zostać włączone do wewnętrznej procedury wycofywania sprzętu i zabezpieczania informacji.
Sama niszczarka nie zastępuje procedury bezpieczeństwa. Najlepsze efekty daje połączenie odpowiedniego urządzenia, jasno określonych zasad oraz odpowiedzialności pracowników. W praktyce warto określić:
1. Kiedy nośnik podlega zniszczeniu? Organizacja powinna określić sytuacje, w których nośnik jest przeznaczony do wycofania i na pewno nie będzie już potrzebny.
2. Kto może niszczyć nośniki? Warto wyznaczyć osoby odpowiedzialne za realizację procesu.
3. Jak identyfikowany jest nośnik? Można zastosować własny system ewidencji, np. numer urządzenia, numer seryjny czy identyfikator zlecenia.
4. Jak dokumentowany jest proces? Sposób dokumentowania powinien odpowiadać wewnętrznym procedurom, wymaganiom organizacji oraz charakterowi przetwarzanych danych.
5. Co dzieje się z pozostałościami po zniszczeniu? Należy również określić sposób postępowania z powstałym odpadem, zgodnie z obowiązującymi zasadami dotyczącymi zużytego sprzętu elektrycznego i elektronicznego oraz innych właściwych kategorii odpadów.
Dobrze zaprojektowana procedura pozwala traktować niszczenie nośników nie jako jednorazową czynność techniczną, ale jako stały element procesu zarządzania sprzętem IT i bezpieczeństwem informacji.
Organizacjom, które chcą realizować proces fizycznego niszczenia nośników we własnym zakresie, OPUS oferuje dataPREDATOR EMD – profesjonalną niszczarkę przeznaczoną do mechanicznego niszczenia nośników danych. Urządzenie umożliwia niszczenie:
Proces obsługi jest bardzo prosty:
1. Umieszczasz nośnik w szufladzie roboczej i zamykasz klapkę bezpieczeństwa.
2. Uruchamiasz urządzenie za pomocą przycisku.
3. Mechanizm automatycznie wykonuje cykl niszczenia.
Proces niszczenia trwa zaledwie kilka sekund. Operator nie musi przy tym ręcznie rozkręcać dysku ani stosować innych narzędzi – całą pracę wykonuje maszyna.
Urządzenie umożliwia perforację i deformację klasycznych dysków twardych HDD o maksymalnej wysokości 27 mm.
Przy zastosowaniu odpowiedniej przystawki urządzenie umożliwia przecinanie dysków SSD oraz pendrive’ów. Obsługiwane są dyski SSD o szerokości 16–30 mm i długości 16–110 mm.
Urządzenie umożliwia mechaniczne niszczenie telefonów o wysokości do 30 mm. Ważna uwaga: przed zniszczeniem telefonu należy wyjąć baterię!
Niszczarka umożliwia niszczenie do 20 kart płatniczych za jednym razem.
W przypadku profesjonalnego niszczenia nośników warto zwrócić uwagę na normy określające zasady i wymagania związane z bezpiecznym niszczeniem danych.
ISO/IEC 21964 obejmuje m.in. wymagania dotyczące urządzeń służących do niszczenia nośników oraz samego procesu niszczenia. Norma odnosi się również do klasyfikacji nośników i poziomów bezpieczeństwa. OPUS dataPREDATOR EMD zapewnia następujące poziomy bezpieczeństwa dla poszczególnych nośników:
Warto podkreślić, że klasyfikacja według normy nie jest równoznaczna z „certyfikatem zgodności z RODO”. RODO nie ustanawia jednej konkretnej klasy niszczenia nośników. Dobór środka technicznego powinien wynikać z analizy ryzyka, rodzaju przetwarzanych danych oraz przyjętych w organizacji procedur.
Jednym z istotnych parametrów dataPREDATORa EMD jest siła nacisku wynosząca 15 kN. Urządzenie ma wymiary 324 × 277 × 309 mm i waży 30,5 kg. Metalowa konstrukcja została zabezpieczona powłoką proszkową, a urządzenie wyposażono w uchwyty ułatwiające jego przenoszenie.
Kompaktowe wymiary pozwalają na wykorzystanie urządzenia nie tylko w jednym centralnym punkcie organizacji, ale również w różnych działach – zależnie od przyjętej procedury i organizacji procesu.
Fizyczne niszczenie nośników powinno odbywać się nie tylko przy użyciu urządzenia specjalnie zaprojektowanego do tego celu, ale i z dużym naciskiem na bezpieczeństwo osoby odpowiedzialnej za niszczenie. Aby zapewnić bezpieczeństwo operatorowi i maksymalnie usprawnić pracę, dataPREDATOR EMD został wyposażony m.in. w:
Urządzenie jest przeznaczone do pracy ciągłej w pomieszczeniach zamkniętych w temperaturze do 30°C.
Fizyczne niszczenie nośników jest szczególnie istotne w organizacjach, które regularnie wycofują sprzęt IT z użytkowania. Niszczarka do dysków dataPREDATOR EMD sprawdzi się m.in. w:
Szczególnie istotnymi momentami w cyklu życia sprzętu mogą być:
W każdym z tych przypadków organizacja powinna mieć określony sposób postępowania z nośnikami, które zawierają lub mogły zawierać informacje wymagające ochrony.
Troska o bezpieczeństwo danych powinna obejmować nie tylko okres, w którym informacje są aktywnie przetwarzane; równie ważne jest odpowiednie postępowanie z nośnikami po zakończeniu ich użytkowania. Dlatego warto spojrzeć na cykl życia sprzętu IT jako całość:
zakup → użytkowanie → wymiana → wycofanie → zabezpieczenie danych → zniszczenie nośnika → zagospodarowanie pozostałości.
Odpowiednio zaplanowany proces pozwala ograniczyć sytuacje, w których wycofane dyski przez długi czas pozostają w magazynie lub są przekazywane kolejnym osobom i podmiotom. Fizyczne niszczenie nośników może być jednym z elementów takiego procesu – szczególnie wtedy, gdy organizacja chce zachować bezpośrednią kontrolę nad tym etapem.
Wycofanie sprzętu IT nie musi oznaczać końca odpowiedzialności za znajdujące się na dyskach informacje. Dobrze zaprojektowana procedura powinna określać nie tylko to, kiedy sprzęt zostaje wycofany z użytkowania, ale również to, co dzieje się potem z nieużywanymi nośnikami.
OPUS dataPREDATOR EMD został zaprojektowany z myślą o organizacjach i firmach, które chcą realizować fizyczne niszczenie nośników we własnym zakresie i włączyć ten proces do swoich procedur bezpieczeństwa informacji.
Chcesz sprawdzić, czy OPUS dataPREDATOR EMD sprawdzi się w Twojej organizacji? Umów bezpłatną prezentację urządzenia!
Polecamy zakup naszych produktów u partnerów handlowych zlokalizowanych w całej Polsce. Nasi partnerzy doradzą w wyborze najlepszych urządzeń biurowych.
Znajdź punkt sprzedażyKorzystaj z panelu dilera, w którym udostępniamy informacje dot. naszego asortymentu, warunki sprzedaży oraz materiały marketingowe.
Zaloguj się
