Cuando una compañía quiere retirar, por obsolescencia o traslado, la infraestructura tecnológica que ha estado utilizando durante los últimos años, los pasos para garantizar la confidencialidad de los datos que contiene no resultan complejos, aunque sí metódicos.
Procedimiento
Hace unos meses, las fuerzas armadas de la OTAN desplazadas en Afganistán completaron su retirada del país, y con ellas todos sus elementos tecnológicos más sensibles.
El Departamento de Defensa Norteamericano emitió entonces un informe con las directrices a seguir. Estas contemplaban un inventario y clasificación de los equipos que requerían un tratamiento especial y el control de los sistemas de almacenamiento de información físicos.
Dichos elementos no solo incluían la infraestructura informática administrativa sino también equipamiento militar o sistemas médicos de soporte; en general, cualquier dispositivo que contuviera información de uso civil o militar relacionada con la seguridad del país o de las personas.
Destrucción de información
Cuando la retirada se produce de forma precipitada, como ocurrió en ese caso, el tiempo disponible para la destrucción de documentos o para borrar el contenido de los equipos informáticos se convierte en todo un reto. Se requiere un pensamiento metódico y entrenado cuya implementación ha de ser conocida por todos los miembros de la organización.
No se trata exclusivamente de destruir el contenido de los equipos que vayan a ser abandonados, sino también, llegado el caso, de conservar la información que contenían a modo de copia de seguridad.
Y es que, poniendo a un lado los sistemas militares, como ciudadanos o incluso como empresarios, no dejamos de ver situaciones en las que muchos equipos informáticos quedan olvidados en un rincón o almacenados para posteriormente ser reciclados.
De este modo, la pregunta que nos hacemos es: ¿estamos seguros de que si cediéramos uno de esos equipos a un tercero, este no accedería a información sensible?
Información olvidada
No es extraño encontrar equipos obsoletos que contienen información confidencial que ha sido olvidada por sus propietarios: archivos de texto, imágenes, aplicaciones, cuando no incluso certificados digitales personales, aplicaciones críticas o claves de acceso a sistemas.
Si trasladáramos esta situación a una compañía los resultados podrían ser catastróficos. Las implicaciones legales en materia de protección de datos personales, por ejemplo, serían importantes. También lo serían probablemente en daños a la imagen si la información fuera divulgada.
Un estudio de Blancco Tecnologies mostró hace un par de años que el 42% de los discos duros que se vendían en eBay contenían información sensible de sus propietarios.
Reformatear discos duros no es suficiente
A menudo tendemos a pensar que si reformateamos el disco duro de un equipo este quedará configurado en su instalación originaria de fábrica y toda la información habrá sido eliminada. Sin embargo, nada más lejos de la realidad.
Al reformatear el disco solo conseguimos que las tablas de índices de ficheros desaparezcan, pero no así su contenido. Prácticamente será casi lo mismo que borrar un fichero y olvidarlo en la papelera de reciclaje. Con herramientas adecuadas será posible recuperar el contenido y acceder a él casi de forma inmediata.
Por eso mismo resulta indispensable recurrir a procedimientos más eficaces que van desde la sobreescritura repetida del disco, la desmagnetización o la destrucción física del dispositivo. El primer procedimiento permite la posterior reutilización del equipo. Los dos últimos lo inhabilitan definitivamente hasta convertirlo en pura chatarra.
Norma ISO 15713:2010
De cualquier forma, no todos los procedimientos son igual de eficaces para todos los tipos de dispositivos. En los discos ópticos y electrónicos, como DVD, CD o SSD, solo la destrucción física garantiza la eliminación de los contenidos almacenados.
Pero incluso para la destrucción existen condiciones. La normativa UNE-EN 15713: 2010, “Destrucción segura del material confidencial, código de buenas prácticas”, recoge hasta ocho niveles de triturado o desintegración (aplicables o no según la clase de material) y determina el tamaño máximo de corte y el método de destrucción en función de cada nivel. Por eso, resulta indispensable disponer de un método definido y acorde a la ley.
Errores comunes
Llegados a este punto, conviene recordar que la obsolescencia tecnológica es un proceso irreversible. Tarde o temprano los dispositivos se hacen antiguos y todos podemos cometer errores al deshacernos de ellos.
Si lo pensamos detenidamente estos errores aplican no solo a los equipos que dejamos de emplear en nuestras organizaciones sino también a nuestros propios dispositivos personales.
No seguir reglas seguras de destrucción, no saber a dónde van a ir a parar cuando los reciclamos u ofrecemos como bienes de uso social, o incluso ignorar la normativa vigente en protección de datos personales están entre los más habituales.
Si la información no se destruye, esta seguirá ahí por si alguien decide investigar y recuperarla.
Y si no, hagámonos la siguiente pregunta: ¿qué hemos hecho con nuestro último teléfono móvil? Si alguno responde que toda su información la transfirió a la nube posiblemente esté contestando con cierta ingenuidad.
