En este escenario, el área de seguridad de la información o gerente de TI puede optar por poner en juego políticas menos estrictas para los discos duros del departamento de diseño gráfico, al tiempo que coloca una política de destrucción de datos, verificable, registrada y certificada para los datos del departamento de contabilidad. En lo que respecta al retiro, la dirección de TI debe asegurarse que, al salir de la custodia de la empresa, los discos duros deben ser borrados de manera segura (purga según el NIST) de acuerdo con los diversos niveles de confidencialidad asignados.
No.2 Elegir directivas de destrucción de datos según la fase del ciclo de vida y el destino de los medios.
Una vez que su organización comprende la jerarquía de riesgos y ha categorizado los medios en consecuencia, la directiva de destrucción de datos puede ser impulsada por el lugar donde los medios se encuentran en la etapa del ciclo de vida. Los medios que se transfieren o vuelven a utilizar en una organización pueden tener un estándar de destrucción de datos diferente que los discos duros que se retirarán y eliminarán. Su organización puede optar por destruir físicamente los discos duros que tienen daño físico y por lo tanto no pueden ser borrados de manera segura. Los discos duros altamente confidenciales deben pasar por el borrado de borrado seguro, mediante una sobreescritura de datos con verificación para su reutilización interna.
La verificación y documentación de los métodos de destrucción de datos también debe elegirse de acuerdo con el ciclo de vida. La selección del tipo de método de sobreescritura de destrucción también estará impulsada por la etapa del ciclo de vida del medio. Es posible que no sea posible reutilizar ciertos tipos de medios que han sido desgausados o alterados físicamente. En algunos casos, una organización puede optar por borrar los discos duros con el estándar de borrado NIST I de 1x sobreescritura a los discos duros antes de ser reutilizados o utilizar un estándar de borrado HMG INFOSEC para discos duros confidenciales.
Para cada proceso de borrado debe de documentar la destrucción de datos durante la reutilización interna y las transferencias de equipos de cómputo, pero antes de la disposición una organización debe requerir documentación y certificación de firma independientemente del nivel de confidencialidad de los datos.
No.3 Aprobar y utilizar las herramientas de destrucción de datos adecuadas.
Las organizaciones deben de seleccionar un software para realizar varios niveles de destrucción de datos. Estas herramientas se pueden administrar internamente o una organización puede depender de proveedores para ciertas funciones, pero de cualquier manera el proceso debe incluir pasos para verificar el éxito de las herramientas.
Es necesario contar con una herramienta que ofrezca diferentes soluciones para el borrado seguro de datos. Por ejemplo, si la limpieza o purga de datos es el método preferido de una empresa para todos los medios, los productos disponibles para hacerlo pueden no ser compatibles con ciertos sistemas y plataformas. Las fallas mecánicas y los sectores defectuosos (remapeados) también pueden hacer imposible un borrado seguro. En estos casos, una empresa debe mantener un procedimiento de borrado seguro para discos duros (HDD) y otro para discos de estado sólido (SSD), Tal vez el ejemplo más prudente a destacar son los métodos aprobados para la erradicación de datos de disco de estado sólido (SSD). El documento actual de NIST aprueba clear, purge, and destroy para SSD. Debe tenerse en cuenta específicamente que degausear un disco de estado sólido SSD no destruye los datos en los discos, ya que los SSD no utilizan tecnología magnética para almacenar información. NIST continúa destacando que él borrado seguro y la limpieza de SSD requiere verificación, comprobaciones manuales por parte de los técnicos de que los datos se han borrado y, por lo general, verificaciones de calidad de la administración en la implementación del proceso general.
No.4 Aprobar y utilizar las herramientas de destrucción de datos adecuadas.
Una característica clave para cualquier destrucción de datos y política de seguridad al final de la vida útil es desarrollar un reporte de borrado y un lugar para depositar los reportes para atender las auditorias internas o externas. El reporte deberá contar con cierta información que va enfocado en capturar detalles clave a lo largo de los procedimientos de destrucción. NIST hace hincapié en los elementos clave a tener en cuenta de la siguiente manera:
- Nivel de Confidencialidad (Estándar de Sobreescritura)
- Herramienta Utilizada (incluir versión, marca, marca y/o modelo)
- Método de Verificación (Comprobación manual completa, muestra rápida, etc.) Reporte auditable y que no sufra alteraciones posteriores a su generación
- Nombre de la persona responsable, título, fecha, ubicación e información de contacto
- Firma de la persona
No.5 Reporte de Borrado será la evidencia del proceso
Un procedimiento de destrucción de datos seguro debe incluir la verificación de la eliminación de datos a través de herramientas de generación de reportes integradas en los productos de borrado seguro disponibles, así como certificaciones completas para verificar y garantizar el éxito de la eliminación de datos.
La dirección de TI también debe requerir que la gerencia de seguridad supervise y realice evaluaciones de desempeño para evaluar que el trabajo que se está realizando.
Los procesos de borrado seguro de datos no solo deben de orientarse con niveles de seguridad, sino que la herramienta de borrado y los reportes del proceso garanticen que la empresa está en cumplimiento a normativas y regulaciones en protección de datos.
descarga_mejores_prácticas
© Copyright Delete Technology S.A de C.V
