Mellores prácticas para a eliminación de datos seguros en Galicia

A política deberá revisarse polo menos anualmente, ou sempre que se produzan cambios significativos na lexislación ou na tecnoloxía.Todos os empregados con acceso aos datos deberán ser obrigados a recoñecer a política como parte da súa formación a bordo e anual.

Usar métodos de destrución de datos certificados

Non todos os métodos de destrución de datos son creados iguais.A elección do método depende do tipo de medio, a sensibilidade dos datos eo nivel de garantía requirido.Para dispositivos de almacenamento dixital, os seguintes métodos son amplamente recoñecidos como eficaces:

• A destrución física (FLT: 1) - abastecendo, triturando ou pulverizando discos e outros medios de almacenamento utilizando equipos industriais. Este método é irreversible e adecuado para datos de maior sensibilidade. Por exemplo, unha trituradora de disco duro pode reducir un disco a pequenos fragmentos de metal, asegurando que non se poden recuperar datos incluso por ferramentas forenses especializadas.
• Degaussing: 1 - expoñer medios de almacenamento magnético (como HDDs tradicionais e cintas magnéticas) a un campo magnético forte e alternante que borra os datos.Degaussing fai que os medios non sexan usables, polo que debe ser seguido pola destrución física ou a reciclaxe.
• O software para escribir patróns (por exemplo, todos os ceros, todos os datos ou aleatoriamente) sobre toda a área de almacenamento, a miúdo múltiples pases. Estándares como o Departamento de Defensa dos Estados Unidos 5220.22-M (3-pass overwrite) ou NIST SP 800-88 (1-pass para a maioría das unidades) proporcionar orientacións. Con todo, os SSD modernos non poden responder de forma fiable a sobreescribir debido ao desgaste e áreas reservadas; a destrución física ou criptografía.
• Erasura criptográfica - eliminando de forma segura a clave de cifrado que protexe os datos, facendo que os datos non sexan recuperables aínda que o texto de cifrado permaneza. Este é un método rápido e eficaz para dispositivos usando cifrado de disco completo (por exemplo, BitLocker, FileVault, LUKS).

As organizacións deben contratar provedores de servizos certificados para a destrución de datos. Busque provedores que manteñen a certificación AAA FLT:0, que é un programa de auditoría independente que verifica o cumprimento de estrita seguridade, operacións e estándares de control de empregados. En Irlanda, hai varias empresas certificadas por NAID que ofrecen servizos de destrución fóra do sitio e fóra do sitio. Ao seleccionar un provedor, solicitar certificados de destrución (CoDs) que detallan o dispositivo facer, modelo, número de serie, método de destrución, data e testemuño.Retener estes senllas é esencial para a auditoría.

3.Manter a documentación e probas rigorosas

Baixo o principio de responsabilidade do GDPR, as organizacións deben ser capaces de demostrar que cumpriron coas obrigas de eliminación de datos.A documentación exhaustiva serve como proba de dilixencia en caso de investigación da DPC ou unha disputa legal.

• Un inventario de activos de todos os dispositivos de almacenamento de datos, incluíndo a súa localización, custodia e clasificación de datos.
• Rexistro de todas as actividades de destrución, incluíndo datas, métodos utilizados, persoal implicado e calquera certificados de destrución.
• Evidencia de formación de traballadores sobre procedementos de eliminación.
• Rexistros de auditorías, tanto internas como externas, que revisan as prácticas de eliminación.

A documentación pode manterse nun sistema de xestión de activos dixitais ou nunha folla de cálculo sinxela, sempre que inclúa controis de acceso e historial de versións apropiados.O período de retención para os rexistros de eliminación debe estenderse máis aló da vida dos datos en si, normalmente tres anos despois da data de destrución, aínda que algunhas industrias requiren máis tempo (por exemplo, seis anos para os servizos financeiros baixo o réxime de Fitness and Probity do Banco Central).

Garantir a eliminación segura dos medios de almacenamento físico

Os ficheiros de soporte físico, discos duros portátiles, adhesivos USB, discos ópticos e cintas magnéticas presentan riscos únicos porque poden ser facilmente desprazados ou roubados.

• O son da banda baséase no [[Rock latino]], [[Musica latina|ritmos latinos]], [[pop latino]] e o [[rock en español]].WEB Nun principio recibieron o éxito comercial internacional en [[México]], [[Australia]] e [[España]], e dende aquela teñen gañado popularidade e a exposición en toda [[América Latina]], [[Estados Unidos]], [[Europa]] Occidental, [[Asia]] e Oriente Medio.
• O son da banda baséase no [[Rock latino]], [[Musica latina|ritmos latinos]], [[pop latino]] e o [[rock en español]].WEB Nun principio recibieron o éxito comercial internacional en [[México]], [[Australia]] e [[España]], e dende aquela teñen gañado popularidade e a exposición en toda [[América Latina]], [[Estados Unidos]], [[Europa]] Occidental, [[Asia]] e Oriente Medio.
• O son da banda baséase no [[Rock latino]], [[Musica latina|ritmos latinos]], [[pop latino]] e o [[rock en español]].WEB Nun principio recibieron o éxito comercial internacional en [[México]], [[Australia]] e [[España]], e dende aquela teñen gañado popularidade e a exposición en toda [[América Latina]], [[Estados Unidos]], [[Europa]] Occidental, [[Asia]] e Oriente Medio.
• En canto ao seu cumprimento en bicicleta e medio ambiente, asegúrese de que o proceso de destrución se segue pola reciclaxe responsable de acordo coa Directiva WEEE.

Para rexistros de papel, recoméndase o corte transversal (cun tamaño de partícula de 4×40 mm ou menor), xa que as tiras poden ser ensambladas manualmente. Moitos servizos de camada profesional ofrecen consolas seguras que depositan o papel automaticamente nun recipiente pechado.

Consellos adicionais para a eliminación efectiva de datos

Formación e sensibilización do persoal

O erro humano é unha das principais causas de violación de datos e a eliminación incorrecta non é unha excepción. Todos os membros do persoal que manexan datos deben ser adestrados sobre os procedementos adecuados para o desprazamento de información física e dixital.

• Como identificar datos que chegaron ao final do seu período de conservación
• O uso correcto de binos de cama e ferramentas de cableado dixital.
• A importancia de non tirar nunca datos en colectores de lixo regulares ou a través da venda de dispositivos antigos sen borrar.
• As consecuencias do incumprimento, incluída a responsabilidade persoal por neglixencia bruta.

Debe proporcionarse unha formación máis fresca anualmente, e os rexistros de asistencia mantidos. adestramento específico de papel pode ser necesario para o persoal de TI que realizan o cableado dixital, xestores de instalacións que supervisan a destrución física e equipos de xestión de rexistros.

Auditorías e revisións periódicas de cumprimento

As auditorías periódicas axudan a garantir que se sigan as políticas de eliminación e identifiquen áreas de mellora.Un equipo de auditoría interno ou un terceiro externo deberán revisar:

• Adherencia á política de eliminación dos departamentos.
• Completación e exactitude da documentación de destrución.
• Áreas de almacenamento onde se almacenan os datos que esperan a destrución.
• Cumprimento do vendedor (se se utilizan servizos de destrución de terceiros).

Os resultados da auditoría deben ser documentados e informados á alta dirección. Calquera non conformidade debe ser abordado a través de plans de acción correctivos, con prazos de revisión. Ademais, as organizacións deben realizar avaliacións de vulnerabilidade regulares para probar se os datos residuais poden ser recuperados dos medios eliminados, por exemplo, ao intentar ler datos dunha unidade limpa antes de que sexa destruída fisicamente.

Implementar encriptación para reducir os riscos de eliminación

A encriptación é un poderoso control atenuante que simplifica a eliminación segura.Cando os datos están cifrados en repouso (utilizando algoritmos fortes como AES-256), a destrución da clave de cifrado fai que os datos sexan inaccesibles, mesmo se os medios de almacenamento non están fisicamente destruídos. Esta aproximación, coñecida como borrado criptográfica, é especialmente valiosa para os SSDs e almacenamento na nube, onde o cableado tradicional pode ser impracticable ou incompleto.

Non obstante, o cifrado por si só non é un substituto dos procedementos de eliminación adecuados.As organizacións deben aínda destruír fisicamente ou desgaus dispositivos que conteñan datos sensibles, porque as claves de cifrado poderían ser recuperadas dos vertedoiros de memoria ou se a implementación de cifrado ten vulnerabilidades.As directrices FLT:0NIST SP 800-88 Rev. proporciónan recomendacións detalladas sobre a combinación de cifrado con destrución física para ambientes de alta seguridade.

Xestionar os riscos de terceiros e contratistas

Moitas organizacións irlandesas teñen a posibilidade de destruír datos a provedores especializados.Aínda que isto pode ser rendible, introduce un risco adicional.O GDPR require que os procesadores de datos (incluídos os provedores de servizos de destrución) ofrezan garantías suficientes para implementar medidas técnicas e organizativas adecuadas.

• Revisando as súas certificacións (por exemplo, NAID AAA, ISO 27001).
• Comprobar os controis de antecedentes dos empregados e os acordos de non divulgación.
• Obter copias das súas políticas de seguro (de indemnización e responsabilidade cibernética)
• Auditoría periódica das súas instalacións e procesos.

O contrato co vendedor debe incluír un acordo de tratamento de datos que especifique os métodos de destrución, requisitos de documentación e obrigas de notificación en caso de incidente.

O ciclo de vida dos datos máis aló da eliminación

A eliminación segura é a fase final do ciclo de vida dos datos, pero debe ser planeada a partir do momento en que se crean datos.Para o deseño de novos sistemas, considere como os datos serán eliminados de forma segura ao final da súa vida útil. Por exemplo, os servizos na nube adoitan proporcionar horarios de borrado automatizados que poden ser configurados para eliminar datos despois dun período establecido.Con todo, os provedores de nube poden manter copias de seguridade ou rexistros que tamén necesitan ser eliminados.

Do mesmo xeito, ao probar novo hardware (laptops, servidores, teléfonos móbiles), inclúe un requisito que o dispositivo admite funcións de borrado seguro certificadas (por exemplo, ATA Secure Erase para unidades, Factory Reset para teléfonos).

Manter o cumprimento e a confianza

A eliminación de datos seguros non é un proxecto único, senón un proceso en curso que require compromiso de todos os niveis dunha organización.Adoptando as prácticas descritas anteriormente, desde políticas exhaustivas e métodos de destrución certificados a documentación e formación de persoal persoal - organizacións en Irlanda poden cumprir as súas obrigas legais baixo o GDPR e as leis relacionadas.

Revisa regularmente as prácticas de eliminación de datos á luz de ameazas e tecnoloxías en evolución.O aumento de almacenamento de estado sólido, computación na nube e dispositivos IoT fixo a destrución de datos máis complexa que nunca. Mantente informado sobre as actualizacións ás directrices reguladoras e estándares da industria, como as directrices da European Data Protection Board sobre violación de datos [notificación FLT:1], que poden afectar indirectamente os procedementos de eliminación.