Náznaky systematického přístupu nacházíme pouze v organizacích, kde současně řeší oblast utajovaných informací (dle zákona 412/2005 Sb.). I zde se ale jedná spíše o skartaci celých disků pomocí specializovaných zařízení fungujících na principu silného magnetického pole. Většina organizací sice nezapomíná na skartaci dat na úrovni bezpečnostní politiky, ale v praxi pak nezavádí nástroje, kterými by definovaná opatření realizovala. Existuje jen minimálně Dosud organizací, kde by měli přímo uživatelé k dispozici nástroje pro skartaci dat. O úspěchu lze mluvit v případě, kdy je mají k dispozici alespoň administrátoři.
I když je každému jasné, že stejnou pozornost, jakou věnuje ochraně dat, která chce zachovat, musí věnovat i likvidaci dat, která už nepotřebuje, realita je jiná. Stačí se podívat na občas zveřejňované průzkumy typu „nakoupili jsme bazarové hardisky…“
Často zmiňovaný je například výzkum realizovaný Massachusetts Institute of Technology (MIT) z roku 2004. Ze 158 pevných disků z různých bazarů, z hromadných výprodejů velkých firem a dalších podobných zdrojů hned 28 disků obsahovalo zcela nesmazaná data, 60 % testovaných disků bylo sice zformátováno, ale jen necelých 10 % z celkového počtu bylo opravdu bez dat. Z 90 % disků se tedy nějaká data získat dala. MIT tehdy na discích našla spoustu opravdu zajímavých dat, např. hesla, pornografii, lékařské zprávy, osobní a firemní data, e-maily apod. Kardinální úlovek představoval pevný disk z bankomatu, který obsahoval soubor s kompletním výpisem výběrů (časy, data, čísla karet, částky apod.) za celý rok provozu.
Pokud si myslíte, že je to už dávno a v současnosti už je situace daleko lepší, nemáte tak úplně pravdu. Důkazem je poměrně aktuální průzkum americké společnosti Kessler International. Ta v průběhu šesti měsíců nakoupila celkem 100 pevných disků z druhé ruky na aukčním serveru eBay v USA a Kanadě. Výsledek – 40 disků obsahovalo vůbec nesmazaná nebo obnovitelná data. Celkem 36 % těchto informací bylo osobní nebo jinak důvěrné povahy (včetně finančních údajů), 21 % byly e-maily, 13 % fotografie, 11 % firemní dokumenty a 11 % historie internetových prohlížečů. Z informací zveřejněných firmou Kessler dále vyplývá, že se v datech zanechaných na některých discích dala o předešlých vlastnících najít řada pikantních informací, jejichž zveřejnění by jim zcela určitě nebylo příliš po chuti.
Proč skartovat?
Z výše uvedeného mj. vyplývá, že pokud uživatel věří, že data, která smazal běžným způsobem, už nikdy nikdo neuvidí, je na omylu. Je to hlavně kvůli tomu, že operační systémy jako například Windows mažou data tak, že pouze určitým způsobem pozmění hlavičku souboru a v alokační tabulce označí příslušné místo na disku jako volné. Data samotná pak ale leží dále na disku v nezměněné podobě, a dokud nejsou přepsána, může se k nim kdokoliv dostat. Pomocí bezplatně dostupných softwarových nástrojů mohou být jednoduše obnovena a zneužita - stačí pouze opravit onu hlavičku. Dokonce i přepsaná data je teoreticky možné obnovit pomocí zbytkového magnetismu, který zůstává na plotně každého magnetického média. S počtem přepisů ale pravděpodobnost možného obnovení klesá.
V běžném životě si to lidé často neuvědomují, ale jejich počítač obsahuje spoustu dat, která věrně vypovídají o jejich chování a návycích. Například internetový prohlížeč je schopen při surfování ukládat na disk širokou škálu informací o tom, kde příslušný uživatel byl a co jsme tam dělal.
Kdy skartovat?
Skartaci elektronických dat je vhodné provádět v situacích, kdy nad počítačem nebo jiným paměťovým médiem ztrácíte kontrolu. Je třeba si uvědomit, že tím příštím, kdo se k němu dostane, může být v lepším případě zvídavý student, v horším případě někdo od konkurence…
Na skartaci, která spočívá v několikanásobném přepisu definovaným nebo náhodným vzorkem s následným standardním smazáním dat, by se nemělo zapomínat ani při pravidelné údržbě počítače. Je vhodné čas od času skartovat alespoň historii a dočasné soubory internetového prohlížeče a volné místo na všech diskových jednotkách, protože obsahuje soubory smazané „standardním způsobem“.
Jak skartovat?
Ke skartaci dat lze použít řadu softwarových nástrojů. Některé z nich jsou dostupné i zdarma, někdy jsou tyto nástroje implementovány v rámci bezpečnostních řešení pro pracovní stanice. Hlavním parametrem, který by měl uživatele u těchto nástrojů zajímat, je ale počet přepisů dat při skartaci.
K likvidaci běžných provozních dat postačí jediný přepis. Citlivější data by měly být skartovány alespoň sedmi přepisy, což je všeobecně uváděná hranice možného obnovení dat pomocí magnetické rezistence média. Ke skartaci citlivých a utajovaných dat je také doporučováno využívat speciální skartační algoritmy, kterých je v současnosti k dispozici celá řada. Namátkou lze uvést americký US DoD 5220.22 nebo US Army AR380-19, kanadský RCMP TSSIT OPS-II, německý VSITR, britský HMG IS5 nebo ruský GOST P50739-95. Jak už samy názvy napovídají, jedná se o produkty „specializovaných bezpečnostních institucí“.
Jak je tedy vidět už jen při zběžném pohledu na internet, nástrojů použitelných ke skartaci dat je k dispozici spousta. Je tedy hlavně na firmě, aby je dokázala vhodně implementovat do svého prostředí a efektivně využívat tak, aby zabránila nežádoucím únikům dat…
Tento článek vyšel v tištěném SecurityWorldu 1/2009.
PŘEDPLATNÉ
ČLÁNKY DO MAILU