A számítógéped meghajtója soha nem felejt

Az információ nem vész el, csak átalakul. Ugyanezt tapasztaljuk, ha az adathordozókra gondolunk. Egy globális pénzintézet például néhány éve lecserélte szerverparkjának egy részét, és a leselejtezett hardverek feldolgozását egy külső alvállalkozóra bízta. A szolgáltató nem törölt semmit rendesen. Több ezer merevlemez és szerver landolt aukciós oldalakon, rajtuk korábbi ügyfelek neve, számlaszáma, befektetési adatai. A végeredmény: a Morgan Stanley 155 millió dollárt fizetett bírságokra és peren kívüli egyezségekre, miközben az egész hercehurca kivédhető lett volna. 

Nagy és fontos informatikai témáról van szó, amelyről a teljesség igénye nélkül beszélünk ebben a cikkben.

A formázás csak ígéret

Sok cégvezető azt gondolja, egy gyorsformázás vagy egy gyári visszaállítás elintézi az adatok eltüntetését. A digitális igazságügyi szakértők mást mondanak. Amikor egy operációs rendszer töröl egy fájlt, csak a fájlrendszer mutatóját jelöli szabadon írhatóként, magát az adatot a lemezen hagyja. Egy egyszerű szoftveres helyreállító eszközzel percek alatt visszahozható a töröltnek vélt tartalom.
Az SSD-knél még bonyolultabb a kép. A vezérlő folyamatosan átrendezi az adatokat a memóriacellák között, hogy azok egyenletesen kopjanak. A névleges kapacitás felett tartalék területet is fenntart, amelyhez a törlőszoftverek hozzá sem férnek. A NAID amerikai adatvédelmi tanúsító szervezet ezt vizsgálta meg alaposan: több mint 250 használt eszközön futtatott felmérésük szerint az eszközök 40 százalékán maradt vissza felhasználható személyes adat, a merevlemezeknél ez az arány 44 százalék volt. 

Egy konkrét eset még beszédesebb: digitális igazságügyi szakértők egy kereskedelmi forgalomban felújítottként eladott merevlemezt vizsgáltak meg, amelyet a kereskedő állítólag formázott és törölt. Nem így történt: 152 gigabájtnyi adatot és 28 691 fájlt sikerült róla hiánytalanul visszaállítaniuk. Akkor most fogjuk és fizikailag semmisítsük meg ezeket a merevlemezeket? Ez sem olyan egyszerű feladat.

Az aprítógép sem old meg mindent

A hagyományos irodai aprítógépek 20-40 milliméteres darabokra vágják a bedobott eszközöket. Ez mágneses merevlemezeknél elfogadható, a modern flashtárolóknál viszont nem. A NAND-memóriacipek mérete sokszor nem éri el az 1x1 centimétert, így egy szokásos aprító kései között könnyen átcsúsznak sértetlenül. SSD-khez, telefonokhoz és egyéb flashalapú eszközökhöz kizárólag a 2 milliméteres vagy annál kisebb részecskeméretet biztosító mikroaprítás fogadható el. A degaussing, vagyis a mágneses törlés egészen más problémát vet fel. Hagyományos merevlemezeknél tökéletesen működik, SSD-knél viszont a hatékonysága nulla, hiszen a flashmemória elektromos töltésekkel tárolja az adatokat, nem mágneses elven.

Amit a törvény kér

A magyar Infotv. (a 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról) világosan elválasztja egymástól az adattörlést és az adatmegsemmisítést: az előbbi az adat felismerhetetlenné tétele, az utóbbi az adathordozó teljes fizikai elpusztítása. A GDPR 83. cikke szerint a nem megfelelő adatkezelés bírsága elérheti a 20 millió eurót, vagy ha az magasabb, a vállalat globális árbevételének 4 százalékát. A NIS2-irányelv, amely 2024 óta kötelező, ennél is tovább megy: az árbevétel 2 százalékáig terjedő felügyeleti bírságot ír elő, és a vezető tisztségviselők személyes felelősségét is felveti, ha a cég nem auditálja rendszeresen a külső adatmegsemmisítő partnereit.

De a hazai joggyakorlatot sem kell attól félteni, hogy túl engedékeny lenne. Egy energetikai vállalkozás például 75 millió forintos NAIH-bírságot kapott, mert egy országos LED-csereprogram során több mint 132 ezer ember adatainál nem tudta igazolni a megfelelő törlést. A Budapesti Rendőr-főkapitányságot ötmillió forintra bírságolták, mert egy elveszett, titkosítatlan pendrive miatt lekéste a kötelező 72 órás bejelentést. Akadt olyan szolgáltató is, amelyik egy hibaelhárításhoz létrehozott tesztadatbázist egyszerűen otthagyott futni a munka lezárása után, majd ugyanígy bírságot fizetett érte.

A fiók, ahol a kockázat lapul

A hazai vállalati gyakorlatban gyakori jelenség, amit a szakma fiókeffektusnak hív. A kiselejtezett gépeket és merevlemezeket dokumentált megsemmisítés helyett a cégek sokszor egyszerűen félreteszik egy raktárba vagy egy fiókba. Máskor minősítetlen hulladékkezelőknek adják át a berendezéseket, összemosva az e-hulladék újrahasznosítását a biztonságos adattörléssel. A WEEE-szabályozás a berendezés kategóriájától függően magas, egyes eszköztípusoknál akár 85 százalékos anyag-visszanyerési arányt is előír a leselejtezett hardverekben lévő fémekre és műanyagokra. Ez a kötelezettség viszont önmagában semmit nem mond az adatokról. A globálisan keletkező elektronikai hulladék mennyisége 2022-ben elérte a 62 millió tonnát, ennek mindössze 22,3 százalékát gyűjtötték össze dokumentált, hivatalos csatornákon. Az eddigiekből is látni, hogy az adatmegsemmisítés komplex, több területet érintő probléma.

Papír is bizonyít

A jogilag védhető folyamat nem ér véget a fizikai megsemmisítéssel. Az őrzési lánc elve szerint az adathordozó útját a szerverteremtől a végső ledarálásig folyamatosan dokumentálni kell: plombált konténerek, rögzített gyári sorozatszámok, kamerával felügyelt megsemmisítő üzem. A folyamat két irattal zárul. A roncsolási jegyzőkönyv rögzíti az eszközök típusát, sorozatszámát és az elért részecskeméretet, míg a megsemmisítési tanúsítvány hivatalosan igazolja a hatóságok felé, hogy az adatok a szabványoknak megfelelően, visszaállíthatatlanul megsemmisültek. Mindkét dokumentumot legalább tíz évig meg kell őrizni.

A kontroll nem áll meg a szoftvernél

A vállalati informatikai biztonság gyakran csak addig terjed, amíg egy eszköz aktívan üzemel: tűzfal, jelszókezelés, hozzáférés-szabályozás. De ez nem elég: a lecserélt szerver vagy a kivont notebook ugyanolyan kockázatot hordoz, egészen addig, amíg dokumentáltan meg nem semmisül. 

A SERCO Informatika Zrt. évtizedek óta kíséri végig ügyfelei hardvereinek teljes életciklusát a beszerzéstől a szervizen át a leselejtezésig, ezért jól tudja: az adatbiztonság nem ér véget a szoftverrel. Aki ezt a láncot végigviszi, teljesíti a törvényi kötelezettséget, és megspórolja magának, hogy egy régi merevlemez évekkel később okozzon fejfájást.

A cikk megjelenését a SERCO Informatika Zrt. AI és Innovációs üzletága támogatta.

Fotó: Envato