Data wissen: lastiger dan je denkt

Dat blijkt een stuk ingewikkelder dan je misschien denkt. In mijn tijd bij EMC heb ik veel met grote enterprise-storage- en archiefsystemen gewerkt. We besteedden enorm veel aandacht aan het veilig opslaan en beschermen van informatie. Maar het definitief opruimen ervan is minstens zo’n interessant technisch vraagstuk. Zeker wanneer het gaat om geheime informatie, bedrijfsarchieven of persoonsgegevens die volgens de wet duurzaam moeten worden vernietigd.

Soms de hele storagebox vernietigen

In militaire omgevingen kan het vernietigen van informatie een heel andere betekenis krijgen. Stel dat een eenheid zich onverwacht moet terugtrekken en er geen tijd meer is om computers en opslagapparatuur netjes te wissen. Dan kan de afweging eenvoudig zijn: liever de hele storagebox vernietigen dan het risico lopen dat belangrijke intelligence in vijandelijke handen valt. Er bestaan speciale procedures voor het vernietigen van digitale opslagmedia, soms met ingebouwde explosieven, soms met krachtige mechanische apparatuur. Bij bijzonder gevoelige informatie kan zelfs de complete apparatuur tot schroot moeten worden verwerkt.

Het gaat daarbij niet alleen om harde schijven. Ook SSD’s, geheugenchips, routers en andere apparatuur kunnen informatie bevatten. Een harde schijf kapot slaan of er een gat in boren is niet voldoende: de magnetische schijven kunnen nog intact zijn en met gespecialiseerde apparatuur is soms nog informatie terug te vinden. Bij SSD’s moet je juist de geheugenchips zelf voldoende vernietigen. Er bestaan industriële shredders die opslagmedia tot kleine fragmenten vermalen. Niet subtiel, maar bij zeer geheime informatie soms wel de veiligste optie.

Zeven keer overschrijven: een achterhaalde wijsheid?

Gelukkig hoeft niet iedere gegevensdrager fysiek te worden vernietigd. Bij traditionele magnetische harde schijven kunnen we informatie technisch wissen door de opslag te overschrijven. Vroeger waren er methoden waarbij de complete schijf drie, zeven of zelfs 35 keer met verschillende patronen werd overschreven. De gedachte was dat oude magnetische informatie misschien nog gedeeltelijk terug te halen zou zijn bij slechts één overschrijving. De bekende DoD 5220.22-M-methode van zeven keer overschrijven gold lange tijd als standaard.

Inmiddels weten we dat dit voor moderne harde schijven grotendeels achterhaald is. Eén goed uitgevoerde overschrijfronde is doorgaans voldoende. De actuele NIST-richtlijn (SP 800-88 Rev. 2) maakt onderscheid tussen logisch wissen, diepgaand technisch wissen en fysieke vernietiging.

Bij SSD’s ligt dat anders. Door wear-leveling verdeelt de controller schrijfopdrachten over verschillende geheugencellen. Daardoor weet je niet zeker of een gewone overschrijfactie ook de oorspronkelijke fysieke locatie bereikt. Bovendien bevatten SSD’s vaak extra geheugencapaciteit die niet zichtbaar is voor het besturingssysteem. Moderne SSD’s kennen daarom speciale Sanitize- en Block Erase-functies die ervoor moeten zorgen dat ook achtergebleven informatie wordt gewist.

De sleutel vernietigen in plaats van de data

Een van de elegantste oplossingen is Cryptographic Erase. Daarbij versleutelen we alle informatie op een opslagmedium. Om de gegevens weer leesbaar te maken, is een geheime cryptografische sleutel nodig. Wanneer we die sleutel definitief vernietigen, blijft de informatie fysiek aanwezig, maar zonder de sleutel is ze niet meer toegankelijk. Het is een digitale variant van een kluis waarvan we de enige sleutel vernietigen.

Dat kan bijzonder efficiënt zijn wanneer we complete opslagomgevingen moeten wissen. In plaats van miljarden bits afzonderlijk te overschrijven, vernietigen we de sleutels die toegang geven. Voorwaarde is wel dat de versleuteling vanaf het begin goed is geregeld en dat er nergens nog een bruikbare kopie van de sleutel bestaat. Een vergeten sleutelkopie in een back-up kan de hele operatie zinloos maken.

De archiefparadox: bewaren is soms makkelijker dan vernietigen

Ik herinner me uit mijn EMC-tijd situaties waarin bedrijven werden opgesplitst en hun gezamenlijke archiefomgeving moest worden verdeeld. Denk aan oude EMC Centera-systemen, ontworpen om grote hoeveelheden informatie langdurig en onveranderbaar op te slaan. Bij een splitsing werd de hardware opnieuw ingericht, de informatie over de nieuwe omgevingen verdeeld en kon het oude systeem uiteindelijk fysiek worden vernietigd.

Dat klinkt eenvoudig, maar vraagt behoorlijk wat voorbereiding. Welke informatie behoort bij welke organisatie? Welke metadata en relaties moeten behouden blijven? Zijn alle gegevens correct overgebracht? En hoe weten we zeker dat het oude systeem geen achtergebleven informatie meer bevat? Juist bij archiefsystemen is dat interessant: ze zijn ontworpen om informatie te beschermen tegen wijziging en verwijdering. Soms mag informatie gedurende een bepaalde bewaartermijn technisch niet eens verwijderd worden. Maar ook zo’n onveranderbaar archief komt aan het einde van zijn levenscyclus. Dan moet het niet alleen worden gemigreerd, maar ook verantwoord worden vernietigd.

De echte uitdaging: hoeveel kopieën bestaan er?

Het grootste probleem is dat een document zelden op één plek staat. Naast de oorspronkelijke informatie bestaan er replica’s, back-ups, snapshots, exports, e-mailbijlagen, lokale downloads en tijdelijke kopieën. Soms zijn er ook nog oude tapes of archiefsystemen, waarvan niemand meer weet dat ze bestaan. Een document verwijderen uit de primaire database betekent dus nog niet dat het overal verdwenen is.

Dit wordt relevant wanneer de AVG of de Archiefwet voorschrijft dat informatie definitief moet worden vernietigd. Het recht om vergeten te worden, is iets anders dan een document uit één applicatie of databease verwijderen. Bovendien moet een organisatie soms kunnen aantonen dat de vernietiging correct is uitgevoerd. Bij overheidsarchieven bestaat de verplichting om vernietiging volgens de geldende selectiebesluiten uit te voeren en daarover verantwoording af te leggen. En daar ontstaat een merkwaardige paradox: je moet de informatie vernietigen, maar het bewijs dát je die informatie volgens de regels hebt vernietigd, juist bewaren.

Van archiveren naar verantwoord vernietigen

Dit is ook een van de ontwikkelingen waaraan we met Archon werken. We hebben Archon ontwikkeld om grote hoeveelheden verspreide en vaak slecht geordende informatie grootschalig op industriële wijze te kunnen onderzoeken, classificeren, verrijken en archiveren. Daarbij leggen we herkomst, integriteit, metadata en uitgevoerde handelingen vast. De volgende stap is ook het vernietigingsproces op dezelfde manier te organiseren: niet zomaar bestanden verwijderen, maar eerst vaststellen wat vernietigd mag en moet worden, waar de informatie zich bevindt, welke kopieën bestaan en hoe die vernietiging aantoonbaar kan worden uitgevoerd.

De registratie van hashes en tijdstempels kan daarbij een belangrijke rol spelen. Zo ontstaat een controleerbare boekhouding van zowel het archiverings- als het vernietigingsmoment. Het vraagt om meer dan een simpele delete-knop. Het vraagt om kennis van informatiebeheer, opslagtechnologie, juridische bewaartermijnen en de technische eigenschappen van verschillende opslagmedia.

 De kettingzaag in het achterstallige archief

We hebben de afgelopen decennia enorme investeringen gedaan om onze digitale informatie veilig te bewaren. Maar verantwoord informatiebeheer betekent niet dat we alles eeuwig moeten bewaren. Sommige informatie moet juist worden vernietigd. En ook dat moet zorgvuldig, veilig en aantoonbaar gebeuren.

Archiveren en vernietigen zijn twee kanten van hetzelfde vakmanschap. De ene keer zorgen we ervoor dat waardevolle informatie behouden blijft. De andere keer zorgen we ervoor dat informatie die niet meer bewaard mag worden werkelijk definitief verdwijnt.

Met Archon willen we beide kanten industrieel en controleerbaar ondersteunen. Niet met een nieuwe opslagdoos waarin we alles maar weer bewaren, maar met gereedschap om de totale archiefhuishouding op orde te brengen en te houden. Soms heb je een archiefkast nodig. Soms een shredder. En altijd een betrouwbare registratie van wat je bewaart én van wat je vernietigt. Om ook aan de eisen van compliance te kunnen blijven voldoen.

Data bewaren is een vak. Data vernietigen net zo goed.

Door: Hans Timmerman (foto)