Guía sobre almacenamiento y borrado seguro de información

Guía sobre almacenamiento y
borrado seguro de información
OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIÓN
Edición: Abril 2011
La “Guía sobre almacenamiento y borrado seguro de información” ha sido elaborada por el equipo
del Observatorio de la Seguridad de la Información de INTECO:
Pablo Pérez San-José (dirección)
Cristina Gutiérrez Borge (coordinación)
Eduardo Álvarez Alonso
Susana de la Fuente Rodríguez
Laura García Pérez
El Instituto Nacional de Tecnologías de la Comunicación (INTECO), sociedad estatal
adscrita al Ministerio de Industria, Turismo y Comercio a través de la Secretaría de Estado de
Telecomunicaciones y para la Sociedad de la Información, es una plataforma para el desarrollo
de la Sociedad del Conocimiento a través de proyectos del ámbito de la innovación y la
tecnología.
La misión de INTECO es aportar valor e innovación a los ciudadanos, a las pymes, a las
Administraciones Públicas y al sector de las tecnologías de la información, a través del
desarrollo de proyectos que contribuyan a reforzar la confianza en los servicios de la Sociedad
de la Información en nuestro país, promoviendo además una línea de participación
internacional. Para ello, INTECO desarrollará actuaciones en las siguientes líneas: Seguridad
Tecnológica, Accesibilidad, Calidad TIC y Formación.
El Observatorio de la Seguridad de la Información (http://observatorio.inteco.es) se inserta
dentro de la línea estratégica de actuación de INTECO en materia de Seguridad Tecnológica,
siendo un referente nacional e internacional al servicio de los ciudadanos, empresas, y
administraciones españolas para describir, analizar, asesorar y difundir la cultura de la
seguridad y la confianza de la Sociedad de la Información.
La presente publicación pertenece al Instituto Nacional de Tecnologías de la Comunicación (INTECO) y está bajo una
licencia Reconocimiento-No comercial 2.5 España de Creative Commons, y por ello esta permitido copiar, distribuir y
comunicar públicamente esta obra bajo las condiciones siguientes:
•
•
Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su
procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho
reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que
hace de su obra.
Edición:
Febrero
2011
Uso No Comercial: El material original
y los trabajos
derivados
pueden ser distribuidos, copiados y exhibidos
mientras su uso no tenga fines comerciales.
Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas
condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta
licencia menoscaba o restringe los derechos morales de INTECO. http://creativecommons.org/licenses/by-nc/2.5/es/
El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format). Se trata
de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de idioma y orden
de lectura adecuado.
Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la
sección Accesibilidad > Formación > Manuales y Guías de la página http://www.inteco.es
Guía sobre almacenamiento y borrado seguro de información
Página 2 de 35
Observatorio de la Seguridad de la Información
Índice
ÍNDICE
1 INTRODUCCIÓN ........................................................................... 4
1.1 La información como activo de valor en la empresa ......................... 4
1.2 Gestión del Ciclo de Vida de la Información ....................................... 7
2 ALMACENAMIENTO DE LA INFORMACIÓN .............................. 10
2.1 Cómo se almacena la información ...................................................... 10
2.2 Políticas que deben regir el uso de los sistemas de
almacenamiento ............................................................................................ 12
2.3 Tipos de dispositivos de almacenamiento ......................................... 16
3 PÉRDIDA Y RECUPERACIÓN DE INFORMACIÓN ..................... 18
3.1 Pérdida de información ........................................................................ 18
3.2 Recuperación de la información .......................................................... 21
4 BORRADO
SEGURO
Y
DESTRUCCIÓN
DE
LA
INFORMACIÓN ............................................................................. 23
4.1 Métodos de destrucción de la información ........................................ 23
4.2 Métodos que no destruyen la información de forma segura ............ 28
4.3 Políticas de borrado seguro de la información .................................. 28
5 LEGISLACIÓN APLICABLE ......................................................... 30
5.1 Normativa interna en relación con la Seguridad de la
Información en la empresa ........................................................................... 30
5.2 Esquema Nacional de Seguridad en el ámbito de la
Administración Electrónica .......................................................................... 31
5.3 Ley Orgánica de Protección de Datos de Carácter Personal
(LOPD)............................................................................................................ 33
5.4 Ley de Servicios de la Sociedad de la Información y de
Comercio Electrónico (LSSI) ........................................................................ 34
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 3 de 35
1. Introducción
1
INTRODUCCIÓN
En la actual sociedad del conocimiento, las empresas y
entidades generan información constantemente y a un ritmo
creciente: se estima que en 2020 la cantidad de información
será 44 veces mayor que la que había en 2009 1. Gracias a la
tecnología, esta información se puede generar, copiar, enviar
y recibir desde cualquier lugar y en cualquier momento,
aspectos vitales para el funcionamiento de las empresas.
El conocimiento de la gestión del ciclo de vida de la
información y el establecimiento de planes, normas y políticas
de almacenamiento de la información y de seguridad de los datos, asegura un control y
gestión de la información eficiente.
•
Almacenamiento. Los datos que se recopilan en los soportes de almacenamiento
pueden constituir información muy delicada y su indebida divulgación no solo
puede afectar a la propia empresa, ya que los empleados u otras entidades
también pueden verse perjudicados. Por ello, el primer paso en la gestión segura
de la información es realizar una clasificación de los datos y un almacenamiento
adecuados, en base a unas políticas establecidas y actualizadas.
•
Recuperación. Las pérdidas de datos son acontecimientos comunes en las
empresas, a veces por causas fortuitas y otras veces por fallos humanos o en los
equipos. En este sentido, las técnicas de recuperación de la información son una
herramienta imprescindible en las organizaciones, ya que permiten restaurar la
actividad y asegurar su continuidad.
•
Borrado seguro. Por último, cuando la información ha sido tratada en la empresa
y llega al final de su vida útil, debe ser eliminada de forma segura, para evitar que
pueda caer en manos de terceros y sea recuperada.
En la presente guía se analiza por qué se debe controlar la información en la empresa,
cómo se almacena dicha información en los dispositivos de almacenamiento más
comunes, y qué debe hacerse si se quiere eliminar de modo permanente la información.
1.1
LA INFORMACIÓN COMO ACTIVO DE VALOR EN LA EMPRESA
Para entender la información como un activo de valor en la empresa antes se explica qué
se entiende por información y cuál es la diferencia entre información y datos.
El dato hace referencia a un atributo o una representación simbólica (alfabética, gráfica,
numérica, etc.) como resultado de una observación, sujeta a determinadas normas o
1
The Digital Universe Decade – Are you ready? May-2010– An IDC White Paper – Sponsored by EMC Corp.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 4 de 35
reglas, útil para la interpretación y el procesamiento, bien sea por medios humanos o
automatizados. En sí mismo, el dato no tiene significado, por lo cual se requiere su
procesamiento o tratamiento para que suministre información que pueda ser utilizada en
la realización de cálculos y operaciones aritméticas, en procesos de análisis,
planificación, investigación, negociación o para la toma de decisiones en cualquier
ámbito.
La información es un conjunto organizado de datos con algún significado acerca de un
hecho, evento o suceso, que al ser procesados o evaluados mejoran el conocimiento
acerca de algo y por lo tanto, reducen la incertidumbre. El proceso comprende la entrada
y depuración de datos, el procesamiento de estos y la depuración y salida de los
resultados.
Partiendo de las explicaciones anteriores, se desprende que la información tiene un
significado preciso y diferente al de los datos y por tanto, un valor en la toma de
decisiones, mientras que los datos no lo tienen. Para hacer una distinción entre datos e
información, se puede pensar en los datos como las materias primas, mientras que la
información es equivalente a los productos acabados producidos después del
procesamiento de esa materia prima.
Ilustración 1: Diferentes etapas de la información en la empresa
Las empresas manejan a diario gran cantidad de información y parte de esta información
es más sensible, ya que es estratégica para el negocio, contiene datos personales de
clientes, proveedores o empleados, incluye referencias de propiedad intelectual, etc. Por
este motivo, es imprescindible la adecuada gestión de la información que manejan,
tanto para asegurar su actividad como para cumplir con los requisitos legales de
aplicación.
En el contexto de las normativas de gestión adecuada y segura de la información se
entiende por información a aquel conjunto de datos organizados en poder de una
entidad que posean valor para la misma, independientemente de la forma en que se
guarde o transmita (escrita, en imágenes, oral, impresa en papel, almacenada
electrónicamente, proyectada, enviada por correo, fax o e-mail, transmitida en
conversaciones, etc.), de su origen (de la propia organización o de fuentes externas) o de
la fecha de elaboración.
Según se refleja en las definiciones de la norma internacional ISO27001, seguridad de la
información es la preservación de la confidencialidad, la integridad y la disponibilidad de
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 5 de 35
la información, pudiendo, además, abarcar otras propiedades, como la autenticidad, la
responsabilidad, la fiabilidad y el no repudio.
Por tanto a la hora de analizar la organización y los procesos llevados a cabo hay 3
elementos clave que confirman que el modo en que se trata la información es seguro:
confidencialidad, integridad, y disponibilidad.
•
Confidencialidad: es la propiedad por la que la información no se pone a
disposición o se revela a individuos, entidades o procesos no autorizados.
•
Integridad: es la propiedad de salvaguardar la exactitud y completitud de los
activos.
•
Disponibilidad: es la propiedad de ser accesible y utilizable por una entidad
autorizada.
Ilustración 2: Criterios de la información desde el enfoque de la seguridad
Para garantizar que la seguridad de la información es gestionada correctamente, se
requiere hacer uso de un proceso sistemático, documentado y conocido por toda la
organización, desde un enfoque de riesgo empresarial. Este proceso es el que constituye
un Sistema de Gestión de la Seguridad de la Información (SGSI), que ayuda a las
empresas a definir políticas, procedimientos, métodos, estándares y controles
relacionados con los objetivos de la organización en el ámbito de la seguridad de sus
sistemas de información.
Dada la importancia de la información como base para la toma de decisiones estratégicas
y su relevancia a la hora de establecer ventajas competitivas, es necesario contar con
una eficiente gestión de la seguridad que preste especial atención a este recurso, en
cada una de las fases de su ciclo de vida.
Para explicar el ciclo de vida de la información se toma el enfoque aportado a las
empresas por el Information Lifecycle Management (ILM) que facilita el estudio de
soluciones de almacenamiento, disponibilidad y seguridad de la información.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 6 de 35
1.2
GESTIÓN DEL CICLO DE VIDA DE LA INFORMACIÓN
Los grandes y crecientes volúmenes de información con los que trabajan las empresas
en la actualidad requieren de sistemas que las ayuden a gestionar los datos a lo largo de
su evolución. Es por ello que cada vez más están adaptando sus procesos a la gestión
del ciclo de vida de la información o ILM.
ILM hace referencia a los sistemas, procedimientos y políticas que se deben seguir para
gestionar los datos de una empresa, desde que estos se crean o generan hasta su
eliminación definitiva, teniendo en consideración el valor y la disponibilidad de la
información.
Por tanto, este sistema ayuda a las organizaciones a administrar de manera eficiente el
crecimiento de datos a lo largo de su ciclo de vida completo, desde el desarrollo, pruebas,
producción y destrucción de ficheros 2, asegurando en todo momento el cumplimiento de
la legislación vigente.
Las fases del ciclo de vida de la información, como parte de un proceso continuo, son las
siguientes:
Ilustración 3: Diagrama del ciclo de vida de la información
2
Un fichero es un archivo informático, o conjunto de datos organizados.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 7 de 35
•
Fase 1: Clasificación de datos. Todos los datos que se crean, generan o
almacenan se deben identificar y categorizar para mejorar la eficiencia en el
momento en que se efectúen los procesos de búsqueda, recuperación o auditoría.
Esta clasificación de datos permite conocer con qué datos se cuenta, qué
tratamiento darles, dónde almacenarlos, qué jerarquía tienen, cuál es su volumen,
cuáles pueden ser eliminados y cómo recuperarlos de nuevo cuando sea
necesario volver a trabajar con ellos.
Cuando se trata de datos de carácter personal, en esta clasificación es necesario
establecer los niveles de seguridad básico, medio o alto, definidos en el artículo
81 del reglamento de desarrollo de la LOPD.
•
Fase 2: Almacenamiento físico. Inicialmente se deben establecer de forma clara
los requisitos de almacenamiento de información de la empresa. Posteriormente,
se deben alinear las necesidades con las opciones de almacenamiento disponible.
ILM permite analizar las ventajas y desventajas entre el coste de distintas
opciones de almacenamiento y disponibilidad de información, que permiten tomar
decisiones a la hora de invertir en soportes de almacenamiento.
•
Fase 3: Migración. La migración de los datos entre diferentes almacenes se
realiza para equilibrar el rendimiento y el coste de los diferentes dispositivos de
almacenamiento, asegurando que esté libre el espacio adecuado para satisfacer
otras nuevas localizaciones de espacio. En este proceso las empresas mueven y
manipulan los distintos tipos de datos, de acuerdo con el valor que representan
para estas.
La comprensión y administración de los diferentes datos almacenados mejora la
calidad del servicio y reduce los costes de gestión.
•
Fase 4: Disposición. La información ha de ser almacenada de manera segura y
estar disponible para los usuarios cuando estos la necesiten. La información
también debe ser mantenida y utilizada de tal forma que su integridad no se vea
comprometida.
Hay dos factores principales para asegurar la disponibilidad de la información:
o
Aseguramiento de la integridad. Para ello, se aplican privilegios a cada
usuario para acceder únicamente a la información que puede manipular,
particularmente cuando esta es sensible. Los accesos a la información se
pueden restringir a través de contraseñas, permisos de ingresos al sistema
o restricciones de actualización de datos.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 8 de 35
o
•
Copias de Seguridad. Las copias de seguridad o backup son la garantía
frente a cualquier fallo en el sistema o pérdida de la información. Estas se
pueden hacer de manera planificada o puntual y la frecuencia con que se
realizan va a depender de la importancia de la información almacenada y
lo crítica que puede ser para las estrategias de la empresa.
Fase 5: Utilización de la información almacenada. El uso o utilización se lleva a
cabo después de que la información se distribuye internamente y puede servir de
soporte a la toma de decisiones en las empresas, generar acciones o servir a
otros fines. La información puede ser destruida cuando deja de generar valor para
la empresa, siguiendo para ello las políticas internas previamente establecidas.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 9 de 35
2. Almacenamiento de la información
2
ALMACENAMIENTO DE LA INFORMACIÓN
La creciente dependencia de la mayoría de las organizaciones de sus sistemas de
información pone de manifiesto la necesidad de contar con los medios y técnicas
necesarios que permitan almacenar la información de la manera más adecuada. Una
correcta gestión de este proceso permite mantener en todo momento su integridad y
autenticidad y, en caso de ser necesario, recuperar la información, es decir, asegurar su
disponibilidad total.
En los siguientes apartados se profundiza en el proceso de almacenamiento en la
empresa, en las políticas de almacenamiento y en las características de los dispositivos.
2.1
CÓMO SE ALMACENA LA INFORMACIÓN
La importancia de la información como activo de valor en las empresas obliga a que las
soluciones de almacenamiento cada vez cobren un mayor protagonismo. La información
se guarda en diferentes dispositivos de almacenamiento de datos, en función de su ciclo
de vida y de su valor, tomando en consideración que no toda la información es igual de
crítica y, por lo tanto, no puede ser tratada de la misma manera.
Para establecer el grado de criticidad de la información se realiza una ponderación en
función de parámetros como su uso, antigüedad, valor estratégico, etc. Partiendo de esta
definición, se establece el nivel de accesibilidad y de disponibilidad requeridos para cada
activo de información.
De igual manera, las empresas necesitan infraestructuras flexibles y soluciones que
protejan y resguarden la información y se adapten a los rápidos cambios del negocio y las
nuevas exigencias del mercado, garantizando el rápido retorno de la inversión efectuada
en los sistemas de almacenamiento. Alineando las diferentes soluciones de
almacenamiento con los requerimientos del negocio se consigue hacer un uso más
correcto de las mismas.
En la siguiente ilustración se identifican los diferentes sistemas de almacenamiento de
información en la empresa.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 10 de 35
Ilustración 4: Diagrama de los sistemas de almacenamiento en la empresa
•
Almacenamiento local. Los empleados de la empresa, en mayor o menor
medida, utilizan equipos informáticos para realizar su actividad profesional. La
información se genera en estos equipos y desde ellos se modifica y transmite.
Cada uno de estos equipos dispone de un sistema de almacenamiento local,
normalmente discos duros donde se guarda la información.
•
Servidores de almacenamiento en red. Para poder disponer de un lugar común
de trabajo donde almacenar el resultado de los trabajos individuales y poder
compartir información entre los diferentes usuarios de la empresa se dispone de
servidores de almacenamiento en red.
•
Dispositivos externos. Adicionalmente se puede disponer de sistemas externos
que, conectados directamente a los equipos, permiten un almacenamiento extra
de la información, evitando que se ocupe este espacio en el equipo. Estos pueden
ser discos duros externos conectados por USB o Firewire, CD o DVD, USB
Pendrives o cintas magnéticas.
•
Sistema de copias de seguridad. Se establece un procedimiento para
sistematizar la realización de copias de respaldo de la información generada en la
empresa.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 11 de 35
2.2
POLÍTICAS QUE DEBEN
ALMACENAMIENTO
REGIR
EL
USO
DE
LOS
SISTEMAS
DE
Para poder mantener de un modo seguro y eficaz todos estos sistemas de
almacenamiento es importante que la empresa especifique cuáles son las políticas que
deben seguir todos los usuarios de los sistemas para evitar que aumente la capacidad de
los mismos de modo desordenado y la consiguiente falta de control o pérdida de
información.
Así, se identifican cuatro políticas necesarias en la empresa, para que sean conocidas
por los propios usuarios y controladas por los responsables:
•
Política de almacenamiento local en los equipos de trabajo.
•
Política de almacenamiento en la red corporativa.
•
Política sobre el uso de dispositivos externos.
•
Política de copias de seguridad.
Ilustración 5: Políticas de almacenamiento en los entornos empresariales
2.2.1
Políticas de almacenamiento local en los equipos de trabajo
En primer lugar, la empresa establece unas normas de almacenamiento para los equipos
de trabajo de la empresa (equipos de sobremesa, equipos portátiles, teléfonos y otros
dispositivos) que los usuarios deben cumplir. Esta política incluye al menos los siguientes
aspectos:
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 12 de 35
•
Qué tipo de información se puede almacenar en los equipos locales.
•
Cuánto tiempo debe permanecer dicha información en los mismos.
•
Permanencia de la información en la red local una vez transmitida a los servidores
corporativos.
•
Ubicación dentro del árbol de directorios del equipo.
•
Utilización de sistemas de cifrado de información en los documentos
empresariales.
•
Normativa para los empleados relativa al almacenamiento de documentos
personales, archivos de música, fotografías, etc, y en concreto relativa a archivos
que estén bajo algún tipo de regulación en cuanto a derechos de autor (descargas
desde los equipos de trabajo).
2.2.2
Políticas de almacenamiento en la red corporativa
En la red corporativa es necesario distinguir entre información general de la empresa que
deben utilizar todos los usuarios, e información de trabajo de los empleados almacenada
en esta red corporativa:
1. Los servidores de almacenamiento disponibles en la red corporativa están
configurados para poder almacenar y compartir aquella información de la empresa
que deba ser utilizada por los empleados.
Los controles de acceso son definidos por la dirección y el responsable de
sistemas, con el objetivo de definir quién puede acceder y a dónde, mientras que
el contenido de la información almacenada se determina a través de una política
de uso específica que debe cubrir al menos los siguientes aspectos:
•
Tipo de información almacenada, momento de su almacenamiento y
ubicación dentro de los directorios del sistema.
•
Personas encargadas de la actualización de dicha información en caso de
modificación.
2. Los empleados pueden disponer de buzones o carpetas personales dentro de la
misma red corporativa. En estas carpetas se almacena información que, si bien
tiene relación con su trabajo, no necesariamente es compartida por otros
miembros del equipo. Para controlar dicha información, se deben especificar
políticas que incluyan los mismos aspectos que los relacionados con el
almacenamiento local.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 13 de 35
Es importante concienciar al empleado que toda aquella información almacenada
en estos buzones debe ser relevante para el trabajo. La información carente de
valor se elimina una vez que se haya utilizado. Así se evita que la capacidad de
almacenamiento se vea desbordada innecesariamente.
Un ejemplo de cómo se puede optimizar este uso se encuentra cuando se genera un
vídeo corporativo que ocupa varios Gb de información. Dicho vídeo se ubica
primeramente en una localización en la red y posteriormente varios empleados lo
almacenan en sus unidades locales y vuelcan dicha información en sus buzones
personales. Pasado un tiempo, se analiza la cantidad de archivos exactamente iguales
que se encuentran almacenados. Se identifican varias copias del vídeo en la red
corporativa. A la vista de esta situación, la empresa decide llevar a cabo una política de
control y revisión de la información almacenada y ajuste a las necesidades concretas.
2.2.3
Políticas sobre el uso de dispositivos externos conectados
Especialmente importante son las normas relativas al uso de equipos externos que,
conectados directamente a los equipos de trabajo, permiten el almacenamiento extra de
información con el objeto de trasportarla a otra ubicación o simplemente disponer de una
copia de seguridad personal.
Esta política incluye al menos los siguientes aspectos:
•
Si está permitido o no el uso de estos dispositivos.
•
En caso afirmativo, qué tipo de información en ningún caso está permitido
almacenar, como aquella que contiene datos personales de clientes, etc.
•
Qué medidas de borrado se han de utilizar cuando esta información deja de ser
necesaria.
2.2.4
Políticas de copias de seguridad
Una copia de seguridad, también conocida como backup, es un duplicado que se realiza
sobre ficheros o aplicaciones contenidas en un ordenador con la finalidad de recuperar
los datos en el caso de que el sistema de información sufra daños o pérdidas
accidentales de los datos almacenados 3.
Todo plan de contingencia de una empresa requiere contar con una planificación
adecuada de las copias de seguridad que se realizan, ya que la pérdida de datos puede
poner en peligro la continuidad del negocio.
3
Fuente: http://www.inteco.es/wikiAction/Seguridad/Observatorio/area_juridica/Enciclopedia_Juridica/Articulos_1/backup
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 14 de 35
Algunos de los requisitos que debe cumplir la planificación de copias de seguridad son:
•
Identificar los datos que requieren ser preservados. Son aquellos cuya
pérdida afectaría a la continuidad del negocio.
•
Establecer la frecuencia con la que se van a realizar los procesos de copia.
Esta frecuencia influye en la cantidad de información que se puede perder con
respecto a la fuente original. Este parámetro es de suma importancia y requiere
de un análisis exhaustivo.
Por ejemplo, si se realiza una copia cada noche y el soporte se estropea a las 12h
toda la información generada desde la noche anterior hasta las 12h no se
encontrará en la copia de seguridad.
•
Disponer el almacén físico para las copias. Este almacén se determina en
función de la seguridad que requiere la información entre almacenes en el mismo
edificio o remotos en edificios externos.
Por ejemplo, si se produce un incendio en el edificio de la empresa, la información
almacenada en un edificio externo sigue estando disponible.
•
Buscar una probabilidad de error mínima, asegurándose que los datos son
copiados íntegramente del original y en unos soportes fiables y en buen estado.
No se deben utilizar soportes que estén cerca de cumplir su vida útil para evitar
que fallen cuando vaya a recuperarse la información que contienen.
•
Controlar los soportes que contienen las copias, guardándolos en un lugar
seguro y restringiendo su acceso sólo a las personas autorizadas.
•
Planificar la restauración de las copias:
o
Formando a los técnicos encargados de realizarlas.
o
Disponiendo de soportes para restaurar la copia, diferentes de los de
producción.
o
Estableciendo los medios para disponer de dicha copia en el menor tiempo
posible.
•
Probar el sistema de forma exhaustiva para comprobar su correcta planificación
y la eficacia de los medios dispuestos.
•
Definir la vigencia de las copias, estableciendo un periodo en el que dicha copia
deja de tener validez y puede sustituirse por una copia más actualizada de la
información.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 15 de 35
•
Controlar la obsolescencia de los dispositivos de almacenamiento. Para el
caso de aquellas copias que almacenan información histórica de la organización,
por ejemplo proyectos ya cerrados, se debe tener en cuenta el tipo de dispositivo
en el que se ha realizado la copia, para evitar que en el momento que se requiera
la restauración de dicha información no existan ya lectores adecuados para dicho
dispositivo.
Cuando se desechen los soportes de almacenamiento, porque hayan llegado al
límite de vida útil fijado en la política de copias de seguridad, es importante
realizar un proceso de borrado seguro o destrucción para asegurar que la
información que contiene no podrá ser recuperada posteriormente.
2.3
TIPOS DE DISPOSITIVOS DE ALMACENAMIENTO
Los dispositivos de almacenamiento constituyen una parte vital de cualquier sistema o
instalación informática. La tendencia general en el mercado de los dispositivos de
almacenamiento de información se dirige, por un lado, al continuo incremento de su
capacidad y, por otro, a desarrollar funcionalidades como la rapidez, la fiabilidad, la
economía y el tamaño. Esta evolución se traduce en una disminución del coste, lo que ha
permitido aumentar el número de empresas que utilizan estos dispositivos.
La gama es amplia y las funcionalidades dependen del tipo de dispositivo, aunque como
aproximación, se indican los siguientes:
•
Discos duros: dispositivo de almacenamiento magnético, masivamente utilizado
en todos los ordenadores como almacenamiento principal. Dispone de múltiples
capacidades de almacenamiento y permite tanto la lectura como la escritura.
Los discos duros también se utilizan como medios de almacenamiento externos
conectados a los equipos por medio de conectores USB (Universal Serial Bus o
conductor universal en serie) o FireWire.
•
Cintas magnéticas DAT/DDS (Digital Audio Tape/Digital Data Storage) / LTO
Linear Tape-Open): utilizadas principalmente como medio de almacenamiento en
los sistemas de copias de seguridad, ya que resultan económicas para almacenar
grandes cantidades de datos. El acceso a los datos es sensiblemente más lento
que el de los discos duros.
•
CD (Compact Disc) / DVD (Digital Versatile Disc) / Blu-ray Disc (BD):
dispositivos de almacenamiento óptico con diferentes capacidades de
almacenamiento. Son un medio económico y fácil de transportar o conservar.
•
Sistemas de almacenamiento en red: las empresas que necesitan almacenar
gran cantidad de información a la que acceden varios usuarios desde sus
respectivos equipos utilizarán los sistemas de almacenamiento en red tipo NAS
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 16 de 35
(Network Attached Storage). Presentan un volumen de almacenamiento grande,
ya que unen la capacidad de múltiples discos duros en la red local como un
volumen único de almacenamiento. Las reglas de acceso permiten llevar un
control de quién tiene acceso y a qué partes de la información almacenada.
•
USB pendrive: denominado con múltiples
nombres como llavero USB, memoria USB o
sólo pendrive. Es un pequeño dispositivo de
almacenamiento que dispone de una memoria
NAND-Flash para el almacenamiento de la
información. La capacidad de los pendrive es
cada vez mayor y es uno de los medios más
comúnmente utilizados para transportar la
información de un lugar a otro. Esta movilidad, unida a la rapidez con la que se
conecta y desconecta en diferentes equipos, lo hace especialmente susceptible a
la pérdida de información, por extravío o sustracción del dispositivo o por rotura
física del mismo.
En el cuadro siguiente se resumen las principales características de los dispositivos de
almacenamiento:
Tabla 1: Comparativa soportes de almacenamiento (datos referenciados en enero de 2011)
Capacidad
máxima de
datos 4
Máxima velocidad
de transferencia
de datos 5
Tipo
3 TB
400 Mb/s
Magnético
240 MB
250 Kb/s
Magnético
24 GB
2,77 Mb/s
Magnético
CD
900 MB
4800 Kb/s
Óptico
DVD
8,5 GB
11,1 Mb/s
Óptico
Blu-ray Disc
54 GB
54 Mb/s
Óptico
Pendrive
256 GB
100 Mb/s
Electrónico
Soporte
Discos Duros
Discos Flexibles
Cintas de Backup
Fuente: INTECO
4
Byte (B) equivale a 8 bits (b) y es la unidad básica de almacenamiento de información en combinación con los prefijos de
cantidad: Kilobyte (KB=1.000 bytes), Megabyte (MB=1.000 KB), Gigabyte (GB=1.000 MB), Terabyte (TB=1.000 GB), etc.
5
Unidades de velocidad de transferencia de datos: Kilobit por segundo (Kb/ s), Megabit por segundo (Mb/s), Gigabit por
segundo (Gb/s), etc.:.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 17 de 35
3.
3
Pérdida y
información
recuperación
de
la
PÉRDIDA Y RECUP ERACIÓN DE INFORMACIÓN
La información es un activo de valor para la empresa y, como tal, la posibilidad de que
esta pase a manos no autorizadas, o que no esté disponible, puede tener unas
repercusiones en muchos aspectos importantes para las empresas.
En los siguientes apartados se analiza tanto la pérdida de la información como la
posibilidad de recuperación de la misma.
3.1
PÉRDIDA DE INFORMACIÓN
El objetivo básico de un dispositivo de almacenamiento es guardar información para
que esté disponible posteriormente. Para ello todos los componentes físicos del
dispositivo tienen que funcionar correctamente y el sistema operativo debe encontrar la
información que ha sido almacenada de un modo ordenado.
De forma explicativa, los sistemas operativos almacenan la información dentro del disco
duro en archivos. Al guardar cada archivo, se anota también su ubicación en una base de
datos o “lista de archivos 6”. Esta lista es el índice que utiliza el sistema operativo para
encontrar el contenido de los archivos dentro del disco.
Ilustración 6:Información contenida en el dispositivo
6
La “lista de archivos” es un término genérico que referencia al conjunto de elementos que cada sistema de archivos utiliza
para guardar, tanto la información que identifica los archivos (nombre, tipo, fecha de creación, etc), como un índice que
recoge la ubicación física del contenido del mismo.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 18 de 35
Siguiendo la correspondencia entre información y datos introducida en el apartado 1.1, La
información como activo de valor en la empresa, a la información almacenada en el
soporte se denomina datos, por lo que son equivalentes la pérdida de información y la
pérdida de datos.
Se dice que se produce una pérdida de información o datos cuando se altera alguno
de sus atributos de integridad, disponibilidad y confidencialidad y, específicamente en el
proceso del almacenamiento, la disponibilidad es el atributo más crítico. Una información
se pierde definitivamente cuando no se consigue el acceso a la misma o esta ha
desaparecido.
3.1.1
Causas de la pérdida de datos
Las causas por las cuales se producen las pérdidas de acceso a la información son
múltiples y en muchos casos imprevisibles. Entre estas, destacan las siguientes:
•
Fallos mecánicos en los dispositivos de almacenamiento: causados bien por
motivos externos (como cortes de suministro eléctrico o picos de tensión en la red
eléctrica), o internos de los propios dispositivos (por ejemplo, por degradación de
las piezas mecánicas al final de la vida útil de los mismos).
•
Errores humanos: por borrado o formateo de las unidades de almacenamiento o
por manipulación indebida de los dispositivos. A veces la mala preparación del
personal y la toma de decisiones erróneas a la hora de intentar recuperar la
información tras un incidente son las causas de estos errores.
•
Fallos en el software utilizado: como fallos imprevistos en los sistemas
operativos por reinicios inesperados o mal funcionamiento de las propias
herramientas de diagnóstico.
•
Virus o software malicioso: ya que en ocasiones los programas instalados en
los ordenadores buscan causar un fallo en el sistema y/o robar información que
envían a un equipo remoto.
•
Desastres naturales o estructurales: como incendios e inundaciones que
causan la destrucción de las instalaciones donde se encuentran los equipos.
3.1.2
Consecuencias de la pérdida de datos
En caso de que se produzca una pérdida de datos temporal o definitiva, se ocasionan
múltiples perjuicios al funcionamiento de las empresas. Entre estos se encuentran:
•
El tiempo y dinero perdidos por los procesos llevados a cabo para restaurar o
volver a generar la información perdida.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 19 de 35
•
Las pérdidas ocasionadas por la indisponibilidad de esta información, como
pueden ser los retrasos en los procesos de producción.
•
La mala imagen dada por la compañía, por ejemplo, en caso de tener que solicitar
de nuevo información a clientes o proveedores.
•
Pérdida definitiva de trabajos y proyectos ya realizados, que puede llegar a poner
en riesgo la continuidad del negocio.
•
3.1.3
Demandas o penalizaciones administrativas por posibles incumplimientos de
contratos.
Recomendaciones ante una pérdida de datos
Cuando un disco duro se rompe y no se puede acceder a los datos que contiene, se
habrán perdido los datos si no se dispone de una copia de estos mismos datos en otro
dispositivo al cual sí se pueda acceder. Por tanto, primer consejo: se debe disponer y
seguir una correcta política de copias de seguridad.
Además, ante un incidente de pérdida de datos se recomienda:
•
Evitar actuar de una forma precipitada. Las acciones sobre los dispositivos que
se realicen en un intento desordenado de recuperación pueden llevar a la
destrucción definitiva de los datos.
•
No reiniciar constantemente el dispositivo, ya que esto puede agravar el daño
que sufra en caso que éste tenga algún fallo físico de funcionamiento.
•
Dedicar un tiempo a analizar cuáles son los datos perdidos, si se dispone de
una copia de seguridad y el estado de la misma.
•
Valorar la pérdida, tanto económica como de tiempo de restauración, para ver
con más claridad la dimensión del problema y los medios que se pueden dedicar a
la restauración de los datos.
•
Es importante decidir si es mejor iniciar un proceso de recuperación de datos o
restaurar el sistema y generar de nuevo los datos perdidos.
•
Si se intenta restaurar la copia de seguridad no es aconsejable utilizar los
discos “dañados” para recuperar los datos de la copia. En caso de que la
copia restaurada no se encuentre totalmente operativa o esté desactualizada, no
se podrá intentar una recuperación posterior. Igualmente hay que tener especial
cuidado para no realizar ninguna acción que pueda sobre-escribir los datos en el
soporte “dañado”.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 20 de 35
•
Cuando la pérdida de datos se produce en sistemas compuestos por varios
discos, es recomendable que al menos dos personas realicen el seguimiento de
las decisiones para poder contrastar que la decisión tomada es la adecuada, y
que se anotan todos los pasos realizados.
•
3.2
No es recomendable desmontar los dispositivos sin tener un conocimiento
profesional, ya que dicha acción puede ocasionar la imposibilidad de recuperación
posterior.
RECUPERACIÓN DE LA INFORMACIÓN
Si se ha perdido el acceso a una información almacenada, dicha pérdida puede no ser
definitiva si existen medios para restaurar la disponibilidad de acceso, en cuyo caso se
puede plantear la recuperación de la información. El acceso a la información se puede
perder por varios motivos, como son:
•
Porque el dispositivo tiene dañado algún componente físico necesario para su
funcionamiento.
•
Porque, aún funcionando correctamente, la “lista de archivos” se ha corrompido
impidiendo conocer la ubicación de los archivos almacenados.
•
Porque los datos almacenados han sido reemplazados por nuevos datos a través
de la sobre-escritura.
En los dos primeros casos se puede intentar un proceso de recuperación, en el tercero
no puede realizarse ya que esos datos ya no existen y por tanto no pueden recuperarse.
3.2.1
Métodos de recuperación de la información
Por métodos de recuperación de datos se entienden aquellos procesos llevados a cabo
con el objetivo de restablecer el acceso a la información que sigue estando almacenada
en los dispositivos, pero que no está disponible por alguna de las causas señaladas
anteriormente. Los métodos de recuperación de datos se agrupan en 2 principales:
1. Métodos de recuperación lógica. Los métodos de recuperación lógica se utilizan
cuando todos los componentes del dispositivo funcionan correctamente y por
tanto se puede acceder a todos y cada uno de los sectores donde se almacena la
información. Si se ha perdido acceso a los datos podrá ser debido a que:
•
Alguna parte de la estructura del sistema de archivos se encuentra
dañada.
•
Algún archivo ha sido borrado con los comandos del sistema y por tanto no
aparece en la “lista de archivos” que contiene el sistema.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 21 de 35
La recuperación lógica de datos consiste en analizar la estructura de archivos que
permanece, identificar el daño producido y acceder a los datos que aún están en
el dispositivo. En algunos casos se pueden recuperar los datos identificativos del
archivo, (nombre, extensión, tamaño, fecha de creación, etc.) y en otros sólo el
contenido del mismo.
Algunas herramientas emplean el término análisis profundo o “en bruto” que
consiste en analizar toda la superficie del disco buscando aquellas codificaciones
específicas que permiten identificar a cada tipo de archivo 7 y recuperan
directamente el contenido de los mismos, sin tener en cuenta la información
presente en la “lista de archivos”, por lo que se pierden el nombre y las fechas de
los archivos recuperados. Las herramientas de reparación de sistemas de
archivos que disponen los sistemas operativos tales como “chkdsk” en sistemas
Windows o “fsck” en Linux o las utilidades de disco en Mac OS pueden reparar
algunos errores de los sistemas de archivos. Sin embargo, un conocimiento
insuficiente puede provocar daños mayores al sistema y hacer irrecuperable la
información. Por ello, es recomendable acudir a profesionales en recuperación de
datos ante una situación de este tipo.
2. Métodos de recuperación física. Si algún
componente físico del dispositivo se encuentra
dañado, pero el soporte de almacenamiento
sigue inalterado, se podrá abordar una
recuperación física reparando o sustituyendo el
componente dañado y accediendo nuevamente
a la información guardada.
Los métodos de recuperación física requieren un conocimiento de cada uno de los
dispositivos y se desaconseja totalmente el intento de recuperación por personal
no experto.
3.2.2
Herramientas de recuperación de datos
Existen múltiples herramientas software que permiten la recuperación de datos lógica.
Inteco pone a disposición información relativa a algunas de ellas en su página web:
http://cert.inteco.es/software/Proteccion/utiles_gratuitos/
En cualquier caso se recomienda utilizar cada herramienta con las debidas precauciones
evitando en todo momento escribir sobre los propios discos sobre los que se quiere
recuperar información.
7
El contenido de cada tipo de archivo posee una codificación específica. Por ejemplo, todas las imágenes con el formato
JPG comienzan con los caracteres FF D8 FF.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 22 de 35
4.
4
Borrado seguro y destrucción de la
información
BORRADO S EGURO Y DES TRUCCIÓN DE LA INFORMACIÓN
Para completar el ciclo de vida de la información desde el enfoque de la seguridad, es
indispensable cubrir un aspecto de suma importancia como es la destrucción de la
información.
Las empresas pueden encontrar diversos
motivos para eliminar la información que
guardan. Además, son las encargadas de
velar por la adecuada gestión de datos
personales,
estratégicos,
legales
o
contables, entre otros, y están obligadas a
conservar estos datos durante un periodo
de tiempo, tras el cual se suelen eliminar.
Por ello se recomienda un primer proceso de reflexión interna para analizar la forma en la
que eliminan los datos o entregan los dispositivos a terceros (y por tanto, ceden el control
de la información). Como ejemplos, se indican los siguientes:
•
Frecuentemente, el proceso de destrucción de información se simplifica, por
ejemplo, vaciando la papelera de reciclaje, formateando el equipo o tirando a la
basura el CD o pendrive donde está la información.
•
Además, en muchas ocasiones las empresas subcontratan la gestión de
infraestructuras
informáticas
(mantenimiento,
renovación,
reparación,
actualización, donación, leasing o renting de equipos informáticos, etc.), confiando
a terceros el control de su información. Una vez utilizados los equipos, estos
proveedores pueden reutilizarlos, por lo que existe un riesgo de traspaso a
terceros de la información de la empresa que contienen esos equipos o
dispositivos reutilizados.
En el presente capítulo se aborda el planteamiento que debe realizar la empresa en
cuanto a la destrucción de información y los métodos de borrado seguro que garantizan
la adecuada gestión del ciclo de vida desde el punto de vista de la seguridad de la
información.
4.1
MÉTODOS DE DESTRUCCIÓN DE LA INFORMACIÓN
Los medios eficaces que evitan completamente la recuperación de los datos contenidos
en los dispositivos de almacenamiento son: la desmagnetización, la destrucción y la
sobre-escritura en la totalidad del área de almacenamiento de la información.
4.1.1
Desmagnetización
La desmagnetización consiste en la exposición de los soportes de almacenamiento a un
potente campo magnético, proceso que elimina los datos almacenados en el dispositivo.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 23 de 35
Este método es válido para la destrucción de datos de los dispositivos magnéticos 8, como
por ejemplo, los discos duros, disquetes, cintas magnéticas de backup, etc.
Cada dispositivo, según su tamaño, forma y el tipo de soporte magnético de que se trate,
necesita de una potencia específica para asegurar la completa polarización de todas las
partículas.
Los inconvenientes que presenta este método son:
•
Los dispositivos deben trasladarse al lugar donde se encuentre el
desmagnetizador, lo que implica unos costes de transporte y el aseguramiento de
la cadena de custodia.
•
Tras el proceso, estos dejan de funcionar correctamente y por tanto requieren de
un reciclado que sea respetuoso con el medio ambiente.
•
Para comprobar que todos los datos han sido borrados completamente es
necesario acceder a los dispositivos. Al no funcionar correctamente, este acceso
no es posible, lo que dificulta la certificación del proceso.
•
Es recomendable analizar el campo aplicado para desmagnetizar cada
dispositivo. En ocasiones se opta por aplicar la máxima potencia, desperdiciando
energía de forma innecesaria.
4.1.2
Destrucción física
El objetivo de la destrucción física es la inutilización del soporte que almacena la
información en el dispositivo para evitar la recuperación posterior de los datos que
almacena. Existen diferentes tipos de técnicas y procedimientos para la destrucción de
medios de almacenamiento:
•
Desintegración, pulverización, fusión e incineración: son métodos diseñados
para destruir por completo los medios de almacenamiento. Estos métodos suelen
llevarse a cabo en una destructora de metal o en una planta de incineración
autorizada, con las capacidades específicas para realizar estas actividades de
manera eficaz, segura y sin peligro.
•
Trituración: las trituradoras de papel se pueden utilizar para destruir los medios
de almacenamiento flexibles. El tamaño del fragmento de la basura debe ser lo
suficientemente pequeño para que haya una seguridad razonable en proporción a
la confidencialidad de los datos que no pueden ser reconstruidos. Los medios
8
Los dispositivos de almacenamiento magnéticos son aquellos cuyo soporte de almacenamiento lo componen unas
partículas que pueden polarizarse en un sentido u otro según la dirección de un campo magnético aplicado a ellas. La
dirección de polarización de sus partículas indicará si el dato almacenado es un uno o un cero.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 24 de 35
ópticos de almacenamiento (CD, DVD, magneto-ópticos), deben ser destruidos
por pulverización, trituración de corte transversal o incineración. Cuando el
material se desintegra o desmenuza, todos los residuos se reducen a cuadrados
de cinco milímetros (5mm) de lado.
Como todo proceso de borrado seguro de datos, su correcta realización implica la
imposibilidad de recuperación posterior por ningún medio conocido. En el caso de los
discos duros se deberá asegurar que los platos internos del disco han sido destruidos
eficazmente.
Los métodos de destrucción física pueden llegar a ser seguros totalmente en cuanto a la
destrucción real de los datos pero presenta algunos inconvenientes como son:
•
Implican la utilización de métodos industriales de destrucción distintos para cada
soporte.
•
Obligan a un transporte de los dispositivos a un centro de reciclaje adecuado,
obligando a extremar las medidas de custodia para asegurar el control de los
dispositivos.
•
Los residuos generados deben ser tratados adecuadamente.
•
La certificación de la operación de destrucción es compleja, ya que no es posible
acceder a los dispositivos para confirmar que la información ha sido eliminada y
se deben hacer comprobaciones manuales, como fotografías y anotación de
número de serie que certifique que el dispositivo ha sido eliminado.
4.1.3
Sobre-escritura
La sobre-escritura consiste en la escritura de un patrón de datos sobre los datos
contenidos en los dispositivos de almacenamiento. Para asegurar la completa destrucción
de los datos se debe escribir la totalidad de la superficie de almacenamiento.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 25 de 35
Ilustración 7: Resultado de un proceso de sobre-escritura
La sobre-escritura se realiza accediendo al contenido de los dispositivos y modificando
los valores almacenados, por lo que no se puede utilizar en aquellos que están dañados
ni en los que no son regrabables, como los CD y DVD.
El método de sobre-escritura para la destrucción segura de la información es el que
dispone del mayor número de ventajas entre las que se pueden destacar las siguientes:
•
Se puede utilizar para todos los dispositivos regrabables.
•
Tras el proceso de borrado es posible acceder de nuevo al dispositivo para
certificar que todos los datos que se encontraban almacenados previamente han
sido sustituidos por el patrón de borrado.
•
Es posible realizar la operación de borrado en las propias oficinas de la empresa,
evitando la necesidad de guardar la cadena de custodia en el transporte a un
centro de reciclaje autorizado.
•
Permite la reutilización de los dispositivos.
Siendo el único inconveniente que no es posible utilizarlo en aquellos dispositivos que
no sean regrabables o en aquellos que tengan alguna avería física.
4.1.4
Cuadro comparativo
Una vez vistos los principales métodos de borrado de información, se aprecia que no
ofrecen los mismos resultados. A continuación se ofrece un resumen de las principales
características observadas en cada uno de estos métodos y los métodos de borrado
aplicables en cada dispositivo.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 26 de 35
Tabla 2: Comparativa de los métodos de borrado seguro
Destrucción Física
Desmagnetización
Sobre-escritura
 Eliminación de forma
segura de la información
 Eliminación de forma
segura de la información
 Eliminación de forma
segura de la información
 Un sistema de destrucción
para cada soporte
 Una configuración del
sistema para cada soporte
 Una única solución para
todos los dispositivos
 Dificultad de certificación
del proceso
 Dificultad de certificación
del proceso
 Garantía documental de la
operación
 Necesidad de transportar
los equipos a una
ubicación externa
 Necesidad de transportar
los equipos a una
ubicación externa
 Posibilidad de eliminación
en las propias oficinas
 Medidas extraordinarias
para garantizar la cadena
de custodia
 Medidas extraordinarias
para garantizar la cadena
de custodia
 Garantía de la cadena de
custodia
 Destrucción de
dispositivos, no
Regrabables, ópticos
 Sólo válido para
dispositivos de
almacenamiento
magnético
 No válido para dispositivos
no regrabables ni ópticos
 Destrucción definitiva y
dificultad de reciclaje de
materiales
 Tras el proceso el
dispositivo deja de
funcionar correctamente
 Reutilización de los
dispositivos con garantías
de funcionamiento
Fuente: INTECO
Tabla 3: Método de borrado adecuado en función del dispositivo
Soporte
Tipo
Destrucción
Física
Desmagnetización
Sobreescritura
Discos Duros
Magnético



Discos
Flexibles
Magnético



Cintas de
Backup
Magnético



CD
Óptico



DVD
Óptico



Blu-ray Disc
Óptico



Electrónico



Pen Drive
9
Fuente: INTECO
9
A pesar que actualmente la sobre-escritura es un método seguro de destrucción de datos para dispositivos basados en
memorias de estado sólido Nand-Flash, diversos trabajos de investigación forense apuntan la posibilidad de recuperación
posterior con técnicas de lectura directa de los chips de memoria. Uno de estos estudios es el de la Universidad de
California http://nvsl.ucsd.edu/sanitize/.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 27 de 35
Para más información, Inteco proporciona útiles gratuitos de borrado seguro en su página
web:
http://cert.inteco.es/software/Proteccion/utiles_gratuitos/
4.2
MÉTODOS QUE NO DESTRUYEN LA INFORMACIÓN DE FORMA SEGURA
Los sistemas operativos de los equipos informáticos ordenan la información en archivos,
dentro del dispositivo de almacenamiento. Para encontrar estos archivos dentro del
dispositivo correspondiente (por ejemplo, en el disco duro) hay que acudir a la “lista de
archivos”, donde se indica tanto el nombre del archivo como su ubicación dentro del
espacio de almacenamiento.
Cuando se utilizan métodos de borrado dispuestos por el
propio sistema operativo como el comando “suprimir”, se
realiza el borrado exclusivamente en la “lista de archivos”
sin que se elimine realmente el contenido del archivo que
permanece en la zona de almacenamiento hasta que se
reutilice este espacio con un nuevo archivo.
Por tanto toda aquella acción que no conlleve la eliminación, tanto de la información de la
“lista de archivos” como del contenido del mismo, no consigue destruir eficazmente dicha
información. De forma específica:
•
Los comandos de borrado del sistema operativo, acceden a la “lista de
archivos” y marcan el archivo como suprimido, pero su contenido permanece
intacto. .Por tanto, no son un método de destrucción segura.
•
4.3
Al formatear un dispositivo normalmente se sobre-escribe el área destinada a la
“lista de archivos” sin que el área de datos donde se encuentra el contenido de los
archivos haya sido alterada. Por tanto tampoco este es un método de destrucción
segura.
POLÍTICAS DE BORRADO SEGURO DE LA INFORMACIÓN
Toda empresa debe contar con una política de borrado seguro de la información de los
dispositivos de almacenamiento con los que trabaja, que contenga al menos los
siguientes elementos:
•
Gestión de soportes adecuada:
o
Realizar un seguimiento de los dispositivos que están en funcionamiento,
las personas o departamentos responsables, la información contenida en
ellos y su clasificación en función del grado de criticidad para el negocio.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 28 de 35
o
Llevar a cabo la supervisión de los dispositivos que almacenan las copias
de seguridad de estos datos.
o
Controlar cualquier operación realizada
mantenimiento, reparación, sustitución, etc.
o
En los traslados de los dispositivos de almacenamiento a instalaciones
externas a las de la empresa, asegurar que se cumple la cadena de
sobre
un
dispositivo:
custodia de los mismos, para evitar fugas de información.
•
Documentación de las operaciones de borrado realizadas:
o
Al seleccionar una herramienta de borrado, elegir aquella que permita la
obtención de un documento que identifique claramente que el proceso de
borrado se ha realizado, detallando cuándo y cómo ha sido realizado.
o
En el caso de que la destrucción lógica no se realice correctamente por
fallo del dispositivo, este hecho debe documentarse claramente y utilizar
métodos de destrucción física de dicho soporte, asegurando que se realice
de forma respetuosa con el medio ambiente.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 29 de 35
5. Legislación aplicable
5
5.1
LEGIS LACIÓN AP LICABLE
NORMATIVA INTERNA EN RELACIÓN CON LA SEGURIDAD DE LA
INFORMACIÓN EN LA EMPRESA
La mayoría de organizaciones, y especialmente los departamentos de sistemas de
información, consideran la seguridad de la información como un valor fundamental. Por lo
general, la función de seguridad está en manos de un grupo específico dentro del área de
sistemas de información, que debe tener entre sus responsabilidades la gestión técnica
del hardware y software de seguridad, el desarrollo de la normativa interna y la definición
de la estructura y organización necesarias para la gestión de la seguridad.
Existen distintas certificaciones que permiten asegurar que las organizaciones cumplen
con determinadas normativas, controles o estándares en sus procesos y operaciones.
Por ejemplo, la certificación según la norma ISO 9001 permite garantizar que la
organización cumple con la política y los objetivos de calidad, con la revisión de los
datos del sistema de gestión de calidad y toma las medidas necesarias para asegurarse
de que se cumplan los objetivos de calidad, establecer nuevas metas y lograr un proceso
de mejora continua.
Una vez implementado el sistema de calidad, la organización debe centrarse en el
cumplimiento de los objetivos de calidad, relacionados con aspectos legales, ambientales
y de producción. Específicamente en relación con las políticas internas de gestión de la
seguridad de la información, la empresa puede tener definidos acuerdos de
confidencialidad, de uso y distribución de la información, controles y niveles de acceso a
la información y políticas de resguardo y recuperación de la información.
Como se indicó en el capítulo 1.1 La información como activo de valor en la empresa, un
Sistema de Gestión de la Seguridad de la Información (SGSI), ayuda a las empresas a
definir un conjunto políticas que apoyen los objetivos de la organización en el ámbito de
la administración y seguridad de la información. Para garantizar este objetivo es
conveniente acreditar una certificación que avale el cumpliendo de los requisitos exigidos
y ayude a gestionar, formalizar y proteger los activos de información, apoyando esta
siempre en la mejora continua de los sistemas de información de las empresas.
La norma para la seguridad de la información UNE-ISO/IEC 27001 detalla los
requisitos necesarios para establecer, implantar, operar, supervisar, revisar, mantener,
auditar y mejorar un SGSI. Es susceptible de ser adoptada por empresas de cualquier
tamaño, grande, mediano o pequeño, de cualquier sector o ámbito empresarial y en
cualquier parte del mundo. La norma UNE-ISO/IEC 27001 permite garantizar a las
empresas que su información está protegida y es especialmente importante si la
protección de la información es crítica, tal y como puede ocurrir en el sector de las
finanzas, sanidad pública y tecnología de la información. Igualmente es muy eficaz para
empresas que administran y gestionan la información por encargo de otras, como por
ejemplo, las empresas de subcontratación de tecnologías de la información (TI).
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 30 de 35
5.2
ESQUEMA NACIONAL DE SEGURIDAD
ADMINISTRACIÓN ELECTRÓNICA
EN
EL
ÁMBITO
DE
LA
Es importante mencionar el Real Decreto 3/2010, de 8 de enero, por el que se regula
el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica,
en relación con el tratamiento de dispositivos de almacenamiento y borrado seguro de
información.
La finalidad del Esquema Nacional de Seguridad es la creación de las condiciones
necesarias de confianza en el uso de los medios electrónicos, a través de medidas para
garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios
electrónicos, que permita a los ciudadanos y a las Administraciones públicas el ejercicio
de derechos y el cumplimiento de deberes a través de estos medios. Este esquema está
formado por los principios básicos y requisitos mínimos que se requieren para garantizar
de manera eficaz la protección de la información.
El Real Decreto 3/2010 expone, en su Anexo II, las medidas de seguridad que debe
contemplar una empresa para lograr el cumplimiento de los principios básicos y requisitos
mínimos establecidos. Las medidas de seguridad se dividen en tres grupos: marco
organizativo [org], marco operacional [op] y medidas de protección [mp].
En este Anexo II, en el Apartado 5 se incluyen las medidas de protección [mp] para
activos concretos. Específicamente la medida 5.5. Protección de los soportes de
información [mp.si], en el apartado 5.5.5 Borrado y destrucción [mp.si.5] hace
referencia a la dimensión de seguridad que corresponde a esta medida,
Confidencialidad (C), entendida como la propiedad o característica consistente en que
la información ni se pone a disposición, ni se revela a individuos, entidades o procesos no
autorizados 10.
Además, se especifica el nivel requerido en esta dimensión de seguridad (bajo, medio o
alto), según las siguientes definiciones:
•
Nivel BAJO. Se utilizará cuando las consecuencias de un incidente de seguridad
que afecte a alguna de las dimensiones de seguridad supongan un perjuicio
limitado sobre las funciones de la organización, sobre sus activos o sobre los
individuos afectados.
•
Nivel MEDIO. Se utilizará cuando las consecuencias de un incidente de seguridad
que afecte a alguna de las dimensiones de seguridad supongan un perjuicio grave
sobre las funciones de la organización, sobre sus activos o sobre los individuos
afectados.
10
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la
Administración Electrónica.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 31 de 35
•
Nivel ALTO. Se utilizará cuando las consecuencias de un incidente de seguridad
que afecte a alguna de las dimensiones de seguridad supongan un perjuicio muy
grave sobre las funciones de la organización, sobre sus activos o sobre los
individuos afectados.
En el apartado descrito del Anexo II se emplean las siguientes convenciones:
•
Para indicar que una determinada medida de seguridad se debe aplicar a una o
varias dimensiones de seguridad en algún nivel determinado se utiliza la voz
“aplica”. En caso contrario se indica “no aplica”.
•
Para indicar que las exigencias de un nivel son iguales a los del nivel inferior se
utiliza el signo =.
•
El color amarillo se refiere a las medidas que empiezan a aplicarse en la
categoría media o superior. Un sistema de información será de categoría media si
alguna de sus dimensiones de seguridad alcanza el nivel medio, y ninguna
alcanza un nivel superior.
Vistas las aclaraciones, a continuación se refleja la información extraída del Anexo II:
Anexo II
Apartado 5: Medidas de protección [mp]: Las medidas de protección, se centrarán en proteger
activos concretos, según su naturaleza, con el nivel requerido en cada dimensión de seguridad.
Apartado 5.5. Protección de los soportes de información [mp.si]
Apartado 5.5.5. Borrado y destrucción [mp.si.5]
Dimensiones
Confidencialidad
nivel
bajo
medio
Alto
no aplica
aplica
=
La medida de borrado y destrucción de soportes de información se aplicará a todo tipo de
equipos susceptibles de almacenar información, incluyendo medios electrónicos y no
electrónicos.
a) Los soportes que vayan a ser reutilizados para otra información o liberados a otra
organización serán objeto de un borrado seguro de su anterior contenido.
b) Se destruirán de forma segura los soportes, en los siguientes casos:
a) Cuando la naturaleza del soporte no permita un borrado seguro.
b) Cuando así lo requiera el procedimiento asociado al tipo de la información
contenida.
c) Se emplearán, preferentemente, productos certificados.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 32 de 35
5.3
LEY ORGÁNICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL
(LOPD)
La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (LOPD), obliga
a las empresas a custodiar la información de modo que no pueda ser accedida por
terceros no autorizados. Hace referencia a la legislación aplicable en cuanto al uso y
difusión de datos personales de un tercero sin previa autorización (por ejemplo, publicar
fotografías de un cliente en el perfil social de la empresa o difundir datos personales de
un socio empresarial sin previa autorización, entre otros).
Además, es importante tomar en consideración que las empresas e instituciones de
cualquier tamaño son responsables de todos los datos informáticos almacenados en sus
equipos. Cada día más, los empleados almacenan grandes cantidades de información en
los discos duros de sus equipos informáticos, que en muchos casos, contienen a su vez
datos personales o privados que les confieren características de confidencialidad. La
eliminación no segura de la información puede ocasionar una posterior recuperación no
autorizada, ocasionando grandes perjuicios comerciales, de imagen y, por supuesto,
legales.
El Real Decreto 1720/2007, de 21 de Diciembre, por el que se aprueba el
Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos de Carácter
Personal (RDLOPD) desarrolla de forma completa la LOPD.
Específicamente en el artículo 92.4 se expone lo siguiente: siempre que vaya a
desecharse cualquier documento o soporte que contenga datos de carácter personal
deberá procederse a su destrucción o borrado, mediante la adopción de medidas
dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación
posterior.
Las sanciones 11 por el incumplimiento de obligaciones legales en materia de protección
de datos pueden variar entre 900 euros a 40.000 euros (infracciones leves), entre 40.001
a 300.000 euros (infracción grave) y entre 300.001 a 600.000 euros (infracción muy
grave), siendo la Agencia Española de Protección de Datos la entidad encargada de su
aplicación.
Por las razones expuestas anteriormente, es de gran importancia realizar un borrado
seguro de datos, no sólo desde el punto de vista de la privacidad de los usuarios y la
seguridad de las empresas, sino que, además, constituye una medida de obligatorio
cumplimiento cuando se trata de datos de carácter personal, según lo estipulado en la
LOPD y el RDLOPD.
11
Modificación de la Ley de Protección de Datos de Carácter Personal (LOPD), contenida en la Ley 2/2011, de 4 de marzo,
de Economía Sostenible. Disponible en: http://www.boe.es/diario_boe/txt.php?id=BOE-A-2011-4117
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 33 de 35
5.4
LEY DE SERVICIOS DE LA SOCIEDAD DE LA INFORMACIÓN Y DE COMERCIO
ELECTRÓNICO (LSSI)
La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del
comercio electrónico (LSSICE) regula el régimen jurídico de los servicios de la
sociedad de la información y de la contratación por vía electrónica. Las empresas tienen
obligaciones y responsabilidades en lo referente al servicio y uso de la Red con fines
comerciales, para garantizar el correcto uso del tratamiento de la información.
Internet es una pieza fundamental en los negocios y las empresas aprovechan los
numerosos servicios que se proporcionan a través de Internet, como el acceso a
información ilimitada, servicios de transmisión de la información y servicios de
almacenamiento y gestión de información, como las soluciones de posting y cloud
computing o informática en la nube.
La LSSI ofrece garantías y derechos a las empresas que contratan servicios en Internet,
como por ejemplo:
•
Obtención de la información sobre los prestadores de servicios, servicios que
ofrecen, precios, impuestos, gastos de envío.
•
Conocimiento de la identidad del anunciante y posibilidad de no recibir mensajes
promocionales no solicitados o dejar de recibirlos si se autorizaron previamente.
•
Explicación de los pasos para la contratación por Internet, condiciones generales
y acuses de recibo.
A la hora de contratar servicios de la sociedad de la información, la empresa debe
asegurarse de que el acuerdo legal contenga de forma detallada las opciones de
recuperación y borrado seguro de la información en caso de incidente o terminación del
contrato.
El incumpliendo de la LSSI podrá acarrear distintas sanciones en función de la gravedad
de las actuaciones realizadas, tipificándose las siguientes:
•
Por la comisión de infracciones muy graves, multa de 150.001 hasta 600.000
euros.
•
Por la comisión de infracciones graves, multa de 30.001 hasta 150.000 euros.
•
Por la comisión de infracciones leves, multa de hasta 30.000 euros.
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 34 de 35
Web
http://observatorio.inteco.es
Perfil en Scribd del Observatorio de la Seguridad de la Información:
http://www.scribd.com/ObservaINTECO
Canal Twitter del Observatorio de la Seguridad de la Información:
http://twitter.com/ObservaINTECO
Blog del Observatorio de la Seguridad de la Información:
http://www.inteco.es/blog/Seguridad/Observatorio/BlogSeguridad/
observatorio@inteco.es
www.inteco.es
Guía sobre almacenamiento y borrado seguro de información
Observatorio de la Seguridad de la Información
Página 35 de 35