【51CTO.com快譯】遵循有效的數據清理流程可以減少組織的數據被盜或泄露的機會，并提高合規性。

[[375430]]

作為數據存儲和保留活動的一部分，組織必須在存儲介質中完全刪除數據，甚至需要毀壞存儲數據的存儲介質。而數據清理是完全不可逆地破壞存儲設備上數據的過程。

可以清理的媒體設備包括磁盤、閃存設備、CD和DVD。如果對設備進行了適當的清理，則不應有可用的殘留數據，甚至高級取證工具也無法恢復任何數據。數據清理技術包括擦除數據的專用軟件、連接到存儲介質并擦除數據的專用設備，以及采用物理方法銷毀存儲介質以便無法恢復數據的過程。

數據清理在備份中的重要性

一旦不再需要備份數據或清理過期的數據，組織就必須根據數據保留策略來存檔或銷毀。如果組織在內部部署數據中心存儲數據，則可以基于存儲介質使用各種數據清理技術進行完全銷毀。IT組織在進行審核時，審核員需要檢查和驗證數據銷毀活動的證據。

如果組織將數據存儲在異地，例如在云備份存儲，則云計算供應商必須為其銷毀客戶數據，然后驗證其數據是否已被正確地完全銷毀，并且無法恢復。組織在與云存儲或其他托管服務提供商合作之前，需要研究其用于銷毀數據的過程，并了解如何證明已經對數據進行了完全銷毀。非現場數據存儲公司如果不能證明數據銷毀，將意味著數據可能會被恢復，尤其是在存儲供應商遭受網絡攻擊以獲取客戶數據的情況下。

標準和實踐

行業機構ARMA International發布的《記錄和信息媒體的合同銷毀》標準提供了有關如何銷毀數據和存儲介質的指南。客戶和數據銷毀供應商都可以遵循并使用。

美國國家標準與技術研究所出版的NIST特別出版物800-88第1版《存儲介質清理指南》(2015年2月)，根據組織對信息數據保密性的分類，提供了詳細的數據存儲介質清理指南。它支持另一種廣泛使用的NIST標準SP 800-53的關鍵條款，該標準名稱為《美國聯邦信息系統和組織的建議的安全控制》。

有關數據清理技術的其他標準和法規還包括：

• 《通用數據保護條例》(GDPR)的多個部分，例如第17條的刪除權;
• PCI DSS(支付卡行業數據安全標準)第3.1、3.2、9.8.2和10.7節;
• ISO/IEC 27001，信息安全管理，第A.8.3.2節，存儲介質的處置，以及A.11.2.7，安全地處置或重復使用設備;
• 紐約州金融服務公司的網絡安全要求23 NYCRR 500，第500.13節，數據保留限制。

制定數據清理政策的重要性

首先建立數據銷毀策略以補充組織的數據保留策略。數據保留政策和程序是美國許多現行法律中的特定要求，例如《薩班斯-奧克斯利法案》(SOX)和《健康保險攜帶與責任法案》(HIPAA)。數據銷毀策略可確保不再使用的設備和媒質的內容被安全地刪除、銷毀或覆蓋，從而使以后檢索重要數據變得極為困難或不可能。制定數據銷毀策略還可以減少數據或隱私泄露的可能性，從而降低組織可能面臨的責任。

除了數據銷毀策略外，組織還應具有正式的文檔編制程序，以確認用于銷毀數據和存儲介質的過程。因此，要求數據管理政策和程序的大多數法規都提供所有數據保留和銷毀活動的正式文件，這可以向法院提供證據，證明任何有關數據都已經被銷毀。

數據銷毀策略及其關聯的銷毀過程中的關鍵組件之一是用于安全銷毀數據和存儲介質的技術。通常使用以下四種技術：

• 覆蓋。通常通過軟件實現，這個過程可以簡單安全地使用新數據覆蓋存儲介質，也被稱為擦除，只要在存儲媒質中寫入大量數據即可(例如采用0和1或特定的字符模式)。
• 消磁。這項技術使用稱為消磁器的設備​​以電子方式消除磁盤或驅動器的磁場。而在正確使用消磁后，磁盤將無法使用。但是，磁盤制造商可能會在工廠重新格式化磁盤。
• 加密。加密通常用于保護數據不被未經授權的訪問，也可用于使存儲設備上的數據無法訪問。使用強大的密鑰可以有效地防止對存儲在設備上的所有數據進行加密和解密。通過銷毀加密密鑰，加密數據將永久不可訪問。
• 物理破壞。這種技術通常被認為是最安全和永久的破壞方法。必須徹底銷毀存儲介質，因為即使是一小塊磁盤也可能包含數據。典型的技術包括將存儲介質進行研磨或粉碎;焚化;將腐蝕性化學物質(如硫酸)施加到磁盤表面;使存儲介質汽化或液化;或對存儲介質施加極高的電壓進行破壞。

相關法規

《薩班斯-奧克斯利法案》(SOX)要求組織制定嚴格的記錄保留策略和程序，但未指定特定的數據存儲格式。它要求組織管理人員對其信息建立內部控制，以確保完整性、正確性和快速訪問權限。但是，SOX法規還要求對上市公司進行審計的會計師事務所在完成審計后至少保留七年的相關審計文件。違反者將會面臨最高1000萬美元的罰款和20年的監禁。

與SOX法案類似，HIPAA法案側重于保護電子個人健康信息。HIPAA法案中的數據清理條款可以在第164.306節“安全標準”、第164.308節“行政保障”和第164.314節“組織要求”中的“安全規則”(C部分)中找到。

有效使用數據清理技術可以最大程度地減少具有價值的數據被盜或泄露的機會。組織有多種選擇永久銷毀數據和存儲介質。而采用正確的數據清理政策，組織就可以經濟高效地滿足數據銷毀要求，并遵守相關法規。

原文標題：Data sanitization techniques: Standards, practices, legislation，作者：Paul Kirvan

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】