In einer Zeit, in der die durchschnittlichen Kosten für Datenschutzverletzungen bei 8,64 Millionen Dollar liegen, ist die Mediensanierung wichtiger denn je. Cyberangriffe haben nicht nur Auswirkungen auf den Namen des Unternehmens. Ausfallzeiten und der Verlust des Zugangs zu kritischen Systemen machen mehr als die Hälfte der Kosten von 8,64 Millionen Dollar aus.
Daher müssen Unternehmen eine Strategie für den sicheren Umgang mit Daten und deren Bereinigung haben. Es ist auch wichtig, dass alle Geräte, die Sie in Ihrem Unternehmen verwenden und die von Dritten gehandhabt werden, strengen Standards unterliegen, um sicherzustellen, dass vertrauliche Informationen nicht in die Hände von unbeabsichtigten Benutzern gelangen.
Hier kommt die Mediensanitisierung ins Spiel. Bei der Mediensanierung werden Daten sicher und umfassend von der IT-Hardware entfernt - von mobilen Geräten bis hin zu USB-Laufwerken.
In diesem Zusammenhang hat die US-Regierung die NIST SP 800-88 (Guidelines for Media Sanitization) bereitgestellt. Sie wird vom National Institute for Standards and Technology veröffentlicht. NIST SP 800-08 enthält dynamische Verfahren und Anleitungen zum Löschen von Daten von allen Arten von Speichermedien. Ziel des Dokuments ist es, sicherzustellen, dass alle auf den Speichermedien befindlichen Daten unwiederbringlich sind.
In diesem Leitfaden gehen wir auf die Mediensanierung ein und erläutern, wie die NISTP SP 800-88-Richtlinien dazu beitragen, den Prozess für Unternehmen und andere Organisationen einfacher und klarer zu gestalten.
Die NIST 800-88-Richtlinien bieten eine strenge und umfassende Anleitung für Unternehmen und US-Regierungsstellen, um sicherzustellen, dass sie die besten Praktiken für die Datenvernichtung anwenden.
Das Dokument NIST 800-88 ist einer von mehreren Leitfäden für die Bereinigung von Datenbeständen. Zu diesen Vermögenswerten gehören Geräte wie Server, Laptops, mobile Geräte, Video- und Grafikkarten, austauschbare USB-Sticks und mehr.
Die jüngste Aktualisierung von NIST 800-88 Rev. 1 ist einer der am weitesten verbreiteten Datenbereinigungsstandards, die von der US-Bundesregierung angefordert oder verlangt werden. Die Standards in diesem Dokument, das auch als NIST Special Publication 800-88 bezeichnet wird, werden von Privatunternehmen und Regierungsorganisationen bereits weitgehend übernommen.
Der Zweck von NIST 800-88 besteht darin, die Anforderungen festzulegen und Anleitungen für die Umsetzung von Sanitisierungstechniken - Löschen, Säubern und Vernichten - zu geben, wenn die Medien wiederverwendet oder entsorgt werden sollen. Das Dokument konzentriert sich auf die Sanierung von elektronischen Kopien, Medien und die Handhabung von Papierdokumenten. Darüber hinaus legt NIST 800-88 auch die Verantwortung von Organisationen und Behörden fest, sicherzustellen, dass Daten, die sie für geschäftliche und andere Zwecke gesammelt haben, ordnungsgemäß gespeichert und entsorgt werden.
Das National Institute of Standards and Technology (NIST ) definiert Bereinigung als "den allgemeinen Prozess der Entfernung von Daten von Speichermedien, so dass eine angemessene Sicherheit besteht, dass die Daten nicht leicht abgerufen und rekonstruiert werden können".
Unternehmen, Behörden und andere Organisationen sammeln und speichern riesige Mengen an Daten. Diese Daten umfassen alle Arten von sensiblen Informationen wie z. B.:
Unter Mediensanierung versteht man den Prozess der dauerhaften Zerstörung von Daten, die auf Speichergeräten gespeichert sind. Medienbereinigungsmethoden müssen ordnungsgemäß angewendet werden, um sicherzustellen, dass keine Daten wiederhergestellt werden können, auch nicht mit fortschrittlichen Datenwiederherstellungstools.
Da Unbefugte versuchen könnten, Daten zu rekonstruieren und Zugang zu sensiblen Informationen von Medien zu erhalten, die nicht ordnungsgemäß bereinigt wurden, schützt die Medienbereinigung die Vertraulichkeit sensibler Informationen.
In diesem Zusammenhang wurde in den NIST 800-88-Richtlinien auch die Vertraulichkeitsstufe der behandelten Daten und nicht nur die Art des Datenträgers berücksichtigt. Aus diesem Grund enthält das Dokument eine Anleitung zu den Zerstörungstechniken, die verwendet werden müssen, um den erforderlichen Grad der Bereinigung zu erreichen.
Die NIST 800-88-Richtlinien schützen die Vertraulichkeit sensibler Informationen und geben die Zerstörungstechniken vor, die erforderlich sind, um den erforderlichen Grad der Bereinigung zu erreichen. Während Unternehmen Cybersicherheitsmaßnahmen wie ausgefeilte Zugangskontrollen und Verschlüsselung anwenden, um Datenverletzungen und Cyberangriffe zu verhindern, suchen Unbefugte nach anderen Möglichkeiten, um an vertrauliche Informationen zu gelangen. Und eine der Möglichkeiten, wie vertrauliche Informationen in die falschen Hände geraten, besteht darin, dass Restdaten von Medien abgerufen werden, die ein Unternehmen ohne ausreichende Bereinigung verlassen haben.
Eine Schwachstelle für den Datenschutz entsteht, wenn Geräte ohne angemessene Datenbereinigung den Besitzer wechseln. Innerhalb eines Unternehmens können vertrauliche Daten von einer stark geschützten Speicherumgebung in eine weniger geschützte verschoben werden. Dies kann passieren, wenn keine Sicherheitsmaßnahmen getroffen wurden, um zu überprüfen, ob die Daten ausreichend bereinigt wurden.
Zu diesem Zweck empfiehlt der NIST-Standard, dass Unternehmen Datenbereinigungsprojekte wie folgt einrichten:
Die Gründlichkeit des Datenbereinigungsprozesses ist sogar noch wichtiger für Speichergeräte, die die physischen Standorte eines Unternehmens verlassen oder anderweitig ohne Sicherheitsmaßnahmen zugänglich sind. Um einen Datenbereinigungs-Workflow zu starten, müssen Unternehmen und Organisationen die folgenden Punkte berücksichtigen:
Ein Auszug aus NIST SP 800-88, Rev.1, "Executive Summary:"
"Die Anwendung ausgeklügelter Zugangskontrollen und Verschlüsselung trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass ein Angreifer direkten Zugang zu sensiblen Informationen erlangen kann. Infolgedessen können Parteien, die versuchen, an sensible Informationen zu gelangen, versuchen, ihre Bemühungen auf alternative Zugriffsmöglichkeiten zu konzentrieren, wie z.B. das Abrufen von Restdaten auf Medien, die eine Organisation ohne ausreichende Bereinigung verlassen haben.... Folglich sind die Anwendung wirksamer Bereinigungstechniken und die Nachverfolgung von Speichermedien entscheidende Aspekte, um sicherzustellen, dass sensible Daten von einer Organisation wirksam vor unbefugter Offenlegung geschützt werden. Der Schutz von Informationen ist von größter Bedeutung.
Es gibt mehrere Methoden, um Daten von Speichermedien zu säubern. Dazu gehören die Entmagnetisierung, die physische Zerstörung des Laufwerks, die Verschlüsselung und das Überschreiben, auf die wir weiter unten eingehen werden.
Entmagnetisierung ist eine Methode zur Mediensanierung, bei der die Daten auf den Speichermedien einem starken Magnetfeld ausgesetzt werden. Durch die Entmagnetisierung der Festplatten werden die Daten neutralisiert, so dass sie nicht wiederhergestellt werden können.
Die Entmagnetisierung kann eine wirksame Methode sein, um Festplattenlaufwerke, Disketten und Magnetbänder zu zerstören oder zu bereinigen. Bei Flash-basierten Speichergeräten wie SSDs (Solid State Drives) haben sie sich jedoch als unwirksam erwiesen. Aus diesem Grund wurden die NIST 800-88-Richtlinien aktualisiert, um sicherzustellen, dass die Mediensanierung mit den technologischen Fortschritten bei Speichergeräten Schritt halten kann.
Der Überschreibungsprozess umfasst das Überschreiben zuvor gespeicherter Daten mit zufälligen oder festgelegten Mustern in allen Sektoren des Laufwerks. Dadurch werden die auf einem Laufwerk gespeicherten Daten unlesbar, was Datenverletzungen verhindert. Das Überschreiben ist in speziell definierten, für den Benutzer zugänglichen Bereichen von Magnetfestplatten sehr effektiv.
Mit der zunehmenden Verwendung von Flash-Laufwerken oder SSDs wurde das Überschreiben jedoch zu einer unzureichenden Methode der Datenlöschung. Flash-Speicherlaufwerke sind schneller, kleiner und widerstandsfähiger gegen Beschädigungen. SSDs verfügen außerdem über Mechanismen, die den Verschleiß minimieren, indem sie nicht adressierbare Overprovisioning-Bereiche im Laufwerk verwenden, in denen Daten zurückbleiben können. Dies macht es schwieriger, Daten zu zerstören oder von ihnen zu löschen.
Obwohl das NIST für SSDs mindestens ein Überschreiben in einem Durchgang erlaubt, empfehlen die Richtlinien zusätzliche Schritte, um alle Sektoren zu erreichen. Das bedeutet, dass das Überschreiben mit speziellen Befehlen, Technologien oder Tools kombiniert werden muss, um die versteckten Bereiche des Laufwerks zu erreichen. So können Benutzer beispielsweise die Firmware-basierten Löschbefehle des Laufwerks nutzen, um sensible Daten zu löschen.
Unter Schreddern versteht man das physikalische Zerstören von Festplatten, Smartphones, Laptops, Druckern und anderen Speichermedien in winzige Stücke mit großen mechanischen Schreddern. Es ist die effektivste Methode der Datensanierung, da die Daten nicht mehr wiederhergestellt werden können. Allerdings ist die Vernichtung elektronischer Geräte umweltschädlich. Es ist auch kostspielig für Unternehmen, wenn sie nicht in der Lage sind, Medienspeicher und Geräte wiederzuverwenden oder weiterzuverkaufen. Außerdem wird durch das Recycling und die Wiederverwendung elektronischer Geräte, anstatt sie vorzeitig zu zerstören, der CO2-Fußabdruck der Geräte gering gehalten.
Die Verschlüsselung bezieht sich auf die Methode der Verwendung kryptografischer Löschsoftware, die entweder eingebaut oder manuell auf den gesamten Datenbestand des Speichergeräts angewendet wird. Um den Vorgang abzuschließen, wird der Schlüssel, der zur Entschlüsselung der Daten verwendet worden wäre, gelöscht. Diese Methode kann jedoch unzureichend sein, insbesondere bei Medien, die sehr vertrauliche Informationen enthalten, da es keine Möglichkeit gibt, zu überprüfen, ob alle Verschlüsselungsschlüssel gelöscht wurden.
Die Verschlüsselung hängt auch stark vom Hersteller ab, bei dem Ausführungsprobleme auftreten können. Darüber hinaus können menschliche Fehler und andere Geräteprobleme wie defekte Schlüssel die Verschlüsselungsmethode unwirksam machen.
Die NIST 800-88-Richtlinien sind bekannt für ihre Mediensanierungskategorien "Clear", "Purge" und "Destroy" für das Löschen von Daten am Ende der Lebensdauer von Speichergeräten.
Clear wendet Standard-Lese-/Schreibbefehle, -Techniken und -Tools an, um die Vertraulichkeit von Informationen zu schützen. Es kann für Disketten, Laufwerke, ATA-Festplatten (Advanced Technology Attachment), SCSI-Laufwerke und Flash-Medien (USB-Sticks, Speicherkarten) verwendet werden. Clear ist eine Stufe der Mediensanierung, die einfache, nicht-invasive Datenwiederherstellungstechniken oder Data Scavenging Tools schützt.
Die NIST-Clear-Techniken eignen sich am besten für Speichergeräte, die keine sensiblen Informationen enthalten, da sie sich nicht auf Daten in versteckten oder unzugänglichen Bereichen beziehen. Für die meisten Geräte ist sie aber dennoch wirksam. Außerdem wird der Abfall reduziert, da die Speichermedien wiederverwendet werden können.
Die Bereinigung bezieht sich auf die physische Technik, die die Wiederherstellung von Zieldaten unmöglich macht. Es handelt sich dabei um einen Mediensanierungsprozess, der ein höheres Maß an Schutz bietet. Bei der Bereinigung werden modernste Laborüberschreibungs-, Blocklöschungs- und Verschlüsselungsmethoden eingesetzt. Diese Techniken werden empfohlen, wenn es um vertrauliche Daten geht.
Bereinigungsmethoden können für die meisten Arten von elektronischen Medien und Geräten verwendet werden. Und Entmagnetisierung ist als Reinigungsmethode für magnetische Daten anerkannt.
Die physische Zerstörung ist die beste Form der Desinfizierung. Es gibt verschiedene Methoden, um Medien unbrauchbar zu machen, darunter Schreddern, Schmelzen, Pulverisieren und Verbrennen. Diese Methoden können für Disketten, Festplattenlaufwerke, optische Datenträger und Flash-Medien verwendet werden.
Diese Stufe der Datenbereinigung wird empfohlen, wenn ein Datenträger aufgrund seines physischen Zustands nicht mit Lösch- oder Bereinigungsmethoden bereinigt werden kann. Sie wird auch verwendet, wenn Benutzer sicherstellen wollen, dass streng vertrauliche Daten nicht wiederhergestellt werden können.
Beachten Sie, dass das NIST nicht empfiehlt, dass es nur eine beste Methode zur Datenbereinigung gibt. Stattdessen wird empfohlen, dass Benutzer die Vertraulichkeit der Informationen und das Medium berücksichtigen, wenn sie Entscheidungen zur Datenbereinigung treffen.
Die NIST SP 800-88 bietet Richtlinien, aber es gibt keine Möglichkeit zu messen, ob eine Organisation diese befolgt. Aus diesem Grund ist Phonecheck von der ADISA zertifiziert.
ADISA (Asset Disposal and Information Security Alliance) bietet eine branchenführende Standardzertifizierung für Unternehmen, die Herstellern und Entwicklern von Software- und Hardware-Datenbereinigungslösungen Dienstleistungen zur Entsorgung von IT-Assets anbieten.
ADISA hat ein strenges Zertifizierungsverfahren, das sich an den NIST-Richtlinien orientiert. Unternehmen, die der Allianz beitreten möchten, müssen die Zertifizierung durchlaufen und die Kriterien der Organisation erfüllen, um zertifiziert zu werden.
Egal, ob Sie für sich selbst oder Ihr Unternehmen suchen, kaufen Sie kein gebrauchtes Gerät ohne einen Phonecheck Certified History Report. Erwerben Sie noch heute einen solchen Bericht für etwa den Preis einer Tasse Kaffee.
