Identificación de dispositivos de almacenamiento de datos [Core 6(a)(3)]

P. Según el requisito básico 6.(a)(3), se requiere que una instalación R2 tenga un proceso documentado para "identificar todos los dispositivos de almacenamiento de datos". ¿Cómo debe determinar una instalación R2 si un dispositivo tiene capacidades de almacenamiento de datos? ¿Es suficiente revisar la información del producto del sitio web de un fabricante para saber si un dispositivo puede tener datos?

Si bien la confirmación de las especificaciones de almacenamiento de datos por parte del fabricante del producto puede ser una herramienta útil para comprender las capacidades de almacenamiento de datos de un dispositivo, las instalaciones de R2 no deben confiar únicamente en esta información.

Las instalaciones de R2 deben ser conscientes de que diferentes dispositivos, e incluso diferentes modelos del mismo dispositivo, a menudo pueden tener diferentes capacidades de hardware y almacenamiento de datos que deben tenerse en cuenta. Por lo tanto, si bien la información del fabricante puede ser útil, debe aplicarse solo a los dispositivos específicos identificados por ese fabricante y no debe interpretarse de manera amplia en una categoría de equipo. Se deben tener en cuenta los modelos, versiones, sistemas operativos u otras especificaciones específicas que pueden variar de un dispositivo a otro y, por lo tanto, pueden generar otras necesidades de desinfección de datos.

Al identificar los dispositivos de almacenamiento de datos, hay dos aspectos importantes a considerar. 

1. 1. La primera es si el dispositivo en sí puede contener datos y, por lo tanto, requeriría una desinfección de datos física o lógica. Y, si está destinado a la reutilización, el dispositivo deberá desinfectarse lógicamente con el software de desinfección de datos adecuado de acuerdo con el Apéndice B (10).
   2. El segundo factor a considerar es si el dispositivo puede conectarse a cuentas de usuario y otros servicios en línea. Estas conexiones pueden tener la capacidad de acceder a los datos del usuario que se almacenan en ubicaciones distintas del dispositivo, por ejemplo, cuentas basadas en la nube o dispositivos emparejados. El Apéndice B (12) requiere que se eliminen todas las conexiones a los servicios remotos para que ninguna cuenta o información relacionada pueda volver a llenarse en el dispositivo.

Otro aspecto a tener en cuenta es la diferencia entre datos e información general. R2v3 define "datos" como "información privada, de identificación personal, confidencial, con licencia o patentada contenida en un dispositivo electrónico..." Los datos siempre requieren desinfección.

"Información general" se define como "información disponible públicamente o información que se proporciona con el equipo electrónico original del fabricante". Información general no requiere sanitización.

Comprender claramente la diferencia entre los datos y la información general ayudará tanto en el desarrollo del Plan de saneamiento de datos como en la implementación de los métodos de saneamiento.

Por último, cuando identifique las capacidades de datos, asegúrese de considerar cualquier actualización o modificación al dispositivo, así como también cualquier accesorio que pueda contener, como tarjetas de memoria.