ADISA generales: https://adisa.global/about-us/

Garantía de Producto ADISA: https://adisarc.com/product-assurance-2023/

Lista de software de desinfección SERI: https://sustainableelectronics.org/knowledge-base/sanitization-software-examples-information-sheet/

Iniciativa de impulso circular: https://circulardrives.org

IEEE 2883-2022: https://standards.ieee.org/ieee/2883/10277/

TRANSCRIPCIÓN DEL PODCAST:

Podcast 22 – ¿Purga? ¿MARCAR? ¿IoT? Desinfección de datos con Jonmichael Hands y Steve Mellings 

Octubre 2023

Una de las funciones más importantes de cualquier instalación R2 es la gestión, el procesamiento y la desinfección adecuados de los dispositivos que contienen datos en los equipos electrónicos. Tenemos dos invitados en este episodio de Ask the R2 Guru, expertos de renombre internacional en operaciones y técnicas de desinfección de datos. Y sí, discutiremos la diferencia entre Purge y Clear, qué es una clasificación DIAL y qué hacer con esos nuevos dispositivos en el Internet de las cosas. Soy RG de SERI, Campeones de la Sostenibilidad Electrónica.

Hablamos mucho de seguridad y desinfección de datos, porque es una de las principales preocupaciones de los clientes de las instalaciones de R2. Para brindarle recursos para que pueda hablar con esos clientes, queremos explorar lo último en seguridad y desinfección de datos. El último estándar internacional para la desinfección del almacenamiento es IEEE 2883-2022, que describe los métodos disponibles de desinfección de datos por dispositivo. El Estándar 8.0 de recuperación de activos de TIC de ADISA permite que un cliente con dispositivos de datos se conecte con una instalación ITAD que puede realizar la desinfección de datos en función de la sensibilidad de los datos y las necesidades de cada cliente. También describe los requisitos detallados para todo el proceso de desinfección y seguridad de datos. Aunque el estándar R2v3 es amplio y describe las mejores prácticas para gestionar productos electrónicos usados ​​para su reutilización y reciclaje, una parte clave del estándar R2v3 es la seguridad y desinfección de los datos, como se describe en el Requisito básico 7 y el Apéndice B. En SERI, entendemos la importancia de los datos. La seguridad y la desinfección son para casi todas las instalaciones de R2 en el mundo, y nos esforzamos por enfatizar esa importancia y preocupación mientras defendemos la sostenibilidad de la electrónica.

Y ahora, me gustaría presentarles a mis dos invitados: Jonmichael Hands, asesor de Circular Drive Initiative y miembro del grupo de trabajo de seguridad en almacenamiento del IEEE. Jonmichael es uno de los autores del estándar IEEE 2883. También damos la bienvenida a Steve Mellings, director ejecutivo de ADISA, los administradores del Estándar de Recuperación de Activos TIC de ADISA, Versión 8.

roger greive (RG) Comencemos preguntándoles a ambos: ¿cuáles consideran que son las mayores preocupaciones o desafíos en materia de datos para los clientes de las instalaciones de ITAD? ¿Jonmichael?

Manos de Jonmichael (JM): Sí, sé que una de las cosas más importantes para los datos es simplemente la clasificación de los datos, lo cual vemos que mucha gente simplemente no hace algunas tareas básicas de limpieza en datos de valor comercial bajo, medio o alto, como ese, que es un requisito previo extremadamente importante para cómo se describe la tolerancia al riesgo del cliente, qué tipo de método o técnica de desinfección de medios utilizar, cómo se manejan los datos, pero sí, creo que muchas de estas empresas solo están recurriendo a los ITAD para resolverlo, pero depende del empresa para clasificar

(RG): ¿y Steve?

Steve Mellings (SM): Sí, estoy de acuerdo y buenos días o buenas tardes, dondequiera que estén. Estoy de acuerdo, JM. Creo que uno de los desafíos en la comunidad ITAD es que parece ser la solución milagrosa que la gente está buscando y a nadie le gusta. La respuesta deberíamos estar bien, depende y desafortunadamente depende del cliente, por lo que a menudo se deja que la industria responda preguntas para las cuales es posible que no tenga toda la información necesaria para responder la pregunta... ¿hasta dónde debemos llegar con la desinfección desde un punto de vista lógico? perspectiva y una perspectiva física y creo que ese es uno de los mayores desafíos, Roger, para responder la pregunta directamente, creo que ITAD ahora necesita convertirse un poco más en una guía si desea que el cliente lo ayude a salvarlo de ellos mismos fue la frase que escuché recientemente, porque esto se está volviendo cada vez más complejo: la desinfección y cada vez más desafiante, y creo que la idea única para la desinfección será cosa del pasado. . Y creo que lo que estamos buscando es construir estructura y madurez dentro del proceso y la industria ha recorrido un largo camino a nivel mundial, creo que en los últimos 10 años, 15 años y creo que la desinfección es un proceso y una técnica que tiene diferentes. capas y diferentes complejidades, y creo que debemos comenzar como una industria, dejar de buscar la solución milagrosa, la solución milagrosa y el kit de construcción, un punto de solución múltiple, si lo desea, porque los clientes tendrán diferentes apetitos de riesgo, tendrán diferentes apetitos de riesgo. amenazan a los adversarios y tendrán diferentes categorías de datos y diferentes presupuestos también y todos estos diferentes tipos de servicios deberán ser atendidos por la industria y creo que esa es realmente una oportunidad para comenzar a agregar valor solo a través del conocimiento y educar al cliente en este proceso.

(RG): Jonmichael, tienes una visión general de todo esto desde tu posición, siendo una función semiadministrativa. ¿Qué escuchas de las propias instalaciones de ITAD?

(JH): Sí... Entrevisté a bastantes de estos proveedores de ITAD y hablé con muchas personas que escriben software para esto, como herramientas de desinfección de medios y suites de borrado de datos. Algunos de ellos, los más grandes, están bien conectados y conectados con lo que está sucediendo en el mundo del almacenamiento y las tendencias de almacenamiento más amplias; algunos de ellos o no, ¿verdad? Entonces, una de las cosas que veo que es muy, muy mala es que esto es una señal de alerta o si ve un software de desinfección de medios que dice que admitimos 50 algoritmos de limpieza diferentes y luego el estándar del Departamento de Defensa y 15 pasadas de escritura, esto es todo es basura y ya nada de esto es necesario, así que creo que lo primero es comprender cuáles son las especificaciones de desinfección de medios modernos y creo que íbamos a entrar en IEEE 2883-2022 En esta charla pienso un poco, pero este es el estándar de oro para el saneamiento de medios en este momento y en realidad es una lectura bastante fácil, así que sí, no espero que todos lean este documento, pero ciertamente si estás administrando un ITAD y Al administrar datos de clientes de esta manera, esto es algo que debe leer.

(RG): Volvamos por un momento, Jonmichael, al NIST 800-88. NIST: el Instituto Nacional de Estándares y Tecnología, un grupo estadounidense, hizo un documento 800-88 hace más de 10 años. Cuéntanos un poco sobre el origen de eso y dónde se encuentra hoy.

(JH): Entonces, la cuestión es esa y supongo que diré que puedes decirlo, como acabas de decir, creo que el documento se publicó en 2015, así que creo que con el borrador en 2014 se supone que se desarrollará el final. de 2013 y 2014: las tecnologías de almacenamiento cambiaron bastante desde entonces, obviamente fui gerente de producto para la primera unidad NDD en Intel en 2014 y ahí es donde lanzamos el primer SSD NBD. en junio de 2014, por lo que se menciona un poco, pero en realidad no comprende el tipo de moderno y se necesitan dispositivos que en realidad representan la mayoría de los precios de almacenamiento en el futuro, ¿verdad? … el espacio del consumidor traslada cientos de millones de Ndot super SSD para que los consumidores accedan a este espacio empresarial: cientos de exabytes, por lo que este es, con diferencia, el segmento de datos más grande por recuento de unidades, por lo que comprenderlo es bastante importante, pero… Sobre todo, una de las cosas más importantes. es que NIST no es una especificación internacional y no tiene ningún “deber”, lo que significa que no se puede: no existe un programa formal de cumplimiento de NIST-800-88. Hay muchas personas que han hecho todo lo posible para poder describir básicamente el cumplimiento o el cumplimiento de las especificaciones, pero no hay requisitos reales en NIST 800-88. No creo que la gente realmente entienda eso, pero a las personas fuera de los EE. UU. no les importa necesariamente lo que NIST tiene que decir, por lo que IEEE 2883-2022 tiene un alcance mucho más amplio, al ser una especificación internacional. La otra cosa importante que sucedió entre NIST 800-88 y IEEE 2883-2022 es la desaprobación de algunos métodos de destrucción más antiguos, como la trituración, por lo que la redacción en IEEE 2883-2022 es mucho más precisa sobre la incineración, la desintegración y la fusión del tamaño de las partículas. Así que creo que simplemente rompimos un disco duro a ciegas, bueno, la densidad de pistas... ¿recuerdas? Estos discos duros modernos tienen 10 platos de disco y cada plato tiene dos terabytes de datos y más, en realidad más, uno de algunos de Las nuevas unidades acaban de salir al mercado con 2.4 terabytes de datos por plato: 10 platos y, por tanto, más de 500,000 pistas por pulgada cuadrada. Si simplemente intentas romper un disco duro y obtienes pequeños fragmentos de tres o cuatro milímetros, ese es un problema ahora que no solía serlo, por lo que no creo que la gente entienda cuán denso es. Los datos son y para no dar miedo, entendemos cómo funcionan porque los humanos los diseñaron, por lo que sabemos cómo hacer que los datos desaparezcan también.

(RG): Steve, trabajas con instalaciones todo el tiempo de forma práctica... ¿cómo reaccionas ante estos cambios en la tecnología de almacenamiento que describió Jonmichael?

(SM): Creo que lo primero que debemos decir, y creo que esto debería hacerse ampliamente, es que realmente necesitamos respaldar IEEE 2883 como especificación de desinfección porque realmente es lo mejor que ha existido. Eso es sin lugar a dudas en mi opinión... hay partes y JM no me grita... hay partes en su trabajo que interpretaremos de manera diferente, creo que Roger y hablaremos en un segundo, pero desde una perspectiva lógica. , la especificación de desinfección es la que debemos seguir. Ahora, la aplicación práctica que estamos viendo es difícil de verificar el cumplimiento, así que JM mencionó algunos proveedores de software anteriormente y vemos un nivel diferente de madurez para diferentes proveedores de software. Algunos realmente entienden esto y, en el fondo, porque tenemos un laboratorio, probamos productos y observamos qué comandos se envían a las unidades que sabemos que respaldan esos comandos en el comportamiento, cuando no son compatibles, observamos exactamente qué inteligencia. el software lo ha hecho y podemos tener una idea de cómo son lo bueno, lo malo y lo feo. Por el momento, existen sólo unos pocos productos realmente buenos y otros se esfuerzan por cumplir algunos de estos requisitos, pero hay otros, y JM lo mencionó, que son menos buenos y lo que sucede en la GUI no refleja lo que sucede en el autobús y estamos viendo que el software tiene múltiples opciones diferentes para la desinfección, pero en realidad solo realiza una sobrescritura básica independientemente de lo que seleccione. Y creo que este es el desafío para la ITAD, porque dónde se genera la confianza, dónde se gana la confianza en primer lugar, pero dónde se puede generar confianza y creo que en este momento se está depositando una gran cantidad de confianza. en el software que es parte fundamental de nuestra estrategia de sanitización dentro de la industria; Y creo que hay algunos productos de software fantásticos con algunas empresas brillantes detrás de ellos, pero hay algunos que aspiran y, peor aún, probablemente hay algunos que no están en esa página. Ahora, lo único que me encantaría ir por la tangente si se me permite es la parte de destrucción y creo que IEEE 2883-2022 es, de hecho, la mejor especificación. Creo, y me gustaría discutir esto también con JM, si podemos. Creo que hay otras contramedidas que tiene la instalación ITAD que disminuye la probabilidad de ataque a un tamaño de partícula triturada y porque tenemos dos mil en el laboratorio en este momento estamos verificando el tamaño con algunas ópticas, algún análisis de software, para que podamos ver cómo está expuesta la electrónica; podemos ver cómo se podría montar un ataque en una unidad triturada de 2 mil, pero la probabilidad de que esa amenaza se manifieste en un ataque real es, en mi opinión, muy pequeña cuando se agrega una pieza de unidad triturada, así que no sé dónde. está oculto entre otro material triturado, es anónimo, por lo que no sé de dónde viene y está en una instalación segura. Creo que si un adversario de amenaza que tuviera ese tipo de capacidad técnica y motivación estuviera buscando atacar el sector ITAD, yo No creo que sea del tamaño de partícula triturada porque su probabilidad de ataque exitoso es muy baja. Probablemente estaría más cerca del cliente en un vehículo que acaba de salir de las instalaciones donde las transmisiones aún pueden estar intactas y desde nuestro lado de ADISA acabamos de... No creo que les haya hablado de esto sobre este año en realidad. , pero acabamos de elaborar un documento y estamos formando un comité para aceptar y adaptar IEEE 2883-2022 en la comunidad ITAD. Vamos a aceptar la pieza lógica porque creemos que es lo mejor que hay.  La adaptación es, nuestra recomendación es aceptar contramedidas adicionales para disminuir la probabilidad de un ataque al material triturado y creo que ahí es donde la industria, Roger, realmente puede tomar estas especificaciones en estos estándares y adaptarlos a entornos para los que no fueron necesariamente escritos, lo que significa que se obtiene lo mejor de ambos mundos.

(RG): A medida que profundizamos en esto, Jonmichael, hay mucho énfasis en los métodos de purga versus limpieza... ¿podría explicarnos la definición básica de la diferencia entre estos dos y por qué la purga es tan importante?

(JM): Sí, seguro que lo claro realmente estaba destinado a proteger contra la recuperación de datos no invasiva. Ejemplo: alguien ingresa a un centro de datos, toma una unidad, la coloca en un sistema y puede usar herramientas de software básicas para leer el intervalo LDA: leer los bloques del dispositivo y, por lo tanto, debe ser claro y rápido. Una manera rápida, económica y fácil de prevenir la recuperación de datos simples como esa

(RG): ¿Qué hace eso? ¿Qué hace realmente el claro?

(JM): Sí, entonces esta es la pregunta... en realidad las hay y la razón por la que me gusta mucho la forma en que está alineado 2883. Puedes ir a la sección para borrar y decir OK, tengo una unidad SATA... ¿qué está claro para SATA? Tengo una unidad NVMe, ¿qué queda claro para NVMe? Así que hay... una de las principales diferencias y la eliminaré aquí en un segundo es la forma en que funcionan los SSD hoy en día: si tienen un controlador NAND, tienen un poco de DRAM; El controlador básicamente accede a muchos paquetes, pero la forma en que funciona la memoria flash NAND es que debe borrarse antes de poder programarse y la razón por la que esto sucede es simplemente la física fundamental de los electrones de las células de carga de datos flotantes y hay que eliminarlos. antes de programar su celular, pero debido a que estos SSD tienen área libre, tienen sobreaprovisionamiento, tienen espacio adicional y el mapeo real de lo que el host cree que es el bloque con lo que hace el SSD es en realidad lógico: no es físico. por lo tanto, los datos se nivelan y se mueven dinámicamente en la unidad todo el tiempo, por lo que resulta que hay lugares en la unidad que podrían haber sido datos del usuario o que eran datos del usuario que ahora están o que están sobreaprovisionados en el espacio que el host no puede acceder, por lo que una de las principales diferencias entre borrar y purgar es que la purga en realidad se asegurará de ingresar y eliminar por completo todos los datos que estaban sobreaprovisionando espacio que bloquea cualquier lugar que fuera datos del usuario. Y entonces, una cosa clara es simplemente eliminar los datos del usuario y poder verificarlos desde la interfaz del host, por lo que otras cosas como la purga están muy centradas en el comando de desinfección real en SAS y SATA, donde el comando de desinfección es realmente muy sólido para usted. no puede detener el comando de desinfección y luego decir, por ejemplo, que envía los comandos de desinfección, no puede simplemente sacar la unidad o intentar cancelar el comando de la unidad desde donde ejecutaremos la desinfección hasta que esté listo y no lo reconocerá. cualquier comando además de leer registros y demás, negará todos los comandos de datos a la unidad, por lo que esto garantiza que funcione una vez que se envíe el comando, la unidad se desinfectará por sí sola; no se puede detener, por lo que hay bastantes mejoras en la purga. eso hace que desinfectar el comando de desinfección real sea un método mucho más sólido y confiable.

Entonces, hay algunos lugares que usaríamos claros, como el primero, ya que al hacer la reutilización interna de una organización a otra o si tiene cualquier tipo de negocio que no sea alto, como datos de tipo comercial de bajo valor claro, es totalmente aceptable. La diferencia es que la mayoría de las unidades más antiguas siempre admitirán de alguna manera la forma en que escribimos las especificaciones, pero la purga (hay algunos requisitos, especialmente en torno a los tipos de purga), la forma en que se habla de desinfección de medios y, de nuevo, estoy Soy riguroso con esto porque veo a mucha gente en ITAD hablando sobre limpieza de unidades o borrado de datos; estas no son definiciones reales y la desinfección es una definición y podemos definirla, ¿verdad? La idea de sanitize purge es básicamente poder eliminar todos los datos del usuario de tal manera que la recuperación de datos no se pueda realizar ni siquiera con equipos de última generación, por lo que la purga podría negarle a un atacante de tipo muy sofisticado que tiene acceso a la interfaz física del ensamblaje físico, incluso algún tipo de exploits para el firmware, etc., el método de purga está diseñado básicamente para eliminar todos los datos en cualquier lugar que fueran datos del usuario de una manera muy sólida, así que sí, solo nuevamente para resaltar la importancia de la terminología. Hay métodos de purga, por lo que tenemos borrar, purgar y destruir y luego dentro de la purga tenemos tres técnicas, que serían borrado de bloque, borrado criptográfico y sobrescritura, y la razón por la que hay tres de ellas es que hay diferentes tipos de medios, ¿verdad? La especificación IEEE 2883 realmente cubre las principales interfaces de almacenamiento que son SATA, SAS y NVMe.

(RG): ¿Puedes repetirlos, por favor, cuáles son los tres tipos?

(JM): Entonces, nuevamente tiene 3 métodos de desinfección, es decir, borrar, purgar y destruir, y dentro de la purga tiene tres técnicas que son sobrescribir, borrar bloques y borrar criptográficamente, y convenientemente las personas que escribieron la especificación NVMe y la especificación SAS SATA para desinfectar. El comando también fueron los autores de 2883, así que no se preocupe, esto se alinea muy claramente en esas especificaciones cuando envía el comando de desinfección a través de la interfaz de almacenamiento. Puede seleccionar una de esas tres técnicas: la sobrescritura se usa principalmente para discos duros porque, nuevamente, los discos duros no tienen lo que acabo de describir, que es un SSD; debe borrar los datos antes de escribirlos. En un disco duro puedes simplemente sobrescribir los datos. Entonces, cuando eliminas datos en un disco duro. el disco duro en realidad no elimina ningún dato, no escribe ceros sobre esos datos, simplemente los elimina; si está eliminando datos en el sistema de archivos, simplemente actualiza el sistema de archivos; no hace nada. Entonces quedan restos de datos en el disco. Si lo desea, tome un disco duro e incluso si alguien elimina el sistema de archivos, eso no impide la recuperación de datos por parte de un atacante sofisticado que sabe cómo mirar la interfaz lógica y reconstruir los datos.

(RG): Entonces esto es como arrancar el índice de un libro pero dejar el texto del libro…

(JM): Exactamente, y esa es una manera absolutamente fantástica de describirlo y, por lo tanto, sobrescribir es una forma para los discos duros, y lo bueno es que incluso los discos duros más antiguos admiten esto. Ahora bien, el borrado criptográfico es en realidad la forma más eficaz y efectiva de desinfectar los medios, pero la razón por la que no todas las unidades lo admiten es que no todos los países admiten unidades cifradas y existen ramificaciones legales y sé que hay mucha preocupación, especialmente en sistemas como el envío. unidades dentro de un sistema de los principales OEM que las envían a geografías como Rusia o China que pueden no querer unidades con cifrado, por lo que esto es extremadamente desafortunado porque el borrado criptográfico puede eliminar instantáneamente todos los datos al desinfectar la clave criptográfica y dejar todos los datos cifrados. y entonces esto es mucho más rápido, ¿verdad? Mientras que anular un disco duro moderno puede tardar 20 o 30 horas, puedes realizar un borrado criptográfico en aproximadamente uno o dos segundos y si cumples con todos los requisitos previos para el borrado criptográfico, en realidad es igual de seguro... un método de purga oficial, lo que significa que no se puede acceder a los datos ni siquiera con equipos de última generación.

(RG): Y recomendaría a los oyentes del podcast que obtengan una copia de 2883 y echen un vistazo al apéndice B porque es una descripción realmente excelente de qué es el borrado criptográfico y cómo funciona. Está bien escrito, tampoco es tan técnico... es comprensible para los humanos normales.

(JM): sí, la única advertencia... sé que esta es una especie de timonera de Steve y está bien ahora con todas estas increíbles técnicas de desinfección, está bien y es posible que desees aplicar otras diferentes basadas en diferentes medios de almacenamiento o diferentes tipos de unidades o cuál es tu unidad. admite, pero ¿qué pasa si su unidad admite un script de desinfección que cumple con los requisitos de un ESP? Desafortunadamente, no se puede hacer eso hoy y ahí es donde las casas de pruebas y las listas de certificación de terceros le preguntan al proveedor y hablan... estas son cosas extremadamente importantes que debe saber antes de implementar algunas de estas estrategias.

(RG): Y Steve, eso lleva directamente a mi siguiente pregunta para usted... ADISA, su organización, desarrolló el estándar 8.0 de recuperación de activos de TIC que incorpora este proceso pero todo lo demás a su alrededor... ¿puede contarnos un poco más sobre lo que es en general? ADISA 8.0 es y es?

(SM): Sí, absolutamente Roger, así que llevamos 12 o 13 años. La certificación ITAD comenzó en el Reino Unido y todavía se basa predominantemente en el Reino Unido, pero nuestro enfoque son los datos: el cumplimiento y la desinfección de los datos, por lo que analizamos dónde podría estar presente el riesgo. proceso y nosotros, a través de criterios, analizamos las contramedidas que deben implementarse para disminuir ese riesgo, ya sea para el activo físico o para el cumplimiento o para el activo lógico. Así que evolucionamos en los últimos tres años, cuando comenzamos el proceso, ahora tenemos un esquema de certificación GDPR reconocido en el Reino Unido, lo que significa que el regulador aquí en el Reino Unido nos evaluó como que cumplíamos con la ley y eso tomó dos años de desarrollo con ellos y hemos estado auditando eso en el Reino Unido y tenemos una versión de la UE debido al Brexit, ahora tenemos una versión EE que también está en manos del comisionado de datos irlandés y esperamos para lograr que esto cruce la línea de un esquema de cumplimiento del RGPD de la UE. Ahora, lo interesante allí y voy a hacer un pequeño paso si puedo volver a IEEE 2883-2022 es que en el momento de escribir el estándar retiramos nuestra especificación para la desinfección, por lo que es un documento independiente y la razón por la que lo hicimos es que necesitábamos que pudiera evolucionar con el tipo correcto de controles y procedimientos y cosas así. Necesitábamos evolucionar con más frecuencia que un ciclo de revisión de tres años de un estándar porque la tecnología y las técnicas de recuperación de datos forenses, debo decir, están evolucionando casi mensualmente y el conocimiento, como expreso, también está evolucionando. Y volviendo al punto que mencionaste sobre la industria, la comunidad ITAD tiene mucho con qué lidiar y creo que tener dudas sobre la desinfección es la única pieza sobre la cual no pueden tener dudas, y esta es la única un poco que colectivamente, ya sea desde certificaciones o estándares, necesitamos hacer esto bien y creo que cuando miras a IEEE, por qué acabamos, 2883 debería decir, por qué acabamos de recomendar su adopción, es que esta es la mejor especificación por parte de un A la larga, puede hacer que desaparezcan muchos dolores de cabeza, todas las dudas desaparecen... cómo se puede verificar el cumplimiento sin eso es complejo y requiere un laboratorio para realizar pruebas bastante exhaustivas, que es lo que hacemos en este momento, no es necesariamente para que la comunidad ITAD haga esto y se preocupe por esto en sus instalaciones, en mi opinión, se trata de que sus socios de software se hagan cargo de la carga allí y comiencen a presentar productos que, cuando se levanta el capó, hacen lo que dicen que hacen y que significa que podemos verificar eso con especificaciones como 2883.

(RG): Hay una cierta confianza por parte de las instalaciones de TI cuando compran un producto para la desinfección de datos, quieren saber si es efectivo y puede evolucionar con las condiciones cambiantes que Jonmichael describe en términos de la tecnología en evolución. ¿Qué pasa con todo lo demás relacionado con el proceso de seguridad de datos que aborda su estándar ADISA 8.0 en términos de vincular a un proveedor de estos dispositivos con una instalación de TI para brindar estos servicios? Lo llama DIAL.

(SM): Sí, Roger, es una visión ligeramente impopular... así que cuando comenzamos a trabajar con el regulador aquí y sé que este es un podcast internacional, pero muchos de los chicos en los EE. UU. probablemente pensarán que no es relevante. pero dentro del GDPR de la UE y el Reino Unido y una gran cantidad de leyes de privacidad globales, usan términos como apropiados y eso se debe a que la ley tiene que ser aplicable a un carnicero y un banquero, por lo que no pueden especificar qué sería aplicable excepto el riesgo. propietario, el controlador de datos debe implementar una evaluación adecuada para que pueda determinar qué sería apropiado para él en función de sus adversarios de amenaza, tipos de datos, categoría de datos, volumen de datos, todos esos tipos de métricas. . Entonces, cuando presentamos nuestro estándar industrial al regulador, los controles, los criterios que implementamos con los controles, ADISA los había especificado y de inmediato dijeron que no era apropiado, necesitaba al propietario del riesgo y esto se remonta a Uno de los puntos anteriores de JM acerca de que los clientes deben comenzar a especificar más de esto porque esa es la única manera de que la evidencia realmente tenga el control. Entonces, lo que hicimos con el estándar 8 es que volvimos a un proceso muy antiguo que surgió del CSG, que es una rama del GCHQ. Ahora es el centro nacional de seguridad cibernética llamado Estándar 1 de Garantía de Información que analizó: eran tablas de impacto empresarial y Habría una variedad de métricas que le permitirían salir y decir que tengo un nivel de impacto 1,2,3, 4, XNUMX o XNUMX o lo que sea y las personas en su cadena de suministro lo tratarían en consecuencia. Y entonces adaptamos ese proceso para que sean los Niveles de Garantía de Impacto de los Datos y por eso este es un proceso: cinco preguntas que los clientes de ITAD deben realizar y tienen que hablar sobre quiénes son sus adversarios de amenazas, cuál es su apetito de riesgo (yo en realidad no estoy de acuerdo con que sea un presupuesto) Intenté aprobar el presupuesto, pero lo rechazaron, pero nadie dice: "Oye, tengo un gran apetito por el riesgo", pero es posible que alguien diga que no tengo presupuesto y, por lo tanto, Tengo que aceptar que el riesgo impregna el proceso y, por lo tanto, es la amenaza del adversario, su apetito por el riesgo, el volumen de datos, sus categorías de datos y luego también analizamos el impacto de una violación de datos: qué sucedería, y eso permite a los clientes del ITAD debe crear su propio nivel DIAL para que sea 1, 2 o 3, siendo tres el más alto y eso significa que el servicio que los ITAD deben brindar sería proporcional a la calificación de marcado, por lo que si es un marcado 3, Esperaríamos muchas más capas de seguridad física (esperaríamos muchos más detalles sobre la cadena de custodia durante el transporte, por lo que se hizo una idea mediante el seguimiento del número de serie durante el transporte) es que permite a los ITAD personalizar su servicio en función de en una métrica que les dicen sus propios clientes. La idea es que esto elimina el concepto de que todos cargan una especificación en un compromiso sin entender realmente por qué siguen acumulando puntos de contacto encima, acumulando estándares en las especificaciones, certificaciones y haciendo que este servicio ITAD sea realmente difícil de entregar porque el El cliente dice que lo quiero todo. DIAL fue diseñado para forzar, es una frase bastante abrasiva, pero para lograr que el cliente se involucre, para pensar en su rol en esto, para pensar en su entorno operativo para que el ITAD brinde un servicio que sea suficiente pero no demasiado y luego nos permita mantener un pequeño grado de control sobre los costos pero también nos permita evidenciar el cumplimiento y la evidencia de que estamos brindando un servicio según lo determinado por el controlador, que es exactamente lo que la ley establece que debería ser el caso.

(RG): Entonces, este proceso de vincular a los proveedores de dispositivos de datos con las instalaciones que administran la desinfección de esos dispositivos se resume en los aspectos operativos más amplios de ADISA 8.0 con cosas como el uso de IEEE 2883 como base para ese proceso de estandarización. Así es como comienza a unir R2v3, un método similar de un conjunto operativo general de requisitos para las instalaciones que realizan desinfección de datos y qué medidas de seguridad deben emplear. Es un proceso interesante y que tiene que cambiar con los tiempos, especialmente con la evolución de cosas como los dispositivos de Internet de las cosas o dispositivos como dispositivos portátiles o relojes que podrían no tener un método de desinfección más estándar o esperado. Entonces, una pregunta para ambos a medida que avanzamos en esta evolución de los dispositivos y los dispositivos de datos más generalizados y a veces ocultos dentro de otros dispositivos: ¿cuál es el método para anticipar estos cambios y cómo se abordan? ¿Jonmichael?

(JH): Sé que SERI está trabajando en esta área y tenía algunas especificaciones, pero solo hablaré en nombre de cómo el grupo de trabajo de historia de seguridad de IEEE está pensando en esto, así que sí, habrá un punto 2883. A continuación, cuál sería la edición más probable de 2024 que incluya cosas como dispositivos eMMC NAND que estarían en un teléfono o como una tarjeta SD, habrá otra especificación que simplemente define: está bien, si vas a tener un dispositivo. que puede purgarse a sí mismo, cómo se vería una buena purga y, básicamente, definir cómo se diseña esa purga independientemente de las interfaces específicas. Mencioné que IEEE 2883-2022 está muy enfocado a las interfaces de almacenamiento SATA, SAS y NVMe. No es sorprendente que muchos de los autores hayan invertido mucho en el mundo del almacenamiento y, para ser justos, ahí es donde se almacena la mayoría de los datos del mundo hoy en día, pero hay una gran parte, creo que un tercio del mercado NAND son estos dispositivos móviles y es realmente como si fueras Apple y estuvieras haciendo un restablecimiento de fábrica. Bueno, confiamos en que eliminarán todos sus datos de usuario desinfectando las claves de cifrado y haciendo lo correcto al respecto, pero compras un teléfono Android de $30. — ¿Esto es realmente? ¿El restablecimiento de fábrica realmente elimina los datos? No está claro, así que creo que es extremadamente difícil tratar de cubrir cada tipo de dispositivo y aplaudo a SERI por intentarlo, pero para que quede claro, creo que la forma de pensar en esto es priorizar la reutilización y las emisiones de carbono, generalmente escala. con el costo del dispositivo, por lo que si piensa en un dispositivo que cuesta más que la prioridad de reutilización y extensión de uso de ese dispositivo debería ser mayor porque las emisiones de carbono de la fabricación intrínsecamente serán mayores porque es más caro, ¿verdad? Lo que significa que cuesta más producir. Así es como pensaría sobre este problema y es un desafío porque dijeron que habrá cientos de millones de dispositivos y cómo nos aseguramos de que todas estas cosas eventualmente no se hagan el esfuerzo de desinfectar. Nada no debería ser mayor que el valor de recuperación por desinfección.

(RG): Y es cierto que la mayor parte de la cantidad de datos que se almacenan en un centro de almacenamiento, una sala llena de servidores, es mucho mayor que la que hay en un timbre inteligente, un termostato o un coche de alquiler, pero aún así hay datos que circulan por todas partes. El tiempo y yo se abre camino en nuestra sociedad en todos los países del mundo a través de estos dispositivos que están cada vez más omnipresentes en nuestras vidas. Y tenemos un grupo de trabajo de expertos en datos con SERI que está analizando estas cosas y Steve, su tecnólogo jefe Phil Turner es miembro de ese grupo al igual que usted Jonmichael y les agradecemos a ambos por su participación porque es un poco objetivo en movimiento en términos de la visión global de hacia dónde se dirige la tecnología que nos rodea, pero al mismo tiempo llegamos al proceso real que utilizan nuestras instalaciones y también a los métodos de estandarización utilizados.

Quiero volver a algo que tocaste sobre Jonmichael en términos de los aspectos sostenibles y los impactos de carbono de lo que hacemos y Steve, esto es algo más de lo que podrías hablar sobre cómo el método DIAL aborda tus posibles contribución a la economía circular… ¿cómo se unen estas empresas para ayudar al proceso de sostenibilidad y circularidad general?

(SM): Voy primero en este caso, Roger, porque no son los principales porque no soy el cerebro técnico aquí en ADISA, así que dirijo a JM, tal vez para retomar esto... si nos fijamos en la circularidad interna. En ITAD, se podría hablar de ciclos de actualización anteriores y cosas así, y se puede hablar sobre el derecho a reparar, y eso no es necesariamente lo que voy a cubrir ahora, pero me ocuparé del más sencillo, que es la destrucción de personas. Dispositivos perfectamente reparables. Ahora bien, eso podría ser anecdótico porque no tengo ninguna métrica real para esto. Tengo la sensación de que generalmente se debe al miedo y la preocupación por el riesgo, ya sea un riesgo teórico o si el riesgo real persiste en sus datos o podría ser simplemente un Solución simple, en otras palabras, solo queremos procesar donde podamos destruir todo lo que en el sitio podemos ver cómo se destruye. Si hablamos como industria sobre TI sostenible, necesitamos extender el ciclo de vida del producto tanto como podamos, por lo que debemos abordar, antes de hablar de reparación y preparación para la reutilización, todas las cosas buenas que hay en R2v3 que no utilizamos. No lo cubrimos, debemos abordar la desinfección y debemos asegurarnos de que las personas que participan en el proceso de manera intelectual puedan consultar los estándares para obtener certificaciones y generar garantías, y de eso se trata de generar garantías y confianza en que pueden aceptar un grado de riesgo porque nada es perfecto y aceptar un grado de riesgo para hacer un bien mayor desde una perspectiva de sostenibilidad o desde una perspectiva financiera y realmente desafiar su "Tenemos que destruir" porque si es necesario destruir, eso es absolutamente propio de cada organización. requisito, pero a menudo pienso que es ese dicho clásico de que nunca te despedirán si compras IBM; existen otros fabricantes, por supuesto, pero creo que si destruyes tus dispositivos no te meterás en problemas en el ojo ni en el ojo de nadie. más bien por tener un riesgo para los datos porque los medios han sido efectivamente destruidos; existen técnicas de recuperación, pero han sido efectivamente destruidos. Creo que debemos desafiar eso. Lo que hace DIAL es permitir a las organizaciones identificar quiénes son, por lo que si soy una organización DIAL 1 y estoy destruyendo unidades, hay una gran desconexión allí. Realmente, el único tipo de organización que debería destruir medios, no solo unidades, por supuesto, son aquellas cuyos datos tienen un valor tan alto para ellos que casi suponen una pérdida de vidas o un impacto en las economías globales; es ese nivel de enfoque para Yo y ellos somos pocos y distantes entre sí y habiendo trabajado con algunos de los servicios aquí en el Reino Unido, creo que a la industria le gusta sentirse atraída por ese club de alto riesgo porque, si se quiere, ofrece más atractivo exterior. La realidad es que la mayoría de los negocios son razonablemente benignos y el miedo que impregna la toma de decisiones significa que la gente optará por comprar IBM (triturar mis dispositivos) y tenemos que desafiar eso. DIAL permite a las organizaciones identificar quiénes son y luego les permite desafiar los procesos y procedimientos internos existentes. ¿El riesgo? Bueno, con cualquier proceso siempre existe un riesgo y es por eso que ver salir 2883 es ​​brillante para la industria porque está escrito por expertos en el campo que entienden la tecnología y cuyas motivaciones son puras. Solo queremos que los datos se desinfecten, no provienen de la industria ni de un organismo de certificación; en realidad, provienen de un grupo muy inteligente de ingenieros y es por eso que debemos respaldarlo.

(RG): ¿Jonmichael? ¿Circularidad? ¿Sostenibilidad?

(JH): Sí, bueno, obviamente esto es muy querido para mi corazón. Soy secretario y tesorero de una organización sin fines de lucro 501C6 llamada Circular Drive Initiative, de la cual Steve de ADISA es miembro.

Comenzamos este viaje como si estuviéramos comprendiendo, cuando descubrí que algunos de estos hiperescaladores que eran mis clientes cuando trabajaba en Intel, luego descubrí que estaban destruyendo millones de unidades al año cada uno y tuve confirmación directamente de estos muchachos de que ese era el caso.  Acabo de empezar a hacer preguntas. Bien, ¿por qué no tienes cifrado en las unidades? ¿No utilizas una desinfección adecuada de los medios?  y todo esto el borrado de datos codificado como ¿qué están haciendo? ¿Por qué?  Ustedes ya saben que no hay datos en estas unidades que mencionamos antes, ¿verdad?  Steve acaba de decir algo como la tolerancia al riesgo, a gran escala o si los datos terminan en eBay y los datos de Facebook de los clientes están ahí, ese no es un buen escenario para ellos, ¿verdad? es catastrófico, especialmente si se trata de algún tipo de datos bancarios del almacenamiento de Azure o AWS, eso es muy malo y, por lo tanto, su tolerancia al riesgo es efectivamente 0.  Entonces, si elige una técnica de desinfección de purga aprobada por IEEE 2883-2022I y realiza una verificación que básicamente consiste en leer todo el espacio LBA del usuario, está tratando de demostrar que los datos desaparecieron; esa es la idea detrás de la verificación: ¿cómo se prueba? que los datos desaparecieron. Puede reducir el riesgo a cerca de 0 y, como dijo, es casi imposible decir que hay riesgo cero, ¿verdad? pero la gente aplicaría múltiples métodos, como desmagnetizar la unidad y luego anularla o luego tirarla a la trituradora y esa es su forma efectiva de llegar al riesgo cero, ¿verdad? Pero hay formas de reducir efectivamente el riesgo a cero y hacer que la unidad aún esté en un estado reutilizable. Obviamente, existen requisitos previos, como comprender que hay que ser un poco más consciente del firmware y el software del proveedor de la unidad porque, al final del día, la forma en que se escribió IEEE 2883-2022 es una forma que aprovecha en gran medida los comandos desinfectados en el Básicamente, la visión para esto es que la unidad recibe el comando desinfectar todo y es básicamente infalible y le brinda la seguridad y verificación de que todos los datos desaparecieron, pero efectivamente aún tiene que hacerlo, si el dispositivo está haciendo esto, no puede. lea todos los datos, por ejemplo, en un borrado criptográfico, si cambia la clave de cifrado de medios, intente volver a leer todos los datos, solo serán datos aleatorios. Bien, entonces, ¿cómo le puede demostrar a un auditor que no es solo el antiguo aleatorio? datos, pero nuevos datos aleatorios, por lo que algunas de estas cosas son en realidad bastante complejas, pero si comprende y trabaja con los proveedores, trabaja con certificaciones y trabaja con herramientas de software de buena reputación que realmente abordan estas cosas como acabo de mencionar, es como De hecho, mirando el siguiente nivel hacia abajo, hay una manera fácil con la purga de llegar a un riesgo básicamente cero. El impacto es cuál sería el impacto si estos datos se recuperaran bajo medio alto y luego la seguridad es qué tan seguro está de que los datos desaparecieron. Y con la interfaz del host y los métodos disponibles hoy en día, puedes estar muy seguro y es 99.99999% bueno, no creo que nadie haya roto el ES 256, así que si la unidad realmente realizó el borrado criptográfico allí, entonces estás seguro de que los datos desaparecieron, pero lograr que los clientes confíen en eso, en lugar de que es mucho más fácil para alguien simplemente mirar una pila de unidades destruidas y decir, sí, claro, estoy bastante seguro de que los datos desaparecieron allí, en lugar de tener que hacer el trabajo duro que es comprender el firmware del dispositivo y la criptografía y todas las demás cosas que implica la desinfección de los medios, pero muchas personas están tomando el camino fácil y estamos tratando de hacer que sea mucho más fácil para las personas tomar el camino de la reutilización.

(RG): En resumen, mientras hacemos nuestro mejor esfuerzo con cada podcast para brindar información práctica para las instalaciones de R2, podríamos repasar esto con bastante rapidez, ¿qué sugerirían ustedes dos que hicieran las personas?, ¿qué deberían mirar?, ¿qué deberían hacer? leen mientras mantienen la certificación R2: ¿qué hacen para mejorar en esto? ¿Jonmichael?

(JH): Sí, creo que lo dije antes, pero solo quiero resaltar que si tenemos mucha confianza y somos diligentes en usar la terminología correcta y dejamos de decir que vamos a borrar las unidades, vamos a realizar una purga de medios de desinfección. en estas unidades y reducir el riesgo a cero. Esa es una manera mucho mejor de hablar sobre estas cosas y yo y yo nuevamente odio ser riguroso aquí, pero me gusta ese tipo de frivolidad con el borrado de datos y todo este campo ha causado mucha incertidumbre para los clientes finales, lo que llevó a la destrucción y Entonces, obviamente, sí, sigamos mirando hacia las nuevas cosas de IEEE: estamos trabajando en un montón de especificaciones en progreso, pero ahora no espero que todos los técnicos hayan leído las especificaciones completas, pero si está ejecutando una instalación ITAD, ciertamente busque software y unidades que admiten esto y el software. Creo que ADISA dijo que tiene una lista de algunos productos que pasan por la certificación, por lo que buscar paquetes de cumplimiento de software que cumplan con 2883 es ​​un buen lugar para comenzar incluso si no puede leerlo detenidamente. todo, pero es una lectura bastante fácil. Ojalá fuera gratis. Creo que la especificación cuesta como 80 dólares o algo así. Intentamos hacerlo gratis, pero por lo que vale la pena, no es tan difícil de conseguir. .

(RG): Bien... y Steve, ¿cuál es su consejo para el establecimiento R2 promedio sobre cómo abordar esto?

(SM): Creo que en cierto modo se remonta a un punto que mencioné anteriormente y es que no creo que la desinfección de datos sea una solución única. Creo que muchas organizaciones probablemente implementarán algo que sea adecuado para su propósito y luego se dormirán un poco en los laureles. Creo que se trata de mantenimiento y de esforzarse continuamente por mejorar. Sin lugar a dudas, la gente debería comprar una copia de IEEE 2883, incluso si está buscando cómo estructurar algún material de marketing sobre desinfección, hay un montón de cosas sencillas y realmente buenas (parece que voy a recibir una comisión aquí). ) pero es un conocimiento realmente bueno y sencillo... No soy tecnólogo y entendí muchísimo, lo que significa que es muy legible. Creo que las organizaciones necesitan madurar en su proceso de pensamiento para la desinfección; retomando el comentario de JM, todavía hablamos de destruir discos duros o sobrescribir discos duros, borrar discos duros; tenemos que hablar de medios de almacenamiento que son mucho más grandes y más amplios. y necesitamos comprender cómo funciona parte de ese almacenamiento, algunos de sus matices que afectarán tanto nuestro manejo de materiales como tal vez también las especificaciones de desinfección que pongamos en juego. También diré que su mejor amigo será su proveedor de software y si tiene un proveedor de software que realmente entiende estas cosas y que está a la vanguardia en términos del ciclo de desarrollo, no debe preocuparse por los tipos de medios de almacenamiento. saliendo de la empresa hoy, pero en realidad mirando lo que está pasando en el mercado hoy porque en 18 meses, dos años, tres años serán los medios de almacenamiento que necesitarán abordar: son el tipo de proveedores que ponga su negocio porque le evitarán tener que entender esto en detalle, y creo que ese sería mi consejo: no piense en esto como una solución única; Piense en ello como una parte clave de su propuesta de valor y asegúrese de que no solo esté jugando al siguiente juego, sino que en realidad esté utilizando un proveedor que haya sido probado o que usted mismo esté siendo probado para poder verificar a sus clientes que está brindando el tipo de garantía que se trata, lo que a su vez impulsará su capacidad para convencerlos de extender el ciclo de vida del producto y conducir hacia una ITAD sostenible.

(RG): Y Steve, el sitio web de ADISA tiene una lista de estas empresas que su laboratorio ha probado, ¿correcto? ¿Estas empresas de software?

(SM): Sí, absolutamente, adisarc.com es el sitio web de nuestro laboratorio, no el adisa.global principal. Puedes ir desde el adisa.global principal y verás si vas allí, se llama. garantía de producto 2023. Tenga en cuenta que no se llama cumplimiento de NIST 888 o cumplimiento de IEEE 2883 porque son mucho más grandes que eso; solo estamos viendo los resultados, estamos viendo cómo el software se presenta realmente a las unidades que sabemos que admiten los comandos y luego introduciremos unidades que no admiten los comandos y veremos exactamente qué está haciendo el software en ese tipo de escenarios también. Entonces sí, vaya al Centro de investigación de datos del sitio web de Arc. sitio web y podrá ver en la garantía de producto 2023 cinco productos que ya han sido verificados como conformes.

(RG): y el sitio web de R2 también tiene otro listado de estas compañías de software y lo ofrecemos también como un recurso para que las instalaciones de R2 comiencen a navegar a través de este proceso de encontrar una pieza de software confiable para realizar estas funciones tan importantes en la seguridad y desinfección de datos. Bueno, muchas gracias a ambos por su tiempo y su experiencia colectiva para abordar esto; este proceso está en curso y esperamos tenerlos a ambos de regreso en algún momento en el futuro a medida que esta tecnología evolucione y nuestra forma de administrarla evolucione, esperamos que en paralelo así que gracias chicos.

(JH/SM) gracias, Roger.

Eso es todo por este episodio de Ask the R2 Guru. Gracias por escucharnos y gracias, como siempre, al equipo de SERI por su ayuda en la producción de este podcast. Puede encontrar una transcripción completa del Podcast en el Base de conocimientos de R2 en el sitio web de SERI. Junto con esa transcripción, encontrará enlaces a los recursos y sitios web mencionados por nuestros invitados Jonmichael Hands y Steve Mellings. Todo está en Sustainable Electronics punto org.

Descripción del episodio:

Jonmichael Hands y Steve Mellings son expertos en seguridad y desinfección de datos. Jonmichael fue uno de los autores del Estándar de desinfección de datos IEEE 2883-2022 y Steve es el director ejecutivo de ADISA, el administrador del Estándar de recuperación de activos de TIC de ADISA, versión 8. En este episodio de Ask the R2 Guru, Roger Greive involucra a estos dos expertos en una animada discusión sobre el estado actual del almacenamiento de datos, las prácticas de seguridad, las nuevas tecnologías en el almacenamiento/desinfección de datos y cómo las instalaciones de R2 pueden mantenerse actualizadas con las últimas mejores prácticas en esta área.

https://open.spotify.com/episode/1UFYQ9SRJFXi3Qik40x0bo

https://podcasts.apple.com/us/podcast/purge-dial-data-sanitization-with-steve-mellings/id1586381168?i=1000633502317