La cadena de custodia se rompe en la entrega, no en la trituradora

Son las 22:00 h, ¿sabes dónde está tu hardware de almacenamiento fuera de servicio? 

¿Qué ocurre con los datos de la empresa y de los clientes almacenados en él? Los responsables empresariales deben responder a estas preguntas para cumplir con las normas de cumplimiento normativo y evitar una filtración de datos con consecuencias desastrosas.

Mucha gente piensa que el desmantelamiento es una simple tarea de transporte en la que vienen a tu empresa y se llevan tu equipo informático. En realidad, el proceso comienza mucho antes de que nadie se lleve tu equipo, y debes hacer un seguimiento minucioso de quién tiene el control del mismo. 

El riesgo comienza antes de que se produzca el evento destructivo

Según Directrices del NIST para la desinfección de soportes de información, las organizaciones deben utilizar métodos de desinfección homologados para garantizar que no quede ningún rastro de datos confidenciales en ningún soporte que salga de su custodia.

También advierte de que la entrega de soportes de datos puede dar lugar a una divulgación no autorizada si no se gestiona adecuadamente. Se trata de un problema de control de los soportes de datos desde el momento en que el activo sale de tu muelle.

El mismo documento del NIST aclara aún más este aspecto operativo: la eliminación, la transferencia interna, la transferencia externa, la donación, la reventa y el reciclaje modifican el panorama del control. Si se pierde la pista de lo que se ha trasladado, cuándo se ha trasladado y en qué estado se encontraba durante el traslado, el proceso de destrucción posterior no aclara la ambigüedad previa. 

Ni tú ni tus socios podéis considerar el artefacto de destrucción como el hecho probatorio. La carga de la prueba comienza en el momento en que se produce el cambio de custodia.

Comienza el control → El Asset sale de tu muelle |  Cambia la custodia → La carga de la prueba recae en el destinatario |  Evento de destrucción → Sigue habiendo ambigüedad en la fase previa

El evento de destrucción solo revela si controlabas la zona central. El panorama de riesgo se abre en el momento en que el activo se mueve, no en el momento en que gira la pala.

La documentación a nivel de camión no constituye una cadena de custodia

Gran parte de la documentación relacionada con la gestión del ciclo de vida de los activos de TI (ITAD) parece mejor de lo que es en realidad. Tu documentación debe ir al meollo de la cuestión. 

La norma R2 resulta útil en este contexto porque orienta el debate hacia la trazabilidad. El resumen de SERI sobre la norma R2v3 establece que los dispositivos que contienen datos deben protegerse desde el momento en que entran bajo el control de una instalación R2 hasta su eliminación definitiva. También establece que las instalaciones deben realizar un seguimiento y documentar el flujo de equipos, componentes y materiales a lo largo de la cadena de distribución. También necesitarás registros específicos de seguimiento y desinfección de los dispositivos. Esa norma te dice lo mismo que tu equipo de seguridad ya debería estar diciéndote: si el registro se detiene en el camión, el registro no está completo.

La diferencia es importante en los proyectos reales. Los palés se vuelven a envolver. Las etiquetas se rompen. Los destinatarios desglosan las cargas mixtas. Un transportista cambia de equipo tras un retraso. El albarán indica lo que se suponía que debía transportarse, mientras que el registro de recepción muestra lo que realmente llegó. Si no puedes conciliar esos datos rápidamente, tu cadena de custodia ya es confusa antes incluso de que gire una sola cuchilla de la trituradora.

Las insignias de certificación no solucionan un traspaso mal definido

Esta es la parte que al sector le gusta disimular con logotipos.

Las certificaciones tienen valor. Indican que una instalación se ha sometido a una norma, un proceso y un régimen de auditoría. Pero un distintivo de certificación no sustituye a un expediente de custodia que permanece adjunto al activo durante todo el proceso.

i-SIGMA afirma que la destrucción segura de datos no se consigue únicamente mediante la certificación, sino que requiere una cadena de custodia transparente y de ciclo cerrado. Las propias directrices de la asociación sobre la destrucción de información también detallan lo que los clientes deben poder garantizar:

1 Cómo: Cómo se destruyó la información

2. Dónde: Donde fue destruido

3 ¿Quién?: ¿Quién lo destruyó?

4 Cuándo: Cuando fue destruida

5 Cadena jurídica: La cadena de custodia legal relacionada con ese suceso

La certificación no puede explicar lo que ocurrió dentro de tu proyecto si tus controles de traspaso eran deficientes, tu gestión de excepciones era descuidada o tu documentación de admisión era demasiado general.

Aquí es donde los operadores pueden meterse en problemas. Responden a una pregunta sobre la custodia mostrando una placa. Responden a una pregunta sobre una situación excepcional mostrando un certificado. Responden a una Una cuestión a nivel de activos con una garantía a nivel de lote. 

Quizá eso sea suficiente para cumplir con los requisitos de contratación pública. Pero no es suficiente para una investigación de una filtración, una solicitud de auditoría o una pregunta del consejo de administración sobre qué ha ocurrido con un conjunto concreto de discos duros.

Acepta los puntos débiles, aunque sean aburridos 

Al sector le gusta recurrir a un lenguaje dramático sobre la destrucción porque suena muy definitivo. Los verdaderos fallos en la custodia son mucho menos «cinematográficos»:

Ninguno de esos errores parece grave por sí solo. Sin embargo, en conjunto, crean precisamente el tipo de ambigüedad que da lugar a una puesta fuera de servicio rutinaria en un lío en cuanto a las pruebas.

Las directrices del NIST sobre la verificación y la validación de la sanitización se centran en esta idea. La verificación consiste en comprobar que la operación de sanitización se ha completado con éxito. La validación consiste en determinar si la sanitización ha sido realmente eficaz y aceptable desde el punto de vista de la confidencialidad. Los campos de ejemplo del certificado que figuran en las directrices del NIST también son más detallados de lo que sugieren la mayoría de los resúmenes de los proveedores:

La estructura oficial del expediente exige una cadena de pruebas, no un PDF bien formateado.

Cuatro preguntas que ponen de manifiesto un traspaso deficiente

Antes de mover el primer palé, pregúntate:

1. Trazabilidad a nivel de activo: ¿Cómo se garantiza la trazabilidad a nivel de activo desde su salida hasta su recepción, desinfección y eliminación final?

2. Integridad de los registros ante cambios: ¿Qué ocurre con el registro cuando se cambia un precinto, se vuelve a embalar un contenedor o un activo pasa a un estado de excepción?

3. Conservación de los campos por activo: ¿Qué campos conservas de cada activo que contiene datos, además de los que figuran en el certificado final?

4. Reconciliación sin reconstrucción: ¿Quién puede conciliar el registro de salida, el traspaso al transportista, el registro de recepción y el registro de desinfección sin tener que volver a crear el proyecto desde cero?

La cuestión es si el registro de custodia sobrevive a esa etapa intermedia tan caótica. Es ahí donde los proyectos dejan de ser teóricos y empiezan a pasar por carretillas elevadoras, muelles de carga, escáneres y contenedores de excepciones.

El relevo es la verdadera prueba

Imagina que acabas de completar la entrega de tu equipo informático. El camión ya se ha marchado. La sala está vacía. Alguien de tu equipo quiere creer que el riesgo se ha trasladado fuera de las instalaciones junto con la carga.

No fue así. 

Se centró en la calidad del registro de custodia. Podrías descubrir una discrepancia, una diferencia en los precintos o una excepción en el registro, lo que pondría en riesgo a tu empresa. 

En cuanto te enteres del problema, tendrás que identificar los activos afectados, reconstruir la trayectoria de los movimientos, explicar la excepción y demostrar qué ocurrió a continuación. Sin convertir las próximas dos semanas en un proyecto de arqueología forense.

Por eso la cadena de custodia se rompe en el traspaso, no en la trituradora. Elige un socio de confianza en el que puedas confiar para llevar a cabo el proyecto, no al que ofrezca el precio más bajo con un equipo de mudanzas y un camión en buen estado.