Best practices voor mobiele ITAD: hoe je op grote schaal de doorverkoopwaarde kunt maximaliseren

Bedrijfs-smartphones hebben in de meeste vernieuwingscycli van bedrijven de hoogste doorverkoopwaarde per stuk. Het is ook het meest waarschijnlijk dat ze onvoldoende voorbereid bij een ITAD-leverancier terechtkomen.

Als de MDM-vergrendelingen nog actief zijn, de activeringsvergrendeling niet is opgeheven en het opschonen beperkt blijft tot een handmatige fabrieksreset, verlies je een groot deel van die inruilwaarde.

Het verschil tussen een correct verwerkt apparaat en een onjuist verwerkt apparaat is het verschil tussen een omzetpost en een afschrijving.

Korte feiten: Hoe je de waarde van je mobiele apparaten behoudt en tegelijkertijd aan de regelgeving voldoet

• Een fabrieksreset is geen gegevensverwijdering die voldoet aan de NIST 800-88-norm. NIST 800-88 (rev. 1) definieert drie niveaus van gegevensverwijdering: Clear, Purge en Destroy. Een door de gebruiker geïnitieerde fabrieksreset voldoet niet aan de Purge-norm voor flashopslag, die cryptografisch wissen of fabrikantspecifieke beveiligde wisopdrachten vereist. Voor apparaten die worden opgeknapt of doorverkocht, is logische opschoning volgens R2v3 Bijlage B de vereiste werkwijze: gedocumenteerd, door software gegenereerd en per apparaat geverifieerd.
• Het opheffen van de MDM-registratie is een voorwaarde voor het realiseren van de restwaarde. Een iPhone of Android-apparaat dat is geregistreerd bij Microsoft Intune, Jamf of VMware Workspace ONE moet vóór afvoer formeel worden uitgeschreven. Op iOS leidt onjuiste uitschrijving ertoe dat de activeringsvergrendeling niet wordt opgeheven, waardoor het apparaat gekoppeld blijft aan een Apple ID waartoe de nieuwe eigenaar geen toegang heeft. Op Android leidt de beveiliging tegen het terugzetten naar de fabrieksinstellingen, die gekoppeld is aan een beheerd Google-account, tot hetzelfde resultaat. In beide gevallen wordt een apparaat dat op de tweedehandsmarkt nog waarde zou kunnen opleveren, omgezet in elektronisch afval.
• Mobiele apparaten behoren tot de apparaten met de hoogste doorverkoopwaarde per stuk, en die waarde is kwetsbaar. Een topmodel iPhone in goede uiterlijke staat, grondig gereinigd en simlockvrij, levert op de tweedehandsmarkt honderden dollars op. Hetzelfde toestel met een activeringsvergrendeling levert slechts een fractie daarvan op. Het kan zelfs minder opleveren dan de kosten voor de afhandeling ervan. Het verschil tussen deze twee uitkomsten ligt volledig in het proces: of uw ITAD-leverancier weet hoe hij het MDM-offboarding moet afhandelen nadat het toestel uw gebouw heeft verlaten.
• Het verschil tussen goede en slechte praktijken op het gebied van ITAD voor mobiele apparaten is niet louter cosmetisch. De slechte praktijken: ongedocumenteerde opschoning, niet-gecontroleerde apparaatstatus en documentatie die een audit niet zou doorstaan. Als je die problemen oplost, krijg je een omzetstroom die je kunt terugwinnen.

Risico’s van onjuiste afhandeling bij het buiten gebruik stellen van mobiele apparaten

Het zwaartepunt van de ITAD-sector ligt in het datacenter. Wanneer een bedrijf iets buiten gebruik stelt Bij een rack met Dell PowerEdge R750-servers is er een goed gedocumenteerde procedure: de schijven inventariseren, de vernietigingsmethode volgens NIST 800-88 controleren, certificaten per apparaat genereren en vervolgens de bewakingsketen afsluiten.

Mobiele apparaten worden behandeld als een volumeprobleem met een eenvoudige oplossing: “Wissen en terugsturen.” De apparaten zijn klein en er zijn er meestal heel veel. Men gaat ervan uit dat een fabrieksreset de gegevens regelt en dat een palletlabel de logistiek regelt.

Die veronderstelling klopt op drie verschillende manieren niet.

1. Het terugzetten naar de fabrieksinstellingen op moderne iOS- en Android-apparaten biedt in forensisch opzicht geen garantie dat gegevens niet meer kunnen worden hersteld. Om een mobiel apparaat daadwerkelijk volledig te wissen, moet het wisproces worden uitgevoerd met software die een wisrapport per apparaat kan genereren, en moeten er kwaliteitscontroles worden bevestig dat de gegevens met succes zijn verwijderd.
2. Mobiele apparaten brengen blijvende beheerafhankelijkheden met zich mee die niet verdwijnen wanneer het apparaat uw gebouw verlaat. Als het apparaat was geregistreerd bij een MDM- of UEM-platform, kan het nog steeds geregistreerd staan op het moment dat de ITAD-leverancier het wisproces start.
3. De secundaire markt voor mobiele apparaten is uiterst actief en sterk afhankelijk van de staat waarin het apparaat verkeert. Als dit proces niet correct wordt afgehandeld, leidt dat niet alleen tot een nalevingsprobleem. Het doet ook afbreuk aan de inkomsten die het apparaat had moeten opleveren.

Waarom het uitschrijven van een smartphone de sleutel is tot de inruilwaarde

Alle gangbare MDM- en UEM-oplossingen (Microsoft Intune, Jamf Pro, VMware Workspace ONE, enz.) ondersteunen het opheffen van de registratie. Of de IT-beheerders de smartphones daadwerkelijk uit het systeem verwijderen, is een heel andere kwestie.

Dit is wat er gebeurt als verschillende soorten apparaten in het afstotingsproces terechtkomen zonder dat ze op de juiste manier zijn uitgeschreven:

iOS-apparaten die zijn geregistreerd bij Apple Business Manager (ABM). De Apple-activeringsvergrendeling is gekoppeld aan het serienummer van het apparaat, dat in ABM is geregistreerd. Zelfs na een fabrieksreset zal het apparaat om de oorspronkelijke Apple ID-inloggegevens vragen voordat het door een nieuwe gebruiker kan worden ingesteld. Een apparaat dat uit een bedrijfs-MDM-systeem wordt gehaald zonder formeel uit ABM te zijn verwijderd, blijft vergrendeld met de Apple-inloggegevens van uw organisatie. De ITAD-leverancier kan dit niet op afstand opheffen. Het apparaat kan niet worden doorverkocht zonder directe tussenkomst van uw IT-team om het uit ABM vrij te geven.

Android-apparaten waarop een beheerd Google-account is ingesteld. Het equivalent hiervan bij Android is Factory Reset Protection (FRP). Als een apparaat wordt gereset zonder dat de koppeling correct is opgeheven, moeten bij de eerste opstart de inloggegevens van het vorige Google-account worden ingevoerd. Hetzelfde resultaat: een vergrendeling die de doorverkoop blokkeert en waarvoor tussenkomst van de IT-afdeling nodig is.

Tablets en Surface-apparaten die bij Windows Autopilot zijn geregistreerd. Bij de Autopilot-registratie wordt de hardware-hash van een apparaat gekoppeld aan een Azure AD-tenant. Wanneer een via Autopilot geregistreerde Surface Pro wordt teruggezet naar de fabrieksinstellingen en wordt overgedragen aan een nieuwe gebruiker buiten de organisatie, wordt het apparaat bij de eerste opstart opnieuw geregistreerd bij de vorige tenant. Het refurbishingteam van de ITAD-leverancier kan dit niet oplossen. De koper kan het ook niet oplossen. Alleen uw IT-team, dat toegang heeft tot Microsoft Intune en het Autopilot-apparaatrecord, kan de hardware-hash verwijderen en het apparaat vrijgeven.

De juiste volgorde voor elk apparaat dat bij MDM is aangemeld, is:

1. Uitschrijving bij uw vestiging
2. Apparaat wissen (tweede poging)
3. Controle en testen

Wat staat er eigenlijk in de intake-checklist van je ITAD-leverancier over de MDM-status? Als er geen veld voor is, weet je het antwoord al.

Desinfectie op grote schaal: wat NIST 800-88 daadwerkelijk voorschrijft voor mobiele apparaten

De R2v3-standaard heeft expliciet betrekking op solid-state opslag, waaronder de NAND-flash in smartphones en tablets. Hierin worden drie conformiteitstrajecten omschreven: logische opschoning (waarvoor altijd bijlage B vereist is), fysieke vernietiging overeenkomstig kernvereiste 7(c)(2)(B) met door NIST 800-88 goedgekeurde methoden, of uitbesteding aan een gekwalificeerde toeleverancier. Verbeterde fysieke vernietiging met volledige controles op de bewakingsketen valt eveneens onder bijlage B.

Voor apparaten die worden opgeknapt en doorverkocht – en dat geldt voor het merendeel ervan, gezien de waarde op de tweedehandsmarkt – is fysieke vernietiging geen optie. Dat betekent dat bijlage B van toepassing is en de beste manier is om de waarde van het apparaat te behouden. Dit is wat dat in de praktijk concreet inhoudt:

Tracering per apparaat, vanaf de ontvangst tot en met de ontsmetting. R2v3 Bijlage B, paragraaf 2 schrijft voor dat er een register moet worden bijgehouden van de unieke identificatiecode van elk gegevensopslagapparaat. In de context van mobiele apparaten is deze identificatiecode het IMEI-nummer of het serienummer, en dit register moet worden bijgehouden vanaf het moment dat de ITAD-leverancier de apparaten in ontvangst neemt tot en met de voltooiing van de gegevensverwijdering. Een verzamelcertificaat met de tekst “400 iPhones gewist op [datum]” voldoet niet aan deze eis. Registraties per apparaat voldoen daar wel aan.

Softwaregestuurde ontsmetting met verificatie. NIST 800-88 voor flashopslag beveelt cryptografische verwijdering aan (het vernietigen van de versleutelingssleutel, zodat opgeslagen gegevens definitief ontoegankelijk worden) of een volledige overschrijving. Tools zoals Blancco Mobile, BitRaser, NSYS Group en Ziperase, of eigen OEM-tools die per apparaat wisrapporten genereren, voldoen hieraan. Een technicus die handmatig een fabrieksreset uitvoert via de gebruikersinterface van het apparaat, voldoet hier niet aan.

Documentatie die een audit doorstaat. Een voor audits geschikt reinigingsverslag moet de apparaat-ID, de gebruikte reinigingsmethode, de datum en de uitkomst (geslaagd/mislukt) vermelden. R2v3 biedt je geen standaardformulier aan. In plaats daarvan vereist het een gedocumenteerd plan voor gegevensverwijdering, traceerbaarheid per apparaat vanaf de ontvangst tot en met de voltooiing, en door software gegenereerde rapporten voor elk apparaat waarvan de gegevens logisch zijn gewist. Al deze vereisten samen betekenen dat uw documentatie voor elk apparaat antwoord moet geven op die vier vragen. Als dat niet het geval is, zal het de controle door een auditor niet doorstaan.”

Het volume kan hier voor problemen zorgen. Wanneer een ITAD-leverancier 500 smartphones per dag verwerkt, is er druk om snel te werken. Een grondige gegevensverwijdering per apparaat met NIST-conforme tools duurt langer dan een fabrieksreset.

Een mobiel ITAD-proces opzetten dat niet in de knoop raakt

De knelpunten bij mobiele inzet zijn voorspelbaar. De oplossing voor elk daarvan is procedureel van aard, niet technisch.

Voordat apparaten uw gebouw verlaten: controleer of de MDM-uitschrijving voor elk apparaat in de partij is voltooid. Voor iOS betekent dit dat u moet controleren of het apparaat uit Apple Business Manager is verwijderd. Voor Android moet u controleren of de uitschrijving uit Workspace ONE of Intune is voltooid en of de FRP-beveiliging is opgeheven. Voor Windows-tablets die bij Autopilot zijn geregistreerd, moet u de hardware-hash uit uw Azure AD-tenant verwijderen voordat het apparaat wordt verzonden.

Bij de ontvangst: uw ITAD-leverancier moet het IMEI-nummer of serienummer van elk apparaat afzonderlijk vastleggen. Als ze de gegevens per batch registreren, voldoen ze niet aan de vereisten van R2v3, bijlage B, en kunnen ze niet de documentatie over de bewakingsketen per apparaat leveren die u nodig hebt.

Tijdens de verwerking: logische opschoning conform NIST 800-88 met behulp van software die per apparaat een wisrapport genereert.

Bij de beoordeling: Functionele producttests en cosmetische inspecties aan de hand van een vastgestelde kwaliteitsschaal, waarbij voor elk serienummer kwaliteitsrapporten op apparaatniveau worden bijgevoegd voordat het apparaat in de secundaire markt terechtkomt.

Bij sluiting: Desinfectiecertificaten per apparaat, met vermelding van het IMEI-nummer, de desinfectiemethode, de datum en het verificatieresultaat. Geen batchcertificaat. Per apparaat.

Dat proces kost per eenheid meer tijd dan de ‘stapelen-en-wissen’-aanpak. Het levert ook meer geld per eenheid op en zorgt voor onderbouwde nalevingsdocumentatie. De berekening is niet ingewikkeld.

Een goed gereviseerde iPhone 15 Pro Max in cosmetische staat A (geen gebarsten scherm, geen noemenswaardige cosmetische schade, MDM-vrij, iCloud ontgrendeld) en die volledig functioneert, levert steevast honderden dollars op. Dezelfde telefoon met een gebarsten scherm en een niet-opgeloste activeringsvergrendeling levert niets op.

Het is aan u om te bepalen of uw ITAD-leverancier zijn mobiele proces voldoende heeft afgestemd op uw nalevingsvereisten en uw terugwinningswaarde.

exIT Technologies verzorgt de afvoer van mobiele apparaten van bedrijven, evenals de buitengebruikstelling van servers en datacenters, inclusief documentatie over de gegevensverwijdering per apparaat en terugwinning voor de secundaire markt. Ontdek hoe wij de afhandeling van eindapparatuur aanpakken.