Wat er precies op een vernietigingscertificaat staat, en waar je op moet letten

Een vernietigingscertificaat waarop de verkeerde methode staat vermeld, wordt toch ondertekend, gearchiveerd en vervolgens vergeten. 

Niemand controleert of de methode overeenkomt met het mediatype voordat het in een lade wordt opgeborgen. Dat is het echte zwakke punt in de meeste programma’s voor gegevensvernietiging.

Een certificaat is een schriftelijke verklaring van een leverancier over een proces, en geen onafhankelijk bewijs dat het proces op uw specifieke apparaten correct is uitgevoerd. Er is geen enkele certificeringsinstantie die het document zelf controleert, wat betekent dat het interne proces van de leverancier veel belangrijker is dan het briefhoofd of de handtekening onderaan.

Korte feiten: wat u moet weten over vernietigingscertificaten

• Een vernietigingscertificaat is een schriftelijk verslag van een leverancier over een proces: welke methode is gebruikt, wanneer en waar. Het bewijst niet automatisch dat uw specifieke apparaten dat proces correct hebben doorlopen.
• Er is geen enkele certificeringsinstantie die het certificaat zelf certificeert. Iedereen kan er een afgeven, wat betekent dat de daadwerkelijke werkwijze van de leverancier belangrijker is dan het briefhoofd van het document.
• Fysieke vernietigingsmethoden zoals demagnetiseren en versnipperen zijn achteraf niet in gelijke mate controleerbaar.
• Sommige methoden werken helemaal niet op bepaalde mediatypen.
• R2v3 schrijft voor dat leveranciers die verderop in de keten gegevens opschonen, voor elk geval een bewijs van opschoning moeten overleggen gegevensdrager.
• Een batchcertificaat dat duizenden apparaten onder één opdrachtnummer omvat, geeft geen uitsluitsel over wat er met een specifiek apparaat binnen die batch is gebeurd.
  

Wat is een vernietigingscertificaat en wat staat erin? 

Een vernietigingscertificaat is een document dat door een leverancier wordt afgegeven ter bevestiging dat gegevensdragers op een bepaalde datum, in een bepaalde faciliteit en volgens een bepaalde methode zijn gewist of fysiek vernietigd. Een volledig certificaat moet ten minste de volgende gegevens bevatten:

• Apparaatidentificatie. Serienummers of inventarislabels voor elk apparaat dat onder de regeling valt, niet alleen het totale aantal stuks.
• Toegepaste methode. De specifieke ontsmettings- of vernietigingstechniek, correct afgestemd op het type drager.
• Controle. Bevestiging dat de vernietiging achteraf is gecontroleerd, en niet alleen in gang is gezet.
• Resultaat per apparaat. Geslaagd, mislukt, vernietigd of uitzondering: deze worden afzonderlijk geregistreerd in plaats van als één algemene uitkomst voor de hele batch.
• Datum en adres van de instelling. De exacte datum en de fysieke locatie waar het werk plaatsvond.
• Identificatie van de aanbieder. De naam en het adres van de leverancier, evenals eventuele relevante certificeringen, zoals NAID AAA of R2v3.

Iedereen met een printer kan een vernietigingscertificaat opstellen, dus je moet goed letten op wat er in het certificaat staat en of er iets ontbreekt. 

Hoe u een vernietigingscertificaat moet lezen voordat u het ondertekent

Controleer een certificaat aan de hand van deze lijst voordat u het opbergt. Als er meer dan één item ontbreekt, is het de moeite waard om uw leverancier te vragen waarom dat zo is.

Inzicht in de verschillende vernietigingsmethoden

Niet alle vernietigingsmethoden zijn gelijk, en de methode moet worden afgestemd op het type IT-hardware.

Zo verstoort demagnetiseren bijvoorbeeld magnetische opslagmedia. Het heeft geen effect op solid-state drives, omdat SSD’s gegevens niet magnetisch opslaan. 

Standaardversnippering is een veelgebruikte methode voor opslagschijven, maar hierdoor kunnen er deeltjes achterblijven die groot genoeg zijn voor forensisch herstel. Nieuwere richtlijnen zoals IEEE 2883 stapt af van de benadering waarbij uitsluitend fysieke vernietiging als het standaardbewijs wordt beschouwd van veilige gegevensopschoning. In plaats daarvan worden er meerdere gevalideerde ontsmettingsmethoden gedefinieerd (Clear, Purge en Destruct) en wordt de nadruk gelegd op het gebruik van geschikte, verifieerbare technieken voor de betreffende opslagtechnologie.

Om te kunnen vaststellen of versnipperde gegevensdragers daadwerkelijk onherstelbaar zijn, moet de grootte van de deeltjes bekend zijn; het volstaat niet alleen te weten dat er een versnipperaar is gebruikt.

Logische opschoning, dat wil zeggen het wissen via software, verloopt via een ander verificatieproces. Bijlage B van R2v3 schrijft voor dat minimaal 5% aan logisch gewiste media, waaruit onafhankelijk monsters moeten worden genomen om te bevestigen dat de gegevens niet kunnen worden hersteld; het aantal monsters moet worden uitgebreid als er problemen aan het licht komen. Een certificaat waarin alleen een wisprogramma wordt genoemd, zonder enige verwijzing naar bemonstering of verificatie, gaat simpelweg niet ver genoeg.

De ‘method’-regel op een certificaat is het allerbelangrijkste dat je moet controleren voordat je het accepteert, omdat dit ook het punt is waar een leverancier het gemakkelijkst een fout kan maken zonder dat iemand het opmerkt.

Certificaten per batch versus verificatie per activum

Met batchcertificaten kom je te weten wat er met een vrachtwagenzending is gebeurd. Alleen verificatie per voertuig geeft je inzicht in wat er op apparaatniveau is gebeurd. 

Het batchcertificaat is gemakkelijker te verkrijgen, maar meestal volstaat het niet. Stel je voor: 4.000 schijven die in één opdracht worden verzonden. Als er drie verkeerd worden gerouteerd, vertraging oplopen of vóór de verwerking worden apart gehouden, wordt de hele opdracht in het batchcertificaat toch als voltooid aangemerkt. Vanuit operationeel oogpunt van de leverancier is de zending afgehandeld. 

Mocht een van die drie later weer opduiken, dan staat er geen serienummer op het certificaat om dit te controleren, geen tijdstempel per apparaat, en is er geen manier om vast te stellen welke exemplaren daadwerkelijk zijn vernietigd en welke alleen als vernietigd werden beschouwd omdat ze deel uitmaakten van de zending.

Een certificaat dat is gebaseerd op verificatie per apparaat, waarbij elk serienummer wordt gekoppeld aan een eigen tijdstempel en methode van vernietiging, dicht die leemte. De productiekosten liggen hoger. Het is ook de enige versie die je houvast biedt voor onderzoek als een apparaat ooit opduikt op een plek waar het niet thuishoort.

Vraag je leverancier of hij een vernietigingsrapport per serienummer kan opvragen voor een specifiek apparaat dat achttien maanden geleden is verzonden. Als hij dat niet voor je kan vinden, is het de moeite waard om uit te zoeken waarom. 

Beoordeel de kwaliteit van uw vernietigingscertificaat

Een vernietigingscertificaat is slechts zo betrouwbaar als het proces dat eraan ten grondslag ligt, en de meeste bedrijven krijgen dat proces nooit te zien. Zij zien alleen een document.

De oplossing is een leverancier die op verzoek voor elk apparaat een vernietigingsrapport per serienummer kan opstellen, zelfs maanden of jaren nadat de opdracht is afgerond. 

Vraag je ITAD-leverancier, voordat je volgende vervangingscyclus van start gaat, om een voorbeeldcertificaat waarin per apparaat het serienummer wordt bijgehouden en wordt aangegeven welke vernietigingsmethode bij elk apparaat hoort.