Er bestaan meerdere methoden voor veilige dataverwijdering: overschrijven (ook wel wipen), degaussing en fysieke vernietiging. Welke methode het veiligst is, hangt af van het type opslagmedium en hoe gevoelig de data is. Voor de meeste bedrijven biedt gecertificeerd overschrijven volgens de NIST-standaard voldoende zekerheid. Bij zeer gevoelige informatie of defecte apparatuur is fysieke vernietiging de meest waterdichte keuze.
In dit artikel beantwoorden we de meest gestelde vragen over dataverwijderingsmethoden, zodat je precies weet welke aanpak bij jouw situatie past.
De veiligste methode voor dataverwijdering hangt af van het opslagmedium. Voor harde schijven (HDD) is gecertificeerd overschrijven volgens NIST 800-88 of de Gutmann-methode zeer betrouwbaar. Voor SSD’s en flash-opslag is fysieke vernietiging of cryptografisch wissen de zekerste aanpak, omdat overschrijven op deze media minder voorspelbaar werkt.
Er is geen universeel antwoord, maar er is wel een duidelijke rangorde. Hoe gevoeliger de data, hoe ingrijpender de methode moet zijn. Bedrijven die werken met persoonsgegevens of vertrouwelijke bedrijfsinformatie doen er goed aan om altijd een gecertificeerd proces te kiezen met een verifieerbaar rapport als bewijs.
Data wissen betekent dat de gegevens op het opslagmedium onleesbaar worden gemaakt via software, terwijl het medium zelf intact blijft en opnieuw gebruikt kan worden. Data vernietigen betekent dat het fysieke medium onherstelbaar wordt beschadigd of versnipperd, waarna het apparaat niet meer bruikbaar is.
Het verschil is praktisch belangrijk. Wissen is de juiste keuze als je apparatuur wilt hergebruiken of doorverkopen als refurbished ICT-apparatuur. Vernietiging past beter bij apparatuur die defect is, het einde van zijn levensduur heeft bereikt, of data bevat die zo gevoelig is dat elk risico uitgesloten moet worden.
Bij het overschrijven van data schrijft software nieuwe, betekenisloze informatie over alle sectoren van het opslagmedium. Hierdoor wordt de originele data onleesbaar. Hoe vaker dit proces wordt herhaald, hoe kleiner de kans dat resterende sporen nog uitgelezen kunnen worden.
De meest gebruikte standaard is dataverwijdering conform NIST 800-88. Deze standaard beschrijft drie niveaus:
Voor HDD’s werkt overschrijven goed en betrouwbaar. Bij SSD’s ligt het anders, omdat deze schijven data verspreid opslaan over meerdere cellen via een proces dat “wear leveling” heet. Daardoor bereikt overschrijfsoftware niet altijd alle sectoren. Cryptografisch wissen, waarbij de versleutelingssleutel wordt vernietigd, is dan een betere aanpak.
Nee, degaussing werkt niet op SSD’s, USB-sticks of andere flash-gebaseerde opslagmedia. Degaussing maakt gebruik van een krachtig magnetisch veld om de magnetische structuur van een harde schijf te verstoren. Omdat SSD’s en USB-sticks geen magnetische opslaglaag hebben, heeft degaussing op deze media geen enkel effect.
Degaussing is uitsluitend effectief op traditionele magnetische harde schijven (HDD’s) en magnetische tapes. Na degaussing is een HDD onbruikbaar, want ook de firmware wordt gewist. Voor SSD’s en USB-sticks zijn de juiste alternatieven cryptografisch wissen of fysieke vernietiging. Wie degaussing toepast op flash-opslag, heeft een vals gevoel van veiligheid en de data staat er nog gewoon op.
Fysieke vernietiging van data is de juiste keuze wanneer software-gebaseerde methoden onvoldoende zekerheid bieden of niet uitvoerbaar zijn. Dit geldt voor defecte media die niet meer gelezen of beschreven kunnen worden, voor SSD’s met zeer gevoelige data, en voor situaties waarin de hoogste beveiligingsklasse vereist is.
Situaties waarbij fysieke vernietiging aan te raden is:
Fysieke vernietiging omvat methoden zoals shredden, versnipperen of degaussing gecombineerd met versnippering. Het nadeel is dat de apparatuur daarna niet meer te inleveren voor hergebruik is. Kies fysieke vernietiging dus bewust, en alleen wanneer het echt nodig is.
De AVG (ook bekend als GDPR) verplicht organisaties om persoonsgegevens te verwijderen zodra er geen geldige verwerkingsgrond meer is, of wanneer een betrokkene daar om verzoekt. De wet schrijft geen specifieke technische methode voor, maar eist wel dat de verwijdering aantoonbaar en effectief is.
In de praktijk betekent dit dat bedrijven moeten kunnen bewijzen dat data daadwerkelijk is verwijderd. Een verwijderrapport of certificaat van dataverwijdering is daarvoor het meest gebruikte middel. GDPR dataverwijdering vereist dus niet alleen de technische handeling, maar ook de administratieve vastlegging ervan.
Organisaties die apparatuur verkopen, doneren of laten refurbishen, zijn zelf verantwoordelijk voor de data die nog op de apparaten staat. Het overdragen van apparatuur zonder voorafgaande dataverwijdering is een datalek en kan leiden tot boetes. Zorg altijd voor een aantoonbaar proces voordat apparatuur de organisatie verlaat.
Je weet zeker dat data onherstelbaar is verwijderd wanneer het verwijderingsproces is uitgevoerd door gecertificeerde software of een gecertificeerde partij, en wanneer je een verificatierapport ontvangt met de serienummers van de verwerkte media. Dit rapport is het bewijs dat het proces correct is uitgevoerd.
Een betrouwbaar dataverwijderingscertificaat bevat minimaal de volgende elementen: de gebruikte methode en standaard, de datum van verwijdering, de unieke identificatie van het medium (serienummer), en de naam van de uitvoerende partij. Zonder dit document heb je geen aantoonbare zekerheid, ook al is de data technisch gezien verwijderd.
Wil je extra zekerheid? Laat dan na het wissen een steekproef uitvoeren met forensische software. Als die software geen leesbare data terugvindt, is het proces geslaagd. Bij fysieke vernietiging is een foto of video van de vernietiging een aanvullend bewijsmiddel.
Wij nemen de zorg voor dataverwijdering volledig uit handen. Of het nu gaat om een enkel apparaat of een grote batch uitfaserende ICT-apparatuur: wij zorgen voor een veilig, gecertificeerd en AVG-conform proces. Zo kun jij je richten op je eigen werk.
Wat wij bieden:
Heb je vragen over de juiste aanpak voor jouw situatie? Neem contact op en we denken graag met je mee. U belt, wij zijn flexibel.
Voor vragen en aanvragen over onze diensten staan wij je graag te woord.
+31 (0)88 024 79 00