У цифровому світі існує дивна асиметрія: створювати дані легко, зберігати їх складно, а знищення — майже мистецтво. Додавання терабайта — це питання бюджету. Захищати — це справа архітектури. І довести, що дані більше не існують, — це питання зрілості всієї системи.
Видалення — це не про відсутні дані
Делеція — це активна, незворотна та підтверджена подія. І саме в ньому прихована справжня влада над інформацією.
Якщо ви можете створити дані, скопіювати їх, переміщати, архівувати, але не можете довести і назавжди їх знищити, то ви не маєте контролю над життєвим циклом даних. Це означає, що ви насправді не володієте ними.
Управління даними означає контроль над усім їхнім шляхом: від моменту створення, через етапи використання та зберігання до остаточного видалення. Цифровий суверенітет проявляється не у накопиченні терабайтів, а у здатності надійно вирішувати, що жити, а що зникати, без паніки та випадкових випадків. У цьому сенсі видалення — це не втрата, а найвища фігура в управлінні даними.
Ілюзія видалення
Для користувача видалення виглядає просто. Кнопка «Видалити». Кошик для покупок. Очищення.
Для дата-центру це майже завжди ілюзія. У реальній інфраструктурі дані існують одночасно:
- у робочих системах;
- у знімках;
- у резервних копіях;
- у зауваженнях;
- в архівах;
- у журналах;
- у тестових середовищах.
Видалення файлу в додатку означає видалення посилання, але це не обов’язково знищує самі дані. Вони можуть фізично існувати роками, переміщаючись між рівнями зберігання та проходячи через кілька міграцій інфраструктури.
Статистика показує, що до 85% корпоративних даних є надлишковими або застарілими масивами, які більше ніколи не використовуються. Але мало хто ставить таке питання:
Чи можемо ми взагалі їх прибрати, по-справжньому?
- Чому гарантоване видалення таке складне
Сучасний дата-центр — це не «диск із файлами», а складна ієрархія, що включає швидкі масиви, об’єктне зберігання, стрічкові бібліотеки, офлайн-копії та інше. Дані можуть існувати одночасно на кількох рівнях, якими керують різні системи, іноді різні організації.
- Видалення на одному рівні не гарантує нічого, якщо копія є в іншому
Магнітна стрічка є чемпіоном за довговічністю, енергоефективністю та вартістю зберігання. Саме тому він залишається основою довгострокових архівів і «останнім рубіжем» резервних копій.
Але стрічка створює окремий парадокс: вона не підключена постійно, доступ до даних затримується, а картриджі можуть зберігатися роками без циркуляції. Якщо дані записані на стрічку, але їх потрібно видалити, тоді потрібно знайти всі копії, визначити, на яких картриджах вони знаходяться, і переконатися, що знищити їх, щоб жодна копія не була відновлена.
Фізично це означає або контрольоване стирання, або знищення медіа, або криптографічне «знищення» даних. Кожен варіант є технологічно та організаційно складним.
Моделі дистанціювання: від ілюзії до реальності
- Логічне видалення — це комфортна самообман
Найпоширеніша модель, бо вона проста. Посилання на дані видаляються, блоки позначені як «безкоштовні», і залишається лише чекати «їх колись перезапишуть». Усе це легко «з’являється» під час цифрової криміналістики, що радує одних і дратує інших.
Це не прощання. Це ввічливе невігластво.
- Переписування — це добре, але не завжди можливо
Класичний підхід епохи HDD полягає у багаторазовому перезаписі блоків. Але в сучасних дата-центрах SSD приховують фактичне місцезнаходження даних, контролери переназначаються, а віртуалізація перериває прямий доступ до медіа.
- Перезапис перетворюється на лотерею.
Найефективніший підхід до блочного зберігання полягає в тому, що дані зберігаються у зашифрованому вигляді, а ключ шифрування знищується. Фізично дані залишаються, але вони перетворюються на криптографічний шум. Усе це відбувається миттєво, у масштабі, і процес руйнування стає доведеним. Але за однієї умови — архітектура має бути правильно спроектована з самого початку. Криптографічне стирання не може бути реалізоване заднім числом.
- Моделі постійного видалення даних на різних носія
HDD: Оманлива простота
Жорсткі диски давно вважаються «найзрозумілішими» носієм для зняття. Прямий доступ до секторів створює ілюзію контролю. Навіть при кількох перезаписах немає 100% гарантії, що система не була спроєктована з урахуванням видалення.
Отже, у критичних ситуаціях фізичне знищення залишається останнім аргументом.
Запис: повільний, надійний і безжальний
Касета — найчесніший медіум
Він не претендує на здатність стирати байти. Інформація на стрічці або зберігається, або знищується. Повністю перезаписуючи, якщо можливо, або переїжджаючи трактором. Тому в довгострокових архівах касета часто виявляється найнадійнішим інструментом для постійного видалення, якою б парадоксальною вона не звучала.
Хмара: довіряйте, але не перевіряйте
У хмарі ви не володієте медіа. У тебе є лише обіцянка. Видалення означає:
- запис у журналі;
- виконання внутрішньої процедури постачальника;
- очікування, що копії зникнуть «десь там».
Навіть великі провайдери рідко розкривають час фізичного видалення, долю реплік і деталі утилізації медіа. Отже, для регуляторних даних хмара без додаткових механізмів є найнепрозорішим сценарієм видалення.
Майже видалено: найнебезпечніші помилки
Найгірші інциденти — це не витік даних. І коли всі впевнені, що їх видалено, але це не так.
- “Ми видалили продукти, але забули про резервні копії”
Класика жанру: дані були видалені з основної системи, але резервні копії досі існують. Через деякий час, через аудит або суд, дані раптово «відновлюються».
- Тестові середовища та «тимчасові копії»
Найбільш людський фактор: «Скопіюй продукт для тесту, а потім видалиш його.» Вони не видаляли його.
За статистикою, величезна частка витоків персональних даних відбувається з тестових умов, які ніхто не вважає «реальними».
В одній із найвідоміших судово-медичних справ електронного виявлення доказів у США видалені електронні листи були знайдені на резервних копіях, що стало критично важливим для справи. У рамках позову Лаури Зубюле проти UBS Warburg суд встановив, що кореспонденція, яку компанія вважала видаленою з активної системи, зберігалася на резервних стрічках і була відновлена. Водночас деякі резервні записи були повністю відсутні, що призвело до санкцій проти UBS за невиконання обов’язку зберігати докази.
Висновок: резервні копії та архіви часто зберігають «видалені» дані. Їх відновлення стало ключовим елементом судового процесу — прикладом того, як видалення даних у виробничій системі не означає знищення даних у резервному сховищі.
Витік FriendFinder Networks у 2016 році виявив мільйони акаунтів, які були позначені як видалені, але все ще фізично зберігалися в базі даних і були включені до витоку.
Висновок: навіть після логічного видалення записи можуть залишатися фізично в сховищі та бути доступними для зловмисників — класичний приклад «видалення, яке не видаляє».
На початку 2000-х, під час розслідування падіння Enron, дослідники комп’ютерної криміналісти знайшли видалені електронні листи та документи з жорстких дисків і переробили резервні копії, щоб зрозуміти, що відбувається всередині компанії. Це відомий приклад, коли видалення не врятувало від відновлення інформації технічними засобами експертів.
У дискусії 2017 року інженери згадали випадок, коли зловмисники видаляли резервні копії Veeam під час атаки програм-вимагачів, але потім виявилося, що деякі файли можна відновити з знімків або нестертих артефактів на рівні файлової системи — доки вони не будуть назавжди перезаписані. Це підкреслює, що «видалення» не завжди означає повне знищення, якщо інфраструктура не спроектована з урахуванням резервного захисту.
Як довести, що дані дійсно знищені: практичні підходи
Як показати третій стороні, що дані не просто «зникли», а гарантовано будуть знищені? Адже для дата-центрів, банків, державних установ і медичних організацій це не жарт: аудитори та регулятори вимагають доказів дотримання політик збереження та видалення даних.
Стандарти знищення конфіденційної інформації на цифрових медіа поділяють методи на три рівні:
1. Очищення – видалення програмного забезпечення, перезапис.
2. Деградація – більш інтенсивне очищення: кілька циклів переписування, криптографічне стирання.
3. Фізичне знищення – руйнування, розчавлення, плавлення.
У корпоративній практиці використовується кілька підходів, кожен з яких має свої плюси та недоліки:
- Журнали видалення + хеши.
- Криптографічне знищення з знищенням ключа.
- Фізичне знищення носія після закінчення періоду зберігання.
- Перевірка процедур та контроль аудиту.
Jetico — вони можуть це зробити
Jetico пропонує професійні рішення для безпечного та безповоротного видалення даних — BCWipe та BCWipe Total WipeOut. Вони використовуються як приватними користувачами, так і компаніями та державними структурами (включаючи DoD США).
1. BCWipe — вибіркове видалення
- Надійно стирає окремі файли, папки, вільний простір, slack-простір, тимчасові файли, залишки даних (remanence).
- Працює на активній системі (Windows, macOS, Linux/UNIX).
- Використовує військові стандарти перезапису (DoD 5220.22-M, NIST SP 800-88, Gutmann тощо).
- Захищає від відновлення навіть з допомогою forensic-інструментів.
- Зручний для щоденного використання та compliance (GDPR, право на забуття).
2. BCWipe Total WipeOut — повне стирання дисків
- Повністю знищує дані на всьому диску (HDD, SSD, NVMe, SSHD, Mac).
- Стирає boot-записи, приховані області (HPA, DCO), файлову систему та ОС.
Ідеально підходить для:
- виведення обладнання з експлуатації;
- продажу/дарування комп’ютерів;
- утилізації.
- Генерує сертифікати знищення (proof of erasure) для аудитів.
- Підтримує централізоване управління в enterprise-версії.
Головні переваги Jetico:
- Підтримка всіх сучасних носіїв (включаючи SSD з їх особливостями).
- Відповідність міжнародним стандартам.
- Прозорі звіти та висока доказовість.
- Працює без backdoor’ів.
Додамо, що детальну інформацію про рішення Jetico та демонстрацію всіх можливостей цього рішення можна отримати у дистриб’ютора — компанії «Ідеалсофт» (Idealsoft).
Висновок
У світі резервних копій, знімків, реплікацій і архівів дані мають власне життя і легко переживають зміни систем, адміністраторів і навіть поколінь інфраструктури. Ось чому більшість інцидентів, регуляторних претензій і юридичних суперечок починаються не з витоку «активних» даних, а з відновлення того, що вважалося видаленим давно.
У цьому контексті постійне видалення перестає бути «технічною операцією». Це управлінське рішення і елемент цифрового спонтанітету. Організація, яка знає, як свідомо обмежувати періоди утримання, керувати копіями на всіх рівнях і гарантувати, що кінець життєвого циклу даних зменшує ризики, спрощує інфраструктуру та підвищує довіру — з боку клієнтів, партнерів і регуляторів.