¿Cómo se tritura realmente un disco duro?

Tirar un disco duro amortizado al contenedor no es destrucción, es una brecha de datos con temporizador. Borrar por software ayuda a veces, pero para los discos que salen de la organización la destrucción física es la única ruta que un auditor acepta sin discusión. ¿Qué ocurre entonces exactamente en una trituradora? En este artículo recorremos todo el proceso, de la recepción al certificado.

Por qué «borrar» no siempre es suficiente

El borrado por software, incluso según NIST 800-88, exige que el disco sea funcional y ejecute el comando. Los discos defectuosos, los discos con sectores defectuosos o los chips de memoria que ya no responden no se pueden sobrescribir de forma fiable. Además, la distinción entre borrar y destruir sigue siendo jurídicamente importante, porque el RGPD exige «medidas técnicas apropiadas» y con el hardware retirado esas suelen estar en el lado físico del espectro.

El proceso de trituración paso a paso

1. Recepción y registro. Cada disco se escanea por número de serie o etiqueta de activo y se incorpora a la lista de inventario. Ese es el inicio de la cadena de custodia.
2. Preparación. Los discos se sacan de las bandejas o de los marcos de portátil. Para los SSD se suele abrir la carcasa para que los chips NAND entren visibles en la alimentación.
3. Alimentación a la trituradora. El disco cae sobre una cinta hacia la cámara de corte. Las trituradoras industriales de discos duros funcionan con ejes pesados de contrarrotación y cuchillas templadas.
4. Corte. Las cuchillas abren la carcasa, parten los platos en trozos y los trituran hasta partículas. El recubrimiento magnético se quiebra en fragmentos de los que ni un laboratorio especializado puede recuperar ya trazas coherentes.
5. Salida y pesaje. El residuo cae en un contenedor cerrado. A partir del peso o del número de unidades se emite el certificado.

¿Qué tamaño de partícula es seguro?

La norma DIN 66399 tiene para los discos duros su propia escala H. Para datos empresariales con sensibilidad de privacidad sueles acabar en H-4 o H-5.

• H-3: partículas de un máximo de 320 mm². Apto para datos generales de empresa sin categorías especiales de datos personales.
• H-4: partículas de un máximo de 30 mm². Nivel para administraciones de clientes, datos de RRHH y datos financieros.
• H-5: partículas de un máximo de 5 mm². Para categorías especiales de datos personales, expedientes médicos y ámbitos sujetos a secreto.
• H-6 / H-7: 0,5 y 0,2 mm². Nivel de defensa e inteligencia, en la práctica rara vez exigido para clientes comerciales.

La regla práctica. H-4 basta para la mayoría de las pymes, H-5 si trabajas con datos médicos, jurídicos o financieramente sensibles.

Los SSD requieren otra cuchilla

Un SSD no contiene platos sino chips NAND del tamaño de un sello. Una trituradora de discos duros que apunta a H-4 para discos giratorios puede dejar pasar un chip NAND entero sin dañar por la salida. Para el almacenamiento flash el tamaño de partícula debe ser, por tanto, considerablemente menor que el propio chip, de ahí que la clasificación E de la DIN 66399 para componentes electrónicos baje de los 5 mm. Lee nuestro artículo sobre destrucción de SSD para los detalles.

¿Móvil o fuera de sitio?

Nosotros hacemos la trituración in situ, en el camión. Eso ahorra un paso de transporte en el que los discos viajan aún fuera de tu vista. Los clientes con eliminación de activos de IT encuentran atractivo lo móvil porque pueden verificar la destrucción visualmente y firmar la lista de números de serie de inmediato. Un especialista fuera de sitio con mayor capacidad puede salir más barato con cientos de discos por vez. Para lotes más pequeños con requisitos de auditoría preferimos lo móvil.

¿Qué recibes después?

Un certificado de destrucción no es una formalidad, es tu prueba ante la AP y el contable. En él figuran como mínimo fecha, ubicación, cantidad, números de serie (si se conocen), método empleado y la clasificación DIN. Consérvalo al menos cinco años en tu registro de actividades de tratamiento. Las diferencias entre proveedores y qué distingue un buen certificado de una pegatina vacía las encuentras en nuestra guía sobre el certificado de destrucción.

¿Dudas sobre qué nivel DIN necesita tu organización? Llámanos o solicita un presupuesto a través de desnipperaar.nl. Revisamos tu inventario gratis y aconsejamos un nivel proporcionado.