Destruir smartphones y tablets de empresa: más allá del reseteo de fábrica
En cada fin de leasing o momento de sustitución vuelve a IT un lote de dispositivos de empresa. Smartphones, tablets, a veces wearables. El refurbisher los acepta con gusto a cambio de un valor residual. Para la mayoría de las organizaciones esa es la vía estándar, siempre que haya un saneamiento suficiente previo. Para algunos sectores o clases de datos el saneamiento no basta y corresponde la destrucción física. Este artículo pone la elección sobre la mesa.
¿Qué hay en un smartphone de empresa?
- Archivo de correo mediante Exchange o una conexión con Gmail, con correspondencia de clientes y debates internos.
- Contactos de clientes y agenda del directorio de la organización.
- Fotos hechas para el trabajo: partes de daños, inventario de producto, constataciones en el lugar.
- Apps de autenticación con claves criptográficas hacia los sistemas de la empresa.
- Clientes VPN con credenciales persistentes.
- Documentos y libretas en OneNote, Notes, Dropbox.
- Caché de CRM y herramientas de BI que han guardado datos de empresa localmente.
- Documentos escaneados localmente con apps como Adobe Scan.
Un dispositivo de empresa lleva a menudo más datos sensibles que un portátil con la política DLP adecuada. Los portátiles suelen estar cifrados y monitorizados, mientras que los teléfonos funcionan por lo general con un solo PIN de dispositivo y almacenamiento local.
Reseteo de fábrica: lo que hace y lo que no
El reseteo de fábrica en iOS y Android ejecuta un borrado a nivel de hardware: se destruye la clave de cifrado, con lo que los datos cifrados quedan efectivamente aleatorios. Es una forma de borrado criptográfico (NIST 800-88 Purge):
- Funciona en dispositivos modernos (iOS 7+, Android 6+) donde el cifrado completo del almacenamiento es estándar.
- No es fiable en dispositivos más antiguos (Android < 6 sin full disk encryption).
- Exige que el dispositivo funcione y ejecute el comando de reseteo.
- Sin rastro de prueba externo. Sin certificado.
Para la mayoría de las organizaciones, el reseteo de fábrica con política BYOD, exclusión de eDiscovery y baja del MDM es suficiente. Los datos quedan prácticamente inaccesibles, el dispositivo puede reutilizarse, y el círculo se cierra mejor en términos de sostenibilidad que con la destrucción.
¿Cuándo se queda corto el reseteo de fábrica?
- El dispositivo está averiado y no puede ejecutar el reseteo. Pantalla rota, batería muerta, bricked: no es posible resetear.
- Sectores con exigencias reforzadas. Defensa, ciertas instituciones sanitarias, abogados con dominio de secreto profesional.
- El relato de auditoría debe ser físico y demostrable. Algunos contratos con clientes de empresa exigen un certificado de destrucción por dispositivo.
- Dispositivos anteriores a 2015 sin cifrado completo: el reseteo de fábrica es aquí menos fiable.
- Riesgo de un refurbisher que no sanea. Los refurbishers baratos por rutas desconocidas en el extranjero no dan ninguna garantía.
Destrucción física: cómo
Una trituradora E móvil reduce un smartphone a partículas de unos pocos milímetros. Los chips NAND, la batería y la carcasa acaban en la misma salida. Clasificación DIN 66399 E:
- E-3: partículas < 160 mm². Vale para dispositivos de empresa generales sin datos personales especiales.
- E-4: < 30 mm². Estándar para smartphones de empresa con datos de clientes.
- E-5: < 10 mm². Para abogacía, sanidad y financiero con datos especiales.
- E-6: < 1 mm². Nivel de defensa e inteligencia.
Para casi todas las aplicaciones comerciales de las pymes basta con E-4. Para sectores regulados, E-5.
Baterías: paso aparte
Una batería de litio en una trituradora es un riesgo de incendio. Los proveedores responsables retiran la batería antes de triturar, o usan una trituradora cerrada capaz de sofocar un incendio. En nuestro caso se hace en dos pasos:
- Retirar la batería (manualmente o mediante un separador automático).
- Retirar las baterías aparte hacia Stibat o un recolector similar.
- Carcasa y chips por la trituradora E.
Lee también qué no va en el contenedor de papel para la ruta de las baterías.
¿Refurbisher o trituradora?
La ponderación:
| Aspecto | Refurbisher | Trituradora |
|---|---|---|
| Valor residual | Sí, 50-200 euros por dispositivo | Cero |
| Prueba de saneamiento | Declaración del refurbisher | Certificado de destrucción por dispositivo |
| Sostenibilidad | La más alta (reutilización) | Reciclaje de materiales |
| Aceptación en auditoría | Aceptable si el proveedor es de confianza | Indiscutible |
| Riesgo | Descuido del refurbisher | Ninguno |
Híbrido: refurbisher para lo que se pueda, trituradora para el resto
Muchos clientes optan por un enfoque híbrido: dispositivos funcionales al refurbisher (con un contrato estricto sobre el saneamiento), dispositivos averiados y dispositivos específicos del sector a la trituradora. Eso optimiza el valor residual y el riesgo.
Para los proveedores de servicios IT gestionados que gestionan esto para clientes, lee nuestro artículo sobre la eliminación de activos IT para clientes MSP.
¿Qué corresponde al certificado?
- Fecha, lugar, método (E-4 o E-5).
- Número de dispositivos por tipo (smartphone, tablet, wearable).
- IMEI o número de serie por dispositivo, si se conoce.
- Firma del operario.
- Destino del residuo (flujo de reciclaje de metal y plástico).
Para las exigencias generales del certificado, consulta nuestro artículo sobre el certificado de destrucción.
Destrucción móvil de smartphones y tablets, con lista de IMEI.
Acudimos con una trituradora E móvil, destruimos a DIN E-4 o E-5 y entregamos un certificado con lista de IMEI. Baterías retiradas aparte.
Solicita un presupuesto¿Un lote de dispositivos a fin de leasing? Escríbenos a desnipperaar.nl con la cantidad y el tipo. Planificamos un trayecto móvil in situ.