當(dāng)自動駕駛汽車工程師Andrew Levandowski從谷歌公司離職跳槽到Uber公司工作時(shí)，他聲稱在幾個(gè)星期之后才發(fā)現(xiàn)在他的衣柜找出了五個(gè)裝滿了源代碼、設(shè)計(jì)和工程文件的硬盤。將硬盤切碎似乎是一種安全處理的好方法，但是當(dāng)谷歌公司的無人駕駛汽車業(yè)務(wù)部門Waymo公司起訴Levandowski所就職的Uber公司，并聲稱他竊取了這些資料文件時(shí)，其結(jié)果是令人尷尬的(這兩家公司在法庭訴訟之后，僅用了五天就意外地達(dá)成和解)。
數(shù)據(jù)中心應(yīng)該有更好的流程來處理可能存儲企業(yè)或客戶機(jī)密數(shù)據(jù)的廢舊硬盤。但數(shù)據(jù)擦除專家Blancco公司最近的一項(xiàng)調(diào)查顯示，很多組織未能正確處理退役硬盤，并面臨暴露客戶和員工信息的罰款風(fēng)險(xiǎn)，或者存儲硬件方面浪費(fèi)了數(shù)十萬美元。
流程管理
這個(gè)調(diào)查報(bào)告表明，有四分之一的組織根據(jù)退貨授權(quán)流程(RMA)條款，每年至少花費(fèi)5萬美元對硬盤進(jìn)行更換，另外39%的組織每年花費(fèi)超過10萬美元。在過去兩年中，超過一半的組織因?yàn)闆]有遵守?cái)?shù)據(jù)保護(hù)法，因此遭到處罰，并可能提高了成本。
更糟糕的是，參與調(diào)查的全球600位數(shù)據(jù)中心專業(yè)人員表示，似乎并不知道他們處理硬盤的方式不安全，并且沒有遵守歐洲通用數(shù)據(jù)保護(hù)法規(guī)或?qū)⒂?020年1月生效的加利福尼亞州的數(shù)字隱私法。
企業(yè)沒有遵循正確程序進(jìn)行處理硬盤并不是什么新鮮事。但潛在的后果如今有所不同。 “組織需要有效的數(shù)據(jù)保留和處理政策和程序。”數(shù)據(jù)保護(hù)咨詢機(jī)構(gòu)Privacy Matters公司常務(wù)董事Pat Walshe表示，“這不是新事物，幾十年來一直是道德和合規(guī)數(shù)據(jù)管理的關(guān)鍵方面。退貨授權(quán)(RMA)硬盤驅(qū)動器也不例外。不同的是，由于未能以保護(hù)人們數(shù)據(jù)的方式處理個(gè)人數(shù)據(jù)而產(chǎn)生的責(zé)任。”
人工擦除成本高昂
盡管將數(shù)據(jù)安全性、隱私性、合規(guī)性和效率列為首要任務(wù)，但很少有受訪者擁有有效的流程來刪除數(shù)據(jù)和清理硬盤以便重復(fù)使用或返回制造商，或者進(jìn)行審核以確保完成此操作。只有三分之一的受訪者表示使用自動遠(yuǎn)程工具進(jìn)行安全擦除。其他受訪者表示，通過人工刪除機(jī)架和服務(wù)器的硬盤驅(qū)動器，一半受訪者表示通過人工實(shí)施刪除，另一半受訪者表示將硬盤驅(qū)動器存放在現(xiàn)場。
具有諷刺意味的是，他們已經(jīng)意識到數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。Blancco公司企業(yè)和云擦除解決方案副總裁Fredrik Forslund表示，“他們在空閑空間存放存儲硬件，這會增加成本。這些用戶沒有從這些硬件中獲得任何剩余價(jià)值，反而需要占用寶貴的資源和空間存放和管理，而且在大多數(shù)情況下，很多企業(yè)會因?yàn)闆]有退回硬盤驅(qū)動器而受到供應(yīng)商的處罰”。
對于不再使用的硬盤驅(qū)動器，超過一半的企業(yè)都會使用免費(fèi)的在線工具(如DBAN)手動擦除。“他們只是從互聯(lián)網(wǎng)上下載一些東西，并將其作為流程的一部分運(yùn)行，這非?？膳?。”Forslund指出，“免費(fèi)的在線工具只選用于個(gè)人使用，這意味著他們將面臨許可證問題，而且沒有審計(jì)跟蹤。”
如果企業(yè)決定物理性銷毀磁盤，SSD硬盤的銷毀也會造成更多的麻煩。“即使銷毀的SSD硬盤也可能會發(fā)現(xiàn)數(shù)據(jù)。”Forslund指出。雖然像Microsoft Azure和谷歌云這樣的超大規(guī)模云計(jì)算供應(yīng)商使用碎紙機(jī)處理驅(qū)動器(谷歌使用機(jī)器人自動化銷毀)，但這在傳統(tǒng)的企業(yè)數(shù)據(jù)中心中很少見。除非拍攝每個(gè)驅(qū)動器的序列號以及粉碎過程，否則沒有進(jìn)行審計(jì)跟蹤。相反，一些擔(dān)心安全性的組織使用具有強(qiáng)磁性的消磁器來擦除數(shù)據(jù)，而并不是物理損壞硬盤驅(qū)動器。但當(dāng)今的硬盤外殼將會阻擋磁性，另外SSD硬盤的數(shù)據(jù)并不會受到磁鐵的影響。
第三方服務(wù)可以通過審計(jì)跟蹤提供有效的物理粉碎措施，但是在傳輸過程中將會增加保護(hù)驅(qū)動器的成本。“用戶需要服務(wù)提供商安全地將硬盤運(yùn)送到他們的設(shè)施。”Forslund說，“很多安全團(tuán)隊(duì)都不會允許這種運(yùn)輸。如果允許這樣做，就會有嚴(yán)格的要求，例如采用武裝押運(yùn)車輛運(yùn)輸驅(qū)動器，這會花費(fèi)很多費(fèi)用。這就是大量存放的廢舊硬盤成本高昂的原因：因?yàn)檫@是一項(xiàng)繁瑣的操作。”
準(zhǔn)備加密所有內(nèi)容
通過簡單地刪除密鑰對硬盤進(jìn)行密碼擦除越來越流行，因?yàn)樗瓤焖儆趾唵?。根?jù)研究報(bào)告，64%的組織使用密碼刪除措施，而這一比例在醫(yī)療保健和制藥等受監(jiān)管行業(yè)中甚至更高。
Forslund警告說，“這并不是萬無一失的措施，用戶需要一直加密存儲設(shè)備的數(shù)據(jù)，因?yàn)槿绻谌魏螘r(shí)候開放，就可能會有數(shù)據(jù)泄漏。用戶需要有一個(gè)良好的系統(tǒng)來管理加密密鑰，因此不必?fù)?dān)心丟失可能用于恢復(fù)數(shù)據(jù)的密鑰。”
驗(yàn)證和審核擦除非常重要，即使硬盤的數(shù)據(jù)已被刪除，而管理工具將其標(biāo)記為失敗。Forslund公司估計(jì)，在70%到80%的情況下，廢舊的硬盤可以被擦除到可審核的級別，這意味著數(shù)據(jù)也可以使用正確的工具從中恢復(fù)。
如今，有關(guān)硬盤退役的有效性研究很少，但Moor Insights&Strategy公司高級分析師Steve McDowell表示，通常是流程而不是政策問題。他說：“大多數(shù)IT組織確實(shí)有相關(guān)的政策，但對硬盤和其他設(shè)備進(jìn)行適當(dāng)?shù)那謇砗突厥眨词乖谥贫讼嚓P(guān)政策的情況下，也會沒有很好地實(shí)施或錯(cuò)失。大多數(shù)組織都非常精明，在電腦報(bào)廢之前移除硬盤，但這些硬盤的處置通常只不過是相當(dāng)于垃圾填埋場的電子回收。”
他警告說，“隨著退役的存儲設(shè)備越來越多，其安全處理的問題將超越硬盤驅(qū)動器本身的處理。存儲系統(tǒng)開始使用多個(gè)級別的持久緩存進(jìn)行構(gòu)建，這只會隨著行業(yè)開始部署服務(wù)器級內(nèi)存(例如Intel Optane)等技術(shù)而加速，在這些技術(shù)中，靜態(tài)加密可能不是一個(gè)很好的選擇。”
這些存儲硬件設(shè)備將無法在一段時(shí)間內(nèi)返回廠商或進(jìn)行回收，但高容量和高價(jià)格將使它們正確集成到涵蓋整個(gè)存儲生命周期的資產(chǎn)管理系統(tǒng)中變得更加重要。
京公網(wǎng)安備 11010502049343號