Prominente gegevensredder waarschuwt: juist rond de jaarwisseling kans op datalekken
Wees u bewust van de kans op datalekken. Voor veel bedrijven is de jaarwisseling een goede reden om pc’s en laptops te vervangen en medewerkers te voorzien van nieuwe apparaten. De uitgediende exemplaren worden aan de fabrikant of leverancier geretourneerd of aan de eigen medewerkers geschonken. Wat daarbij vaak onvoldoende wordt gedaan, slordig wordt uitgevoerd of zelfs geheel wordt vergeten, is het op correcte wijze verwijderen van de gegevens die zich op de gegevensdragers bevinden. Uiterst gevoelige bedrijfsgegevens komen zo zeer gemakkelijk in verkeerde handen terecht! Maar ook op de vaste schijven en SSD’s van particulieren bevinden zich vaak gevoelige gegevens die beslist niet op straat mogen komen te liggen.
Gebruikte apparatuur als veroorzakers van datalekken
Juist bij leasecontracten – tegenwoordig is ongeveer 20 procent van de werkplekken met geleasete apparaten uitgerust – worden in het kader van grootschalige systeemmigraties veel nieuwe apparaten aangeschaft. De leasepartners ontvangen de oude apparaten, met vaak onjuist gewiste gegevensdragers, dan retour.
Via omwegen worden de vaste schijven en SSD’s vervolgens niet zelden op verkoopsites als eBay of Marktplaats aangeboden. Robbert Brans, directeur van Attingo Datarecovery, kent deze problematiek als geen ander: “Voor ons onderdelenmagazijn met meer dan 10.000 vaste schijven kopen we ook vaak gebruikte exemplaren. We zijn steeds weer verbaasd hoeveel – deels zeer gevoelige – gegevens daar meestal nog op staan!” Vooral in bijvoorbeeld de gezondheidszorg, de industrie en de publieke sector kan het vérstrekkende gevolgen hebben als gevoelige gegevens in verkeerde handen terechtkomen.
De verantwoordelijken zijn zich vaak niet bewust van het gevaar van datalekken
Het probleem beperkt zich echter niet tot vaste schijven uit pc’s en laptops. Ook in andere apparaten worden gegevens opgeslagen, waaraan bij afvoer of doorverkoop niet of nauwelijks wordt gedacht. Denk aan kopieerapparaten, printers en multifunctionele apparaten, dicteerapparaten en geheugenkaarten met bijvoorbeeld foto’s.
“Het is doorgaans gewoon mogelijk om bedrijfsgevoelige gegevens te achterhalen vanaf losse vaste schijven uit RAID-opslag of servers die bijvoorbeeld als gevolg van fouten of defecten worden vervangen. Vooral kleinere documenten en afzonderlijke gegevenssets uit databases of tabellen kunnen met de juiste vakkennis probleemloos worden geëxtraheerd”, weet Brans.
Attingo Datarecovery reconstrueert gegevens van opzettelijk vernietigde gegevensdragers voor rechtbanken, deskundigen en politie. Vaak is het bij dergelijke gegevensdragers nog mogelijk bruikbare bewijzen te reconstrueren. Juist daarom beschikt Attingo over veel specifieke kennis op het gebied van gegevensverwijdering.
Volledige gegevensverwijdering vrijwel onmogelijk
Gelukkig is gegevensverwijdering niet altijd een ondergeschoven kindje. Ook als dit aspect wél voldoende aandacht krijgt, worden er echter veel fouten gemaakt. Zo worden vaak alleen de gegevens gewist en vervolgens de gegevensdragers geformatteerd. Weinigen zijn zich ervan bewust dat achterhalen van de gegevens dan nog heel goed mogelijk is.
“Gewiste gegevens zijn op de opslagmedia fysiek nog beschikbaar en kunnen worden gereconstrueerd zolang de betroffen sectoren nog niet zijn overschreven”, legt Brans uit. “Vernietiging van de gegevens wordt alleen bereikt door de opslagruimte op de vaste schijf of SSD volledig te overschrijven. Om technische redenen is dit slechts zelden haalbaar.” Gegevensdragers beschikken namelijk over verborgen opslagcapaciteit voor defecte sectoren. Deze verborgen opslag wordt in de meeste gevallen niet vernietigd en kan dus nog worden uitgelezen.
Veel mensen vertrouwen op de belofte van fabrikanten dat gecertificeerde software voor gegevensverwijdering de aanwezige gegevens volledig wist. Attingo Datarecovery heeft echter met eigen scenario’s laten zien dat ook dergelijke software – zelfs testwinnaars in computermagazines – soms nog gegevensfragmenten over het hoofd ziet.
Specifieke problemen doen zich voor bij SSD’s en flashmedia zoals USB-sticks en SD-kaarten. In verband met het zogenaamd ‘wear levelling’ worden op deze gegevensdragers onbewerkte gegevens steeds op andere fysieke adressen opgeslagen. Eenmalige overschrijving met behulp van software is dan niet voldoende.
Juist vernietigd
Welke vernietigingsstrategie de juiste is, hangt af van de veiligheidsbehoefte van de gebruiker en van de gevoeligheid van de gegevens. Toch zijn er enkele algemene voorzorgsmaatregelen die het risico bij verkoop of overdracht van een gebruikte gegevensdrager kunnen verminderen. Een probate maatregel (die vóór de ingebruikname moet worden genomen) is bijvoorbeeld toepassing van ‘Full disc encryption’: versleuteling van het volledige geheugen voorafgaand aan het eerste gebruik. Verder is het overschrijven van de gegevensdrager, bijvoorbeeld met alleen maar nullen, een absolute must voordat het apparaat aan derden wordt overgedragen. Het idee dat meervoudig overschrijven van een vaste schijf de veiligheid verhoogt, is echter een mythe. Als de gegevensdrager gevoelige gegevens bevat, is het ook na correct wissen raadzaam om over te gaan tot mechanische vernietiging, zodat de kans op een gegevenslek tot het absolute minimum wordt beperkt. Een laatste tip van Robbert Brans: “Het begin van het jaar is de tijd voor goede voornemens. Geef in 2017 daarom niet alleen aandacht aan gegevensbeveiliging, maar denk ook eens na over gegevensvernietiging! Neem voor deskundig advies over gegevensvernietiging contact op met Attingo. Natuurlijk kunnen wij ook uw gewiste gegevensdragers voor u verifiëren.”
