En esta ocasión el miedo está justificado: ¡Tus datos están al alcance de todos!

Hoy en día, todos somos conscientes de la dependencia que tenemos de nuestros datos y por consiguiente de la necesidad de protegerlos contra todo tipo de vulnerabilidades, robos, ataques virtuales, etc. En algunos casos esta convicción se transforma en preocupación y motiva la dotación de impresionantes partidas presupuestarias que, aunque duela admitirlo, nunca son suficientes para cerrar el utópico círculo de la seguridad que tanto ansiamos.

Antivirus, firewalls, encriptación, claves, contraseñas… Éstas son sólo algunas de las medidas que administraciones públicas, empresas y usuarios finales aplican para garantizar la protección de los datos de sus equipos en su uso diario. Pero, ¿qué ocurre con nuestros ordenadores, portátiles y servidores cuando dejamos de utilizarlos? ¿Nuestros datos continúan protegidos? La realidad es que las políticas de seguridad que aplicamos para proteger la información almacenada en nuestros equipos tienen importantes “lagunas”. En ocasiones, estos vacíos de seguridad pueden poner en peligro nuestros datos y, lo peor de todo, cuando menos nos lo imaginamos.

Y es que, una de las carencias más graves de seguridad de los datos, tiene su origen en el momento que los equipos informáticos abandonan sus centros de trabajo por cualquier causa (averías, renovación de parque informático, actualizaciones de hardware,...) Algunos de nosotros conocemos perfectamente este riesgo por lo que, a la hora de deshacernos de nuestros equipos, buscamos proveedores especializados. Pero en el momento que la custodia de nuestros equipos pasa a estos proveedores, ¿podemos asegurar que no se comercializarán a terceros sin borrar previamente de forma segura y definitiva los datos e informaciones contenidos en los mismos?

Eliminamos todos los documentos, vaciamos la papelera de reciclaje, formateamos el disco duro y ya tenemos la completa sensación de que nadie más tendrá acceso a nuestros antiguos secretos. La realidad es muy distinta, ya que ninguna de estas acciones elimina los datos del disco duro. Para comprenderlo de una manera sencilla, es necesario saber cómo se almacena la información en un disco duro.

Los sistemas operativos almacenan la información dentro del disco duro en archivos. En el momento de la grabación de cada archivo, se guarda su ubicación en una base de datos que llamaremos “tabla de asignación”. Para ponerlo de una manera simple, esta “tabla de asignación” es el índice que utiliza el sistema operativo para encontrar los archivos dentro del disco. Cuando ejecutamos el comando borrar sobre cualquier documento, el sistema operativo elimina de la “tabla de asignación” su ubicación, y asigna dicha localización como disponible para almacenar nuevos archivos. Pero hasta que no se sobrescriba sobre esa misma localización, el contenido del documento se encuentra intacto en el disco duro. Por tanto, al formatear el dispositivo, la “tabla de asignación” mostrará que el disco se encuentra totalmente libre, pero lo único que se ha hecho es preparar el disco para almacenar futura información,conservando todos los archivos intactos. La consecuencia es que estos archivos pueden ser fácilmente recuperados, entre otras formas, a través de herramientas informáticas bastantes sencillas. E incluso gratuitas disponibles en internet.

Por este motivo, al deshacerse de equipos a los que sólo se les ha realizado un formateo del disco, o se han eliminado los datos, las empresas no sólo están poniendo en peligro su integridad y su imagen, sino que también están incumpliendo la normativa vigente con respecto a la protección de datos. En el caso de España, la Ley Orgánica de Protección de Datos (LOPD), establece varios niveles de seguridad de obligatorio cumplimiento en función del tipo de información de los usuarios que se está manejando. Por ejemplo, en el nivel medio, para datos sobre infracciones, informaciones fiscales o financieras, contratos empresariales o informaciones laborales, la ley exige un registro de entrada y salida de soportes y, además, exige que tantoempresas públicas como privadas implementen medidas prácticas y confiables para impedir recuperación de información en soportesreutilizados, reciclados o que salgan como consecuencia de mantenimiento.

Casos reales

Un estudio publicado por dos estudiantes del MIT (Massachusetts Institute of Technology), en enero de 2003, y realizado a partir de discos duros procedentes de subastas en Internet y tiendas de segunda mano reveló que: de un total de 158 discos duros, de los cuales 129 aún operativos, fue posible recuperar información de 69. De éstos, 49 contenía información privada o confidencial cómo datos médicos, cartas de amor, pornografía e informaciones de más de 5.000 números de tarjetas de crédito. Conclusiones similares se obtuvieron del estudio realizado por la compañía BT y universidades de Reino Unido, Australia y EE.UU.

Al final, ¿qué podemos hacer?

Ahora que todos somos conscientes de que ni el borrado simple de archivos ni el formateo del disco duro imposibilitan una futura recuperación de datos, puedo afirmar, sin miedo a equivocarme, que para garantizar la eliminación definitiva de la información contenida en un disco duro existen dos métodos: la sobrescritura de los datos o la destrucción física del soporte. Por lo tanto, la única vía para la reutilización de equipos con total seguridad, consiste en llevar a cabo unproceso de borrado seguro sobre el dispositivo, basado en la sobrescritura de los datos.

Desafortunadamente a día de hoy en el mercado internacional existen pocos recursos de calidad que resuelvan esta cuestión. Por ello, a la hora de elegir una solución de borrado seguro de datos, es fundamental considerar multitud de factores. Uno de los principales es ¿qué compañía ha desarrollado el software de borrado? Sólo aquellas compañías con amplia experiencia en el sector de la seguridad informática y que cuenten con profesionales expertos en recuperación de datos pueden garantizar la eliminación definitiva de la información y la imposibilidad de recuperación de la misma. Además debemos tener en cuenta que la solución de borrado debe cumplir con las normas más estrictas de seguridad, como las prescripciones técnicas de CNI y, es recomendable que dicho software emita un documento o informe que nos permita mantener un control exhaustivo de los borrados realizados sobre los soportes.

Finalmente, es primordial que seamos conscientes de la magnitud del problema que puede suponer un robo de identidad o la fuga de datos confidenciales de una empresa. Y es que, aunque para algunos la utilización de un software de borrado seguro de datos, no es una de las soluciones de seguridad más necesarias, sería una ironía imaginarnos que en la fase de renovación de equipos informáticos, descuidemos la información crítica que tanto tiempo y dinero nos ha costado conservar.

Fernando Fumagalli, director de marketing y mercados internacionales de Recovery Labs.