Saltar al contenido
06 · Especializados06 · Specialised

Sanitización y Destrucción Certificada de MediosCertified Media Sanitisation and Destruction

Borrado seguro y destrucción de soportes con certificado.Secure erasure and destruction of storage media with certificate.

NIST SP 800-88NIST SP 800-88 Servicios verticales para riesgos específicosVertical services for specific risks

¿Qué es este servicio?What is this service?

Es el borrado seguro o la destrucción física de los soportes que salen del control de la organización: discos de equipos dados de baja, cintas, unidades de estado sólido, teléfonos y arreglos de servidores devueltos al arrendador. Se aplica un método acorde a la sensibilidad del dato y se entrega un certificado con el número de serie de cada soporte tratado.

Secure erasure or physical destruction of media leaving the control of the organisation: disks from decommissioned equipment, tapes, solid state drives, phones and server arrays returned to the lessor. The method matches the sensitivity of the data, and a certificate is issued listing the serial number of every unit processed.

¿Para qué se usa?What is it used for?

Evita que la información de la organización aparezca en el disco que alguien compró de segunda mano. Formatear no borra nada, y el reciclador que se llevó veinte equipos en una tarima no rinde cuentas de qué hizo con ellos. Lo que pesa, y lo que se pide en una auditoría o en un reclamo, no es el borrado en sí: es el certificado que indica qué número de serie se destruyó, cuándo y con qué método.

It keeps the information of the organisation off the second-hand disk somebody just bought. Formatting erases nothing, and the recycler who took twenty machines away on a pallet will not account for what happened to them. What counts, and what is requested in an audit or a claim, is not the wiping itself: it is the certificate stating which serial number was destroyed, when and by what method.

Qué beneficios traeBenefits it delivers

  • Cierra una fuga de datos que no deja rastro: el soporte se va y nadie se entera hasta que la información aparece publicada.
  • El certificado por número de serie es la evidencia que cierra el punto en auditoría y sirve ante un reclamo.
  • Distingue entre borrar para reutilizar y destruir para descartar, que no son lo mismo ni cuestan lo mismo.
  • Trata correctamente las unidades de estado sólido, donde los métodos que funcionaban con discos mecánicos simplemente no aplican.
  • Closes a data leak that leaves no trace: the media walks out and nobody knows until the information turns up published.
  • The certificate by serial number is the evidence that closes the point in an audit and holds up in a claim.
  • Distinguishes wiping for reuse from destroying for disposal, which are neither the same thing nor the same cost.
  • Handles solid state drives properly, where the methods that worked on mechanical disks simply do not apply.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay una norma costarricense que imponga un método concreto de destrucción.
  • La Ley 8968 exige medidas de seguridad sobre los datos personales durante todo su tratamiento, y el descarte del soporte forma parte de ese ciclo: el dato no deja de ser responsabilidad de la organización porque el equipo salió del inventario.
  • En entidades supervisadas, la baja de activos con información sensible entra en la gestión de activos que ordena el Acuerdo CONASSIF 5-24, que además incorporó una tabla de activos de información al perfil tecnológico.
  • No Costa Rican rule imposes a specific destruction method.
  • Law 8968 requires security measures over personal data throughout its processing, and media disposal is part of that cycle: the data does not stop being the responsibility of the organisation because the machine left the inventory.
  • In supervised entities, decommissioning assets holding sensitive information falls under the asset management required by CONASSIF Agreement 5-24, which also added an information assets table to the technology profile.

InternacionalInternational

  • La referencia técnica del sector es NIST SP 800-88, que define los tres niveles de sanitización y cuándo corresponde cada uno.
  • PCI-DSS exige destruir los datos de tarjeta cuando ya no se necesitan, de forma que no se puedan reconstruir.
  • ISO 27001 exige tratar los soportes en su eliminación y reutilización, y verificar que la información ya no es recuperable.
  • The sector technical reference is NIST SP 800-88, which defines the three sanitisation levels and when each applies.
  • PCI-DSS requires cardholder data to be destroyed when no longer needed, so it cannot be reconstructed.
  • ISO 27001 requires media to be handled on disposal and reuse, and verification that the information is no longer recoverable.

Requisitos mínimosMinimum requirements

  • Un inventario de los soportes con su número de serie: sin eso el certificado no acredita nada concreto.
  • La clasificación de lo que contenían, para decidir si corresponde borrar o destruir físicamente.
  • Custodia y traslado controlados hasta el punto de tratamiento, con registro de quién tuvo el soporte en cada tramo.
  • Definir si el proceso se hace en las instalaciones del cliente con testigo o en las del proveedor. Para datos sensibles, en sitio y con testigo.
  • An inventory of the media with serial numbers: without it the certificate proves nothing specific.
  • The classification of what they held, to decide whether wiping or physical destruction applies.
  • Controlled custody and transport to the processing point, recording who held the media at each stage.
  • Deciding whether the process happens on the client premises with a witness or at the provider site. For sensitive data, on site and witnessed.

Plazo típico de entregaTypical delivery time

1 a 4 semanas 1 to 4 weeks rango habitual del mercado usual market range

El rango habitual va de una a cuatro semanas según el volumen. Un lote pequeño se resuelve en días. Lo que estira el plazo no suele ser el tratamiento sino el inventario previo: levantar el número de serie de doscientos equipos que llevan años en una bodega toma más tiempo que destruirlos. El borrado por software además es lento en discos grandes.

The usual range runs from one to four weeks depending on volume. A small batch is done in days. What stretches the timeline is rarely the processing but the prior inventory: recording serial numbers for two hundred machines that have sat in a store room for years takes longer than destroying them. Software-based wiping is also slow on large disks.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

NIST SP 800-88NIST SP 800-88
La guía internacional de referencia para sanitizar medios, con sus tres niveles según el destino del soporte. The international reference guide for media sanitisation, with three levels according to where the media ends up.
Clear · Purge · DestroyClear · Purge · Destroy
Los tres niveles: sobrescribir para reutilizar dentro de la organización, borrado profundo para salir de ella, y destrucción física cuando no hay margen de error. The three levels: overwrite for internal reuse, deep erasure before it leaves the organisation, and physical destruction when there is no margin for error.
Certificado de destrucciónCertificate of destruction
Documento que acredita qué soporte, identificado por número de serie, se trató, cuándo, con qué método y quién lo hizo. A document certifying which unit, identified by serial number, was processed, when, by what method and by whom.
DesmagnetizaciónDegaussing
Borrar un disco mecánico con un campo magnético intenso. No funciona en unidades de estado sólido, y ahí está el error más común. Erasing a mechanical disk with a strong magnetic field. It does not work on solid state drives, and that is the most common mistake.
Borrado criptográficoCryptographic erasure
Destruir la clave de cifrado del disco para dejar el contenido inservible. Solo vale si el soporte estaba cifrado desde el principio. Destroying the disk encryption key to leave the content useless. It only works if the media was encrypted from the outset.