Dataverwijdering vs Datavernietiging: welke norm past bij uw bedrijf
Dataverwijdering en een schijf wissen zijn niet automatisch hetzelfde. Twee internationale normen bepalen wanneer dataverwijdering aantoonbaar onherstelbaar is, en welke daarvan van toepassing is op uw apparatuur.
Dataverwijdering klinkt als een eenvoudige stap: even formatteren en klaar. In de praktijk is dat net waar het weleens kan mislopen.
Een factory reset, het formatteren van een schijf of het verwijderen van bestanden, doen allemaal één ding: het maakt data onzichtbaar voor een gewone gebruiker. Het maakt data niet onherstelbaar voor wie er met de juiste tools naar zoekt.
Correcte dataverwijdering vereist een methode die dat verschil overbrugt, en die methode is vastgelegd in twee internationale normen.
NIST 800-88: dataverwijdering op werkende opslagmedia
NIST 800-88 is de internationale referentie voor dataverwijdering op harde schijven, SSD's en andere opslagmedia. De norm behandelt verschillende niveaus (clear, purge, destroy), afhankelijk van hoe gevoelig de data is en hoe hoog het risico van het toestel ingeschat wordt. Voor het overgrote deel van bedrijfsapparatuur (gsm's, laptops, tablets, servers) is dit de norm die van toepassing is zolang het opslagmedium nog functioneert. Wie op deze manier data verwijdert, behoudt dan ook de restwaarde van het toestel.
DIN 66399: wanneer dataverwijdering niet volstaat
DIN 66399 regelt het andere geval: fysieke vernietiging, zoals shredding, wanneer wissen niet mogelijk of niet voldoende is, bijvoorbeeld bij een defect toestel of wanneer het risiconiveau van de data het vereist. De norm legt exacte deeltjesgroottes vast per veiligheidsniveau, zodat ook vernietiging zelf meetbaar en controleerbaar blijft.
Het verschil met NIST 800-88 is fundamenteel: vernietiging behoudt geen restwaarde, en is dus enkel de juiste keuze wanneer dataverwijdering via wissen geen optie meer is.
Waarom "gewist" geen bewijs is van correcte dataverwijdering
Een factory reset, een snelle formattering of het manueel verwijderen van bestanden geeft het gevoel dat data weg is. Voor wie met de juiste tools zoekt, is dat vaak niet zo. Dat onderscheid is exact waar de AVG-verplichting rond dataverwijdering op steunt: een organisatie moet niet alleen wissen, maar ook kunnen aantonen dat dit onherstelbaar en volgens een erkende norm gebeurde.
Dataverwijdering bij Brainscape: per traject de juiste norm
Bij Brainscape bepalen we per traject welke norm van toepassing is op dataverwijdering: NIST 800-88 wanneer het toestel nog waarde heeft voor hergebruik, DIN 66399 wanneer fysieke vernietiging de enige verantwoorde optie is. Elk traject wordt afgesloten met een certificaat per toestel, zodat uw organisatie niet enkel weet dat er gewist is, maar ook kan aantonen hoe.
Benieuwd welke norm van toepassing is op uw apparatuur? Neem contact op met Brainscape voor een dataverwijdering-traject op maat.
Bronnen:
NIST Special Publication 800-88 Rev. 1, "Guidelines for Media Sanitization" — NIST Computer Security Resource Center
Veelgestelde vragen
Wat is het verschil tussen dataverwijdering en datavernietiging?
Dataverwijdering betekent dat data onherstelbaar overschreven wordt terwijl het toestel zelf bruikbaar blijft. Datavernietiging betekent dat het toestel zelf fysiek vernietigd wordt, samen met alles wat erop staat.
Volstaat een factory reset als dataverwijdering?
Nee. Een factory reset of het formatteren van een schijf maakt data onzichtbaar voor een gewone gebruiker, maar niet onherstelbaar voor wie er met gespecialiseerde tools naar zoekt.
Welke norm geldt voor dataverwijdering bij bedrijfsapparatuur?
Voor werkende opslagmedia zoals harde schijven, SSD's en smartphones is dat doorgaans NIST 800-88. De norm bepaalt het niveau van wissen op basis van het risico van de data en het toestel.
Wanneer is datavernietiging nodig in plaats van dataverwijdering?
Wanneer wissen niet mogelijk is, bijvoorbeeld bij een defect toestel, of wanneer het risiconiveau van de data fysieke vernietiging vereist. DIN 66399 legt vast hoe die vernietiging moet gebeuren.
Is een certificaat verplicht bij dataverwijdering volgens de AVG?
De AVG vereist dat een organisatie kan aantonen dat persoonsgegevens correct en onherstelbaar verwijderd zijn. Een certificaat per toestel is de gangbare manier om dat te bewijzen bij een controle.
