آموزش حذف دائمی و امن اطلاعات از روی SSD

راهنمای NIST SP 800-88 پاک‌سازی رسانه را به سه نتیجه عملی «Clear»، «Purge» و «Destroy» تقسیم می‌کند. این طبقه‌بندی به‌جای تکیه بر نام یک نرم‌افزار، بررسی می‌کند مهاجم با چه توان و هزینه‌ای ممکن است داده را بازیابی کند.

بنابراین سازمان می‌تواند روش پاک‌سازی را با ارزش اطلاعات، وضعیت دستگاه و مقصد بعدی آن هماهنگ کند و تصمیمی قابل دفاع داشته باشد.

سطح Clear برای جلوگیری از بازیابی داده با ابزارهای معمول نرم‌افزاری در نظر گرفته شده است. بازنشانی منطقی یا بازنویسی فضای قابل‌دسترسی ممکن است در برخی سناریوها این سطح را تأمین کند، اما درباره SSD نمی‌توان آن را معادل پاک‌شدن سلول‌های مخفی، بلوک‌های جایگزین‌شده یا فضای رزرو دانست.

به همین دلیل Clear معمولاً برای واگذاری تجهیزات کم‌ریسک درون یک محیط کنترل‌شده مناسب‌تر است.

سطح Purge مقاومت بیشتری در برابر روش‌های آزمایشگاهی بازیابی ایجاد می‌کند. در SSD سالم، فرمان‌های داخلی و تأییدشده سازنده مانند Sanitize، Block Erase یا پاک‌سازی رمزنگاری‌شده می‌توانند در این گروه قرار بگیرند.

انتخاب فرمان باید بر اساس استاندارد رابط، قابلیت واقعی مدل و مستندات سازنده انجام شود؛ وجود گزینه‌ای با نام مشابه در یک ابزار عمومی، به‌تنهایی اثبات‌کننده اجرای صحیح نیست.

سطح Destroy زمانی مطرح می‌شود که رسانه خراب است، فرمان پاک‌سازی را پشتیبانی نمی‌کند یا اطلاعات آن به‌اندازه‌ای حساس است که استفاده مجدد پذیرفتنی نیست. در این سطح هدف، غیرقابل‌استفاده‌کردن تراشه‌های حافظه است.

پس از نابودی فیزیکی، SSD دیگر قابلیت فروش، تعمیر یا استفاده مجدد ندارد و باید از مسیر مجاز پسماند الکترونیکی خارج شود.

این چارچوب میان «اجرای فرمان»، «تأیید اجرا» و «اعتبارسنجی نتیجه» تفاوت می‌گذارد. ثبت وضعیت موفق فرمان و گزارش کنترلر، تأیید فنی محسوب می‌شود؛ اعتبارسنجی نیز بررسی می‌کند که روش انتخاب‌شده با طبقه‌بندی داده و سیاست سازمان سازگار بوده است.

خواندن چند سکتور صفرشده نمی‌تواند به‌تنهایی نبود داده در تمام تراشه‌های NAND را ثابت کند.

فرم ثبت عملیات بهتر است مدل و شماره سریال SSD، شناسه دارایی، سطح موردنظر، فرمان اجراشده، زمان شروع و پایان، نتیجه گزارش‌شده و نام مسئول را شامل شود. اگر عملیات شکست خورده است، خطا باید بدون تغییر ثبت و دستگاه قرنطینه شود.

پاک‌سازی ناقص نباید با اجرای موفق یا گواهی قطعی امحا اشتباه گرفته شود.

برای استفاده عملی از NIST، ابتدا طبقه‌بندی اطلاعات و مقصد SSD مشخص می‌شود؛ سپس روش مجاز برای همان مدل انتخاب و شواهد اجرا نگهداری می‌شود.

این رویکرد، پاک‌سازی را از یک اقدام فنی پراکنده به فرایندی قابل ممیزی تبدیل می‌کند و در اختلافات حقوقی، رخدادهای امنیتی یا ارزیابی پیمانکاران، مدرک روشن‌تری در اختیار سازمان قرار می‌دهد.

PSID Revert قابلیتی در برخی SSDهای خودرمزنگار مبتنی بر استانداردهایی مانند TCG Opal است. این قابلیت زمانی کاربرد دارد که تنظیمات امنیتی درایو فعال شده، اما رمز مدیر، کلید مدیریتی یا اطلاعات نرم‌افزار کنترل‌کننده دیگر در دسترس نیست.

در چنین وضعیتی، PSID می‌تواند مالکیت امنیتی درایو را به حالت کارخانه بازگرداند؛ با این هزینه که تمام داده‌های ذخیره‌شده از دست می‌روند.

در بسیاری از درایوهای سازگار، داده‌ها همواره با یک کلید داخلی رمز می‌شوند. اجرای موفق PSID Revert تنظیمات امنیتی و کلیدهای مرتبط را بازنشانی می‌کند و محتوای قبلی را بدون کلید معتبر باقی می‌گذارد.

بااین‌حال، رفتار دقیق به پیاده‌سازی سازنده وابسته است و نباید فرض کرد هر SSD دارای رمزگذاری سخت‌افزاری، فرمان PSID یا نتیجه امنیتی یکسانی ارائه می‌دهد.

کد PSID معمولاً رشته‌ای طولانی است که روی برچسب فیزیکی SSD چاپ می‌شود و از داخل سیستم‌عامل قابل استخراج نیست. حروف مشابه مانند صفر و O یا یک و I می‌توانند باعث خطا شوند.

پیش از نصب درایو داخل دستگاه، بهتر است تصویری خوانا از برچسب تهیه شود؛ البته این تصویر باید مانند یک داده امنیتی محافظت و پس از پایان فرایند حذف شود.

برای اجرای فرمان، SSD معمولاً باید با اتصال مستقیم SATA یا NVMe در دسترس باشد. بسیاری از قاب‌های USB، داک‌ها و مبدل‌ها فرمان‌های امنیتی لازم را عبور نمی‌دهند. وجود BitLocker، FileVault یا رمزگذاری نرم‌افزاری نیز جایگزین پشتیبانی سخت‌افزاری درایو نیست.

مدل دقیق، نسخه Firmware و قابلیت TCG باید ابتدا از مستندات رسمی سازنده بررسی شود.

PSID Revert با NVMe Sanitize یا ATA Secure Erase یکسان نیست. هدف اصلی آن بازیابی کنترل یک درایو قفل‌شده و بازنشانی زیرسامانه امنیتی است، نه ارائه یک فرمان عمومی برای تمام SSDها. اگر درایو قفل نیست، ممکن است سازنده روش دیگری را توصیه کند.

همچنین پاک‌شدن موفق کلید داخلی باید با معماری رمزگذاری همان مدل سازگار باشد.

پس از ثبت شماره سریال و دریافت مجوز، باید ابزار رسمی یا راهکار موردتأیید سازنده استفاده شود. کد PSID فقط برای همان درایو وارد می‌شود و عملیات نباید هنگام قطع برق، ناپایداری اتصال یا اجرای هم‌زمان برنامه‌های مدیریت دیسک آغاز شود.

هر پیام خطا اهمیت دارد؛ تکرار کورکورانه فرمان ممکن است تشخیص وضعیت نهایی را دشوار کند.

پس از بازنشانی، درایو باید به‌عنوان یک رسانه خالی و مقداردهی‌نشده ظاهر شود و تنظیمات مالکیت قبلی دیگر فعال نباشد. گزارش ابزار، نسخه Firmware، زمان اجرا و نتیجه آزمایش شناسایی مجدد باید ثبت شود.

اگر سازنده PSID Revert را به‌عنوان روش قابل‌قبول پاک‌سازی تأیید نکرده است، نباید صرفاً بر اساس ناپدیدشدن پارتیشن‌ها گواهی امحای داده صادر کرد.

SSD خراب می‌تواند همچنان حاوی داده سالم باشد، حتی اگر سیستم‌عامل آن را نمایش ندهد. خرابی کابل، رابط، Firmware، کنترلر یا مدار تغذیه لزوماً به معنای ازبین‌رفتن محتوای NAND نیست.

بنابراین هر رسانه معیوب باید تا زمان پاک‌سازی تأییدشده یا نابودی فیزیکی، مانند یک نسخه کامل از اطلاعات حساس نگهداری شود و برچسب «خراب» نباید باعث کاهش کنترل‌های امنیتی شود.

اگر SSD به‌صورت ناپایدار شناسایی می‌شود، ابتدا باید هدف مشخص باشد: بازیابی اطلاعات یا امحای آن. تلاش هم‌زمان برای این دو هدف می‌تواند نتیجه را مبهم کند.

در سناریوی امحا، اجرای فرمان رسمی سازنده فقط زمانی منطقی است که ارتباط مستقیم، برق پایدار و فرصت کافی برای پایان عملیات وجود داشته باشد. قطع‌شدن درایو در میانه کار باید به‌عنوان پاک‌سازی ناموفق ثبت شود.

وقتی BIOS، UEFI یا ابزار مدیریت سخت‌افزار نیز SSD را تشخیص نمی‌دهد، نرم‌افزارهای حذف فایل هیچ دسترسی مؤثری به تراشه‌ها ندارند. ساخت پارتیشن جدید، فرمت‌کردن یک دیسک همنام یا پاک‌کردن تنظیمات سیستم، وضعیت آن رسانه را تغییر نمی‌دهد.

پیش از هر اقدامی باید شماره سریال و محل فیزیکی درایو کنترل شود تا رسانه دیگری به‌اشتباه پاک نشود.

بازیابی آزمایشگاهی از SSD معیوب دشوار است، اما همیشه ناممکن نیست. متخصصان ممکن است کنترلر را تعمیر کنند، اجزای برد را جایگزین کنند یا در شرایط خاص سراغ خواندن تراشه‌ها بروند.

رمزگذاری داخلی، درهم‌ریزی داده و نگاشت اختصاصی کنترلر موانع مهمی هستند، ولی سیاست امنیتی نباید بر این فرض بنا شود که مهاجم حتماً شکست می‌خورد.

برای اطلاعات حساس، SSD شناسایی‌نشده معمولاً نامزد قرنطینه و نابودی کنترل‌شده است. تا زمان تعیین تکلیف، رسانه باید در بسته‌بندی ضدالکتریسیته ساکن و محفظه دارای کنترل دسترسی نگهداری شود.

شماره دارایی، علت خرابی، آخرین میزبان، نوع اطلاعات و تمام تلاش‌های انجام‌شده نیز ثبت می‌شوند تا وضعیت آن در انبار تجهیزات گم نشود.

ارسال SSD خراب برای گارانتی یک تصمیم امنیتی است، نه صرفاً فرایندی فنی. تعویض درایو ممکن است مستلزم تحویل همان رسانه به فروشنده یا مرکز تعمیر باشد.

برای داده‌های حساس باید گزینه‌هایی مانند خدمات نگهداری رسانه نزد مشتری، گارانتی بدون بازگشت درایو یا نابودی با تأیید فروشنده از قبل در قرارداد خرید پیش‌بینی شود.

در پایان، نتیجه باید یکی از سه وضعیت روشن باشد: پاک‌سازی موفق و مستند، نابودی فیزیکی و مستند، یا قرنطینه به علت نامشخص‌بودن نتیجه. عبارت‌هایی مانند «احتمالاً سوخته است» یا «دیگر بالا نمی‌آید» مدرک امحا نیستند.

قطعات باقی‌مانده نیز باید به بازیافت‌کننده مجاز تحویل داده شوند تا ریسک امنیتی با آلودگی محیط‌زیستی جایگزین نشود.

در RAID یا NAS، حذف یک Volume فقط ساختار منطقی آرایه را تغییر می‌دهد و داده را از تمام رسانه‌های عضو پاک نمی‌کند. قطعات فایل، بلوک‌های تکراری و اطلاعات Parity ممکن است روی چند SSD پراکنده باشند.

حتی اگر یک عضو به‌تنهایی فایل کامل را نشان ندهد، باید آن را حامل داده حساس دانست؛ زیرا ترکیب آن با اطلاعات فنی آرایه می‌تواند بازیابی را ممکن کند.

نخستین مرحله، تهیه فهرست کامل رسانه‌هاست. این فهرست باید SSDهای اصلی، Hot Spare، حافظه کش، درایوهای Tiering، دیسک بوت و ماژول‌های قابل‌تعویض را پوشش دهد. برخی تجهیزات، نوشتن‌های موقت یا Journal را روی SSD کوچکی نگه می‌دارند که در نمای معمول Volume دیده نمی‌شود.

جاافتادن همین قطعه می‌تواند کل فرایند امحا را ناقص کند.

پیش از خارج‌کردن درایوها، ارتباط شماره سریال هر SSD با Bay، Pool و شناسه دارایی باید ثبت شود. برچسب‌گذاری دقیق مانع از جابه‌جایی رسانه پاک‌شده و پاک‌نشده می‌شود.

پس از خاموش‌سازی مطابق دستور سازنده، هر عضو باید جداگانه ارزیابی شود؛ زیرا کنترلر RAID یا محفظه USB ممکن است فرمان‌های امنیتی ATA و NVMe را عبور ندهد.

در RAID 0، بخش‌های هر فایل میان اعضا تقسیم می‌شوند؛ در RAID 1 نسخه‌های کامل یا نزدیک به کامل وجود دارد؛ و در RAIDهای Parity نیز بلوک داده و اطلاعات بازسازی توزیع می‌شود. ازاین‌رو، پاک‌کردن چند عضو منتخب روش مطمئنی نیست.

تمام اعضای فعال، خارج‌شده، معیوب و یدکی مرتبط با دوره نگهداری اطلاعات باید تعیین تکلیف شوند.

اگر سامانه از رمزگذاری در سطح آرایه استفاده می‌کند، محل نگهداری کلیدها اهمیت دارد. کلید ممکن است در کنترلر، TPM، سرور مدیریت، فایل پشتیبان یا سامانه نگهداری کلید سازمانی ثبت شده باشد. حذف یک کلید محلی، در صورت وجود نسخه بازیابی، الزاماً دسترسی را از بین نمی‌برد.

سیاست امحا باید چرخه کامل کلید و نسخه‌های امانی را پوشش دهد.

NASها معمولاً Snapshot، Replica، سطل بازیافت شبکه و نسخه پشتیبان خارج از دستگاه دارند. پاک‌سازی SSDهای داخل NAS، این کپی‌ها را حذف نمی‌کند. پیش از صدور گواهی باید محدوده عملیات صریحاً مشخص شود: رسانه فیزیکی، داده منطقی، نسخه‌های تکثیرشده یا همه آن‌ها.

هر سامانه تابع دوره نگهداری و مجوز حذف مخصوص خود است.

گزارش نهایی باید برای هر شماره سریال، روش، نتیجه و استثنا را جداگانه نشان دهد. شمار SSDهای پردازش‌شده باید با موجودی اولیه و سوابق Bayها تطبیق داده شود.

اگر یک عضو مفقود، شناسایی‌نشده یا پاک‌سازی‌نشده باشد، کل پرونده نباید «تکمیل‌شده» اعلام شود؛ بلکه آن عضو باید به‌عنوان ریسک باز و قابل پیگیری باقی بماند.

امنیت SSD پس از خروج از رایانه فقط به روش فنی پاک‌سازی وابسته نیست. اگر رسانه در مسیر انبار، تعمیرگاه یا پیمانکار جابه‌جا شود، نبود زنجیره تحویل می‌تواند بهترین عملیات امحا را نیز زیر سؤال ببرد.

زنجیره تحویل نشان می‌دهد چه شخصی، در چه زمان و مکانی، با چه مجوزی و برای چه هدفی رسانه را در اختیار داشته است.

فرایند از موجودی‌برداری آغاز می‌شود. شماره سریال، مدل، ظرفیت، شناسه دارایی، دستگاه میزبان، مالک سازمانی و طبقه‌بندی داده باید ثبت شوند. اتکا به برچسب کاغذی به‌تنهایی کافی نیست؛ زیرا ممکن است جدا یا جابه‌جا شود. بهتر است شماره حک‌شده سازنده با اطلاعات Firmware و سامانه مدیریت دارایی تطبیق داده شود.

هر انتقال باید تحویل‌دهنده، تحویل‌گیرنده، زمان، محل و وضعیت مهر بسته را مشخص کند. برای تعداد زیاد SSD می‌توان از ظروف مقاوم و پلمب‌های شماره‌دار استفاده کرد. اگر پلمب آسیب دیده یا تعداد اقلام با صورت‌جلسه متفاوت است، عملیات باید متوقف و مغایرت بررسی شود.

ثبت دیرهنگام اطلاعات از روی حافظه کارکنان، اعتبار زنجیره را کاهش می‌دهد.

در محیط‌های حساس، جداسازی وظایف مفید است: یک نفر موجودی را تأیید می‌کند، فرد دیگری عملیات را اجرا می‌کند و مسئول مستقلی نتیجه را بازبینی می‌کند. برای نابودی فیزیکی نیز مشاهده مستقیم یا ثبت تصویری کنترل‌شده می‌تواند لازم باشد.

تصاویر نباید شماره سریال، اطلاعات مشتریان یا جزئیات امنیتی را بدون محدودیت دسترسی منتشر کنند.

گواهی امحا باید دقیق‌تر از جمله «دیسک‌ها پاک شدند» باشد. نام سازمان، شناسه یکتای گواهی، مشخصات هر SSD، روش و سطح پاک‌سازی، ابزار یا دستگاه مورد استفاده، تاریخ، نتیجه، نام اپراتور و تأییدکننده از اجزای اصلی هستند.

خطاها و رسانه‌های استثنا باید در همان پرونده درج شوند، نه اینکه برای کامل به‌نظررسیدن گزارش حذف شوند.

در برون‌سپاری، قرارداد باید مسئولیت حمل، محل پردازش، استفاده یا عدم استفاده از پیمانکار فرعی، زمان انجام، گزارش رخداد و سرنوشت پسماند را تعیین کند.

ادعای کلی درباره رعایت استاندارد کافی نیست؛ نمونه گواهی، روش کنترل شماره سریال، سوابق نگهداری تجهیزات و امکان ممیزی باید پیش از تحویل رسانه بررسی شوند.

مدارک امحا باید مطابق الزامات حقوقی و سیاست نگهداری سوابق حفظ شوند. دسترسی به آن‌ها نیز محدود باشد، زیرا فهرست تجهیزات می‌تواند اطلاعات زیرساختی ارزشمندی افشا کند.

یک پرونده کامل امکان می‌دهد سازمان ثابت کند هر رسانه چه مسیری را طی کرده، چه نتیجه‌ای داشته و چه کسی استثناهای باقی‌مانده را تا بسته‌شدن نهایی پیگیری کرده است.

امحای فیزیکی زمانی انتخاب می‌شود که SSD فرمان پاک‌سازی را اجرا نمی‌کند، وضعیت آن نامشخص است یا سیاست امنیتی استفاده مجدد را ممنوع می‌داند. هدف، آسیب ظاهری به قاب نیست؛ رسانه باید به شکلی تغییر کند که بازیابی داده با تعمیر برد یا انتقال قطعات عملی نباشد.

این روش برگشت‌ناپذیر است و ارزش گارانتی و استفاده مجدد دستگاه را از بین می‌برد.

داده اصلی در بسته‌های حافظه NAND قرار دارد. کنترلر، حافظه موقت و Firmware برای تفسیر داده مهم‌اند، اما نابودکردن کنترلر به‌تنهایی سلول‌های حافظه را از بین نمی‌برد. متخصص می‌تواند در برخی مدل‌ها کنترلر مشابه تهیه کند یا اجزای سالم را بررسی کند.

بنابراین برنامه نابودی باید محل و تعداد تمام تراشه‌های NAND روی هر دو سمت برد را در نظر بگیرد.

سوراخ‌کردن یک نقطه از قاب یا شکستن کانکتور تضمین مناسبی نیست. مته ممکن است از کنار تراشه‌ها عبور کند و بخش بزرگی از حافظه سالم بماند. ضربه‌زدن دستی نیز قطعات تیز و گردوغبار خطرناک ایجاد می‌کند و نتیجه یکنواختی ندارد.

مشاهده یک برد ترک‌خورده نباید بدون بررسی اجزای حافظه، معادل نابودی کامل تلقی شود.

خردکن‌های صنعتی رسانه را به قطعات کوچک و غیرقابل‌استفاده تبدیل می‌کنند. اندازه خروجی باید بر اساس حساسیت داده، فناوری بسته‌بندی تراشه و سیاست مصوب تعیین شود؛ یک اندازه ثابت برای همه سازمان‌ها مناسب نیست.

برخی بسته‌ها چند لایه یا چند Die دارند، بنابراین شکستن سطح بیرونی ممکن است تمام بخش‌های سیلیکونی را به‌اندازه کافی تخریب نکند.

مغناطیس‌زدایی یا Degaussing برای SSD کاربرد مؤثری ندارد، زیرا NAND اطلاعات را به‌صورت بار الکتریکی نگه می‌دارد، نه میدان مغناطیسی. سوزاندن، ذوب‌کردن یا استفاده از مواد شیمیایی در محیط اداری نیز خطر آتش‌سوزی و انتشار مواد سمی دارد.

این فرایندها فقط باید در تأسیسات تخصصی و مطابق مقررات ایمنی و محیط‌زیست انجام شوند.

پیش از خردایش، مدل، شماره سریال و مجوز نابودی باید ثبت شود. اپراتور باید از تجهیزات محافظ و دستگاه مناسب استفاده کند و قطعات خروجی در ظرف کنترل‌شده جمع‌آوری شوند.

بعضی کارت‌های ذخیره‌سازی سازمانی خازن یا منبع پشتیبان دارند؛ به همین دلیل بازکردن یا خردکردن خودسرانه تجهیزات ناشناخته می‌تواند خطر الکتریکی ایجاد کند.

پس از عملیات، تطبیق تعداد ورودی و خروجی، مشاهده تخریب تراشه‌ها و صدور گواهی ضروری است. بقایا همچنان پسماند الکترونیکی محسوب می‌شوند و نباید وارد زباله عادی شوند.

تحویل آن‌ها به بازیافت‌کننده مجاز، ضمن حفظ زنجیره تحویل، تضمین می‌کند که کنترل امنیتی نهایی با آسیب غیرضروری به کارکنان و محیط‌زیست همراه نشود.