Proceso de baja de activos TI: ITAD y borrado

El proceso de baja de activos TI es la secuencia que lleva un portátil, un servidor o un disco retirado del servicio hasta una prueba verificada de que sus datos han desaparecido y de que el equipo salió del edificio por un canal responsable, no por un cajón del escritorio o un contenedor. Dos cosas tienen que ocurrir antes de que un dispositivo desaparezca del registro: su almacenamiento se sanea con un estándar documentado, y el proveedor o reciclador que lo recogió emite un certificado que nombra el número de serie del dispositivo. Una baja que se salta cualquiera de los dos pasos deja a la empresa respondiendo, meses después, por datos que nadie puede demostrar que fueron destruidos.

¿Qué es el proceso de baja de activos TI?

El proceso de baja de activos TI es la última etapa del mismo ciclo de vida que se sigue desde el día de la compra de un equipo, según la misma política descrita en la gestión del ciclo de vida del hardware y el ciclo de reemplazo que programa cuándo se retira un equipo. Cubre tres pasos en orden: retirar el dispositivo del servicio activo, sanear o destruir el almacenamiento que llevaba, y registrar la prueba del saneamiento y de la baja física en el mismo ID de activo ya usado para su número de serie y fecha de compra.

ITAD, la disposición de activos de TI, es el término para la práctica más amplia, normalmente gestionada por un proveedor especializado que toma custodia física del hardware retirado, sanea o destruye su almacenamiento, y revende, recicla o desecha lo que queda. El proceso solo cuenta como completo cuando el certificado de ese proveedor vuelve a la misma ficha en la que vivió el dispositivo el resto de su vida, no como un PDF aparte archivado y olvidado.

¿Quién debería gestionar el ITAD: interno o un proveedor?

Sanear un puñado de portátiles al año con un proceso interno es viable si alguien lo gestiona de principio a fin y cada dispositivo recibe un borrado registrado y verificable. Pasadas unas pocas decenas de dispositivos al año, o con servidores, discos con datos regulados o hardware destinado a reventa, un proveedor ITAD certificado merece el coste: los serios tienen certificación R2v3 o e-Stewards, ambas exigen una cadena de custodia auditable y un informe por dispositivo en vez de una sola declaración para un camión entero. Cualquiera de los dos caminos solo funciona si el resultado, un registro interno o un certificado del proveedor, llega a la misma fila de activo que todo lo demás ya seguido para ese dispositivo.

¿Cómo se sanean los datos antes de la baja?

NIST SP 800-88 define tres métodos de saneamiento, y el correcto depende de adónde va el dispositivo después, no de la costumbre:

¿Qué debe incluir un certificado de borrado de datos?

Un certificado que no se pueda vincular a un dispositivo concreto no es prueba de nada. Debe nombrar el número de serie o la etiqueta de activo del dispositivo, el método de saneamiento usado y el estándar seguido, como NIST SP 800-88, la fecha en que se realizó, y el nombre y credenciales del proveedor o técnico que lo hizo. Cuando el disco se destruyó físicamente en lugar de borrarse, el certificado debería decirlo explícitamente en vez de usar la misma redacción que un borrado por software, ya que un auditor o una autoridad de protección de datos preguntará cuál de los dos ocurrió.

¿Qué pasa si un dispositivo se da de baja sin certificado?

El dispositivo desaparece, pero el riesgo no. Un disco que sale del edificio sin un borrado verificado es funcionalmente el mismo riesgo que un portátil perdido o robado: nadie puede demostrar qué pasó con los datos que llevaba, y una brecha rastreada hasta ese dispositivo meses después se responde con un encogimiento de hombros en vez de un certificado. El mismo estándar usado para un incidente de datos confirmado aplica aquí, expuesto en la guía de respuesta a brechas de datos de la FTC: identificar qué contenía el dispositivo, cuándo salió, y si su baja puede documentarse siquiera. Un auditor de registro de activos ISO 27001 pedirá exactamente esa evidencia, por número de serie, no una declaración general de que el hardware antiguo se recicla responsablemente.

Donar, revender o destruir: ¿cómo se decide?

La decisión se deriva del método de saneamiento que los datos justificaban, no al revés. Un dispositivo que solo necesitaba un borrado de nivel purge, sin datos regulados ni preocupación por valor residual, es candidato a reventa o donación una vez certificado ese borrado; un proveedor ITAD certificado suele pagar más por hardware revendible que un reciclador de chatarra, lo que compensa parte del coste de la baja. Un dispositivo que necesitó destrucción física no tiene ninguna vía de reventa sea cual sea su estado. El reciclaje sigue importando incluso para soportes destruidos: la EPA señala que reciclar un millón de portátiles ahorra energía suficiente para abastecer a más de 3.500 hogares durante un año, una razón para enviar el material triturado a un reciclador certificado en vez de a la basura general, no una razón para saltarse antes el paso de destrucción.

¿Cómo se configura un proceso de baja en una semana?

Un proceso funcional no exige una nueva relación con proveedores si el registro de activos ya sigue el ciclo de vida y la garantía, solo estos pasos:

• Definir un método de saneamiento, Clear, Purge o Destroy, para cada nivel de sensibilidad de datos que realmente manejan sus dispositivos, siguiendo NIST SP 800-88
• Elegir un proveedor ITAD certificado, R2v3 o e-Stewards, o confirmar que un proceso interno registra un borrado verificable por dispositivo
• Exigir un certificado que nombre el número de serie, el método, la fecha y el técnico para cada dispositivo dado de baja, sin excepciones para lotes pequeños
• Adjuntar el certificado a la misma ficha de activo que la fecha de compra, la garantía y el número de serie del dispositivo, y marcar la ficha como retirada en vez de borrarla
• Revisar trimestralmente las fichas retiradas para confirmar que cada dispositivo programado para baja ese trimestre tiene realmente un certificado registrado

Preguntas frecuentes

¿Qué es la baja de activos TI (ITAD)?

ITAD es el proceso de sanear o destruir los datos de hardware retirado y desechar el dispositivo físico por un canal responsable y certificado, terminando con un certificado vinculado al número de serie del dispositivo.

¿Basta con borrar archivos antes de dar de baja un portátil?

No. Borrar archivos elimina el puntero a los datos, no los datos en sí. Un método de saneamiento documentado, Clear, Purge o Destroy según un estándar como NIST SP 800-88, es lo que realmente impide la recuperación.

¿Qué es un certificado de destrucción de datos?

Un documento que nombra el número de serie del dispositivo, el método de saneamiento o destrucción usado, la fecha, y el proveedor o técnico responsable, como prueba de que los datos no se pueden recuperar.

¿Necesitamos certificación R2 o e-Stewards de nuestro proveedor?

Para más de un puñado de dispositivos al año, sí. Ambas certificaciones exigen una cadena de custodia auditable y un informe por dispositivo en vez de una declaración genérica para un lote.

¿Qué pasa con la ficha de activo de un dispositivo dado de baja?

Debería marcarse como retirada con el certificado de baja adjunto, no borrarse, para que el historial completo desde la compra hasta la baja siga siendo consultable en una auditoría.