Processo de descarte de ativos de TI: ITAD e limpeza

O processo de descarte de ativos de TI é a sequência que leva um notebook, servidor ou disco retirado de serviço até a prova verificada de que seus dados desapareceram e de que o equipamento deixou o prédio por um canal responsável, não uma gaveta de mesa ou uma caçamba. Duas coisas precisam acontecer antes de um aparelho sumir do registro: seu armazenamento é sanitizado segundo um padrão documentado, e o fornecedor ou reciclador que o recolheu emite um certificado com o número de série do aparelho. Um descarte que pula qualquer uma das duas etapas deixa a empresa respondendo, meses depois, por dados que ninguém consegue provar que foram destruídos.

O que é o processo de descarte de ativos de TI?

O processo de descarte de ativos de TI é a última etapa do mesmo ciclo de vida acompanhado desde o dia da compra de um equipamento, seguindo a mesma política descrita na gestão do ciclo de vida de hardware e no ciclo de substituição que programa quando um aparelho é retirado. Ele cobre três passos em ordem: retirar o aparelho do serviço ativo, sanitizar ou destruir o armazenamento que ele carregava, e registrar a prova da sanitização e do descarte físico no mesmo ID de ativo já usado para seu número de série e data de compra.

ITAD, disposição de ativos de TI, é o termo para a prática mais ampla, normalmente conduzida por um fornecedor especializado que assume a custódia física do hardware retirado, sanitiza ou destrói seu armazenamento, e revende, recicla ou sucateia o que sobra. O processo só conta como completo quando o certificado desse fornecedor volta para a mesma ficha em que o aparelho viveu pelo resto de sua vida, não como um PDF separado arquivado e esquecido.

Quem deveria cuidar do ITAD: interno ou um fornecedor?

Sanitizar um punhado de notebooks por ano com um processo interno funciona se alguém for responsável do início ao fim e cada aparelho receber uma limpeza registrada e verificável. Acima de algumas dezenas de aparelhos por ano, ou envolvendo servidores, discos com dados regulados, ou hardware destinado à revenda, um fornecedor ITAD certificado vale o custo: os sérios têm certificação R2v3 ou e-Stewards, ambas exigindo uma cadeia de custódia auditável e relatório por aparelho em vez de uma declaração única cobrindo um caminhão inteiro. Qualquer um dos caminhos só funciona se o resultado, seja um registro interno ou um certificado do fornecedor, cair na mesma linha de ativo que tudo o mais já rastreado para aquele aparelho.

Como sanitizar dados antes do descarte?

A NIST SP 800-88 define três métodos de sanitização, e o correto depende de para onde o aparelho vai em seguida, não do hábito:

O que um certificado de limpeza de dados deve incluir?

Um certificado que não pode ser vinculado a um aparelho específico não é prova de nada. Ele deve nomear o número de série ou a etiqueta de ativo do aparelho, o método de sanitização usado e o padrão seguido, como a NIST SP 800-88, a data em que o trabalho foi feito, e o nome e as credenciais do fornecedor ou técnico responsável. Quando o disco foi fisicamente destruído em vez de apagado, o certificado deveria dizer isso explicitamente em vez de usar o mesmo texto de uma limpeza por software, já que um auditor ou uma autoridade de proteção de dados vai perguntar qual dos dois aconteceu.

O que acontece se um aparelho é descartado sem certificado?

O aparelho sumiu, mas a exposição não. Um disco que sai do prédio sem uma limpeza verificada é funcionalmente o mesmo risco de um notebook perdido ou roubado: ninguém consegue provar o que aconteceu com os dados que ele carregava, e um vazamento rastreado até esse aparelho meses depois é respondido com um dar de ombros em vez de um certificado. O mesmo padrão usado para um incidente de dados confirmado se aplica aqui, conforme descrito no guia de resposta a violações de dados da FTC: identificar o que o aparelho continha, quando saiu, e se seu descarte pode ser documentado. Um auditor de registro de ativos ISO 27001 vai pedir exatamente essa evidência, por número de série, não uma declaração geral de que hardware antigo é reciclado com responsabilidade.

Doar, revender ou destruir: como decidir?

A decisão decorre do método de sanitização que os dados exigiam, não o contrário. Um aparelho que só precisou de uma limpeza no nível purge, sem dados regulados ou preocupação com valor residual, é candidato à revenda ou doação assim que essa limpeza for certificada; um fornecedor ITAD certificado costuma pagar mais por hardware revendável do que um reciclador de sucata, o que compensa parte do custo do descarte. Um aparelho que precisou de destruição física não tem caminho de revenda, seja qual for seu estado. A reciclagem ainda importa mesmo para mídia destruída: a EPA observa que reciclar um milhão de notebooks economiza energia suficiente para abastecer mais de 3.500 residências por um ano, um motivo para enviar o material triturado a um reciclador certificado em vez do lixo comum, não um motivo para pular antes a etapa de destruição.

Como montar um processo de descarte em uma semana?

Um processo funcional não exige uma nova relação com fornecedores se o registro de ativos já acompanha ciclo de vida e garantia, apenas estes passos:

• Definir um método de sanitização, Clear, Purge ou Destroy, para cada nível de sensibilidade de dados que seus aparelhos realmente carregam, seguindo a NIST SP 800-88
• Escolher um fornecedor ITAD certificado, R2v3 ou e-Stewards, ou confirmar que um processo interno registra uma limpeza verificável por aparelho
• Exigir um certificado com número de série, método, data e técnico para cada aparelho descartado, sem exceções para lotes pequenos
• Anexar o certificado à mesma ficha de ativo que a data de compra, a garantia e o número de série do aparelho, e então marcar a ficha como retirada em vez de apagá-la
• Revisar as fichas retiradas trimestralmente para confirmar que cada aparelho programado para descarte naquele trimestre realmente tem um certificado registrado

Perguntas frequentes

O que é descarte de ativos de TI (ITAD)?

ITAD é o processo de sanitizar ou destruir os dados em hardware retirado e descartar o aparelho físico por um canal responsável e certificado, terminando com um certificado vinculado ao número de série do aparelho.

Apagar os arquivos é suficiente antes de descartar um notebook?

Não. Apagar arquivos remove o ponteiro para os dados, não os dados em si. Um método de sanitização documentado, Clear, Purge ou Destroy sob um padrão como a NIST SP 800-88, é o que realmente impede a recuperação.

O que é um certificado de destruição de dados?

Um documento que nomeia o número de série do aparelho, o método de sanitização ou destruição usado, a data, e o fornecedor ou técnico responsável, servindo como prova de que os dados não podem ser recuperados.

Precisamos de certificação R2 ou e-Stewards do nosso fornecedor?

Para mais que um punhado de aparelhos por ano, sim. Ambas as certificações exigem uma cadeia de custódia auditável e relatório por aparelho em vez de uma declaração genérica para um lote.

O que acontece com a ficha de ativo de um aparelho descartado?

Ela deveria ser marcada como retirada com o certificado de descarte anexado, não apagada, para que o histórico completo da compra ao descarte continue consultável em uma auditoria.