Sprzedaż firmowego laptopa, komputera stacjonarnego albo monitora poleasingowego wymaga przygotowania sprzętu nie tylko od strony technicznej, lecz także informacyjnej. Największe ryzyko często nie wiąże się z samym urządzeniem, ale z danymi zapisanymi na jego dysku: dokumentami, korespondencją, hasłami, bazami klientów, plikami księgowymi, zdjęciami, kopiami zapasowymi i zapisanymi sesjami w usługach internetowych. Przed przekazaniem sprzętu innej osobie lub firmie trzeba więc przeprowadzić kontrolowany proces zabezpieczenia danych, ich usunięcia oraz przywrócenia urządzenia do stanu gotowego dla nowego użytkownika.
Najpierw ustal, jakie dane znajdują się na urządzeniu
Pierwszym krokiem nie powinno być natychmiastowe formatowanie dysku. Warto wcześniej sprawdzić, co rzeczywiście jest zapisane na komputerze i czy na pewno nie ma tam informacji potrzebnych firmie. Należy przejrzeć foldery użytkowników, katalogi dokumentów, pulpit, pobrane pliki, archiwa poczty, foldery współdzielone oraz lokalne kopie danych z programów księgowych, magazynowych i projektowych. Trzeba też uwzględnić dane zapisane poza standardowymi lokalizacjami, na przykład w folderach aplikacji, profilach przeglądarek lub katalogach tworzonych przez używane programy.
W praktyce często pomijane są pliki tymczasowe, lokalne bazy danych, pliki eksportu, zdjęcia dokumentów, skany dowodów tożsamości, dane logowania i pobrane załączniki. Jeżeli komputer był używany przez kilka osób, trzeba sprawdzić wszystkie konta użytkowników, a nie tylko konto pracownika, który ostatnio korzystał ze sprzętu. Dobrym rozwiązaniem jest sporządzenie krótkiej listy urządzeń przeznaczonych do sprzedaży i przypisanie do każdego z nich osoby odpowiedzialnej za potwierdzenie wykonania kopii zapasowej oraz usunięcia danych.
Wykonaj kopię zapasową przed rozpoczęciem czyszczenia
Usunięcie danych bez wcześniejszej kopii zapasowej może prowadzić do utraty dokumentów, których firma będzie jeszcze potrzebować. Przed czyszczeniem należy więc sprawdzić, czy ważne pliki zostały przeniesione do firmowego serwera, systemu chmurowego, repozytorium dokumentów albo innego zatwierdzonego miejsca. Kopia powinna obejmować nie tylko zwykłe dokumenty, lecz także dane programów, archiwa poczty, certyfikaty, pliki konfiguracyjne i informacje wymagane do zachowania ciągłości pracy.
Po wykonaniu kopii warto potwierdzić, że można ją rzeczywiście otworzyć i odtworzyć. Sam fakt skopiowania plików na zewnętrzny dysk nie oznacza jeszcze, że kopia jest kompletna. Należy także upewnić się, że nośnik z kopią jest zabezpieczony przed dostępem osób nieupoważnionych. Jeśli zawiera dane osobowe, informacje finansowe lub tajemnice przedsiębiorstwa, powinien być przechowywany zgodnie z wewnętrznymi zasadami bezpieczeństwa, najlepiej z zastosowaniem szyfrowania i kontroli dostępu.
Wyloguj konta i usuń powiązania z firmowymi usługami
Przygotowanie sprzętu do sprzedaży obejmuje więcej niż skasowanie dokumentów. Przed wymazaniem dysku trzeba wylogować konto użytkownika systemu, konto Microsoft lub Apple, profile przeglądarek, komunikatory, programy pocztowe, aplikacje do wideokonferencji oraz usługi wykorzystywane do pracy zdalnej. Jeżeli urządzenie było zarządzane przez system MDM, domenę firmową albo platformę do zdalnej administracji, powinno zostać prawidłowo usunięte z organizacji.
Ważne jest również unieważnienie zapisanych tokenów, certyfikatów, kluczy dostępu i sesji. Samo usunięcie ikony programu nie powoduje automatycznego wycofania uprawnień do firmowych zasobów. W razie potrzeby administrator powinien zmienić hasła, odłączyć komputer od domeny, wycofać dostęp do VPN i usunąć urządzenie z listy zaufanych sprzętów. Dotyczy to także telefonów, pendrive’ów i zewnętrznych dysków, które były używane razem z komputerem.
Usuń dane osobowe zgodnie z procedurami firmy
Na firmowym komputerze mogą znajdować się dane klientów, kontrahentów, pracowników, kandydatów do pracy oraz osób kontaktujących się z przedsiębiorstwem. Ich usunięcie powinno być zgodne z przyjętą w firmie polityką ochrony danych i zasadami zarządzania nośnikami. W przypadku danych osobowych istotne jest nie tylko to, aby nie były widoczne w systemie, ale także aby sposób postępowania można było wyjaśnić i udokumentować.
Wewnętrzna procedura może określać, kto zatwierdza sprzedaż sprzętu, kiedy wykonuje się kopię zapasową, jak usuwa się dane, kto weryfikuje rezultat oraz w jaki sposób przechowuje się potwierdzenie wykonania czynności. Przy większej liczbie urządzeń warto prowadzić ewidencję zawierającą między innymi numer seryjny, oznaczenie dysku, datę czyszczenia, zastosowaną metodę i osobę odpowiedzialną. Nie należy jednak umieszczać w takiej ewidencji samych danych osobowych, które zostały usunięte ze sprzętu.
Dobierz metodę do rodzaju nośnika
Metoda czyszczenia powinna uwzględniać rodzaj zamontowanego dysku. W przypadku tradycyjnego dysku HDD można zastosować bezpieczne nadpisanie całej powierzchni odpowiednim narzędziem. W przypadku dysków SSD i innych nośników wykorzystujących pamięć flash wielokrotne nadpisywanie nie zawsze jest najlepszym rozwiązaniem, ponieważ mechanizmy zarządzania pamięcią mogą sprawić, że nie każda komórka zostanie potraktowana w identyczny sposób. Może to również niepotrzebnie skracać żywotność nośnika.
Dla dysków SSD właściwsze może być użycie funkcji bezpiecznego usuwania dostępnej w oprogramowaniu producenta, polecenia Secure Erase albo funkcji Sanitize obsługiwanej przez kontroler. W środowiskach, w których stosowano szyfrowanie całego dysku, często wystarczającym rozwiązaniem jest bezpieczne usunięcie klucza szyfrującego, pod warunkiem że szyfrowanie było prawidłowo skonfigurowane i nie istnieją dodatkowe, niezaszyfrowane kopie danych. Jeżeli nie ma pewności, jaka metoda jest odpowiednia, warto zlecić czyszczenie osobie mającej doświadczenie z konkretnym typem nośnika.
Nie myl szybkiego formatowania z trwałym usunięciem
Szybkie formatowanie przygotowuje system plików do ponownego użycia, ale zazwyczaj nie usuwa fizycznie zawartości danych. W wielu przypadkach można później odzyskać część plików przy użyciu specjalistycznego oprogramowania. Podobnie działa zwykłe przeniesienie dokumentów do kosza, opróżnienie kosza, usunięcie profilu użytkownika czy przywrócenie systemu do ustawień fabrycznych. Czynności te mogą być przydatne podczas zwykłego porządkowania komputera, lecz nie powinny być traktowane jako pełna procedura niszczenia danych firmowych.
Przywrócenie ustawień fabrycznych jest bezpieczne tylko wtedy, gdy dany producent lub system wykonuje przy okazji właściwe wymazanie nośnika, a administrator potrafi potwierdzić zakres tej operacji. W przeciwnym razie należy zastosować metodę przeznaczoną do bezpiecznego usuwania danych. Po zakończeniu procesu nie powinno być możliwe uruchomienie starego profilu, odczytanie poprzednich dokumentów ani automatyczne zalogowanie do firmowych usług.
Sprawdź efekt i przygotuj sprzęt dla nowego użytkownika
Po wyczyszczeniu dysku trzeba zweryfikować rezultat. Podstawowa kontrola obejmuje uruchomienie komputera, sprawdzenie, czy nie pojawia się poprzednie konto użytkownika, oraz potwierdzenie, że system nie wyświetla zapisanych nazw firmowych, dokumentów i profili. W razie potrzeby można wykonać kontrolę przy użyciu narzędzia do odzyskiwania danych, ale takie testy powinny być prowadzone przez osobę, która rozumie ograniczenia konkretnej metody i nośnika.
Następnie można zainstalować system operacyjny od nowa, zastosować dostępne aktualizacje i sprawdzić podstawowe podzespoły. Warto pamiętać, że licencja systemu, aktywacja programu antywirusowego oraz przypisanie urządzenia do konta organizacji mogą być związane z poprzednim właścicielem. Przed sprzedażą należy uporządkować te kwestie, aby nowy użytkownik nie otrzymał sprzętu z cudzym kontem, nieaktualnym profilem administracyjnym lub oprogramowaniem, do którego firma nie ma prawa przekazania.
Co zrobić z uszkodzonym dyskiem
Jeżeli dysk jest uszkodzony, nie uruchamia się albo komputer nie pozwala na standardowe wymazanie danych, nie należy zakładać, że informacje są niedostępne. Uszkodzony nośnik może nadal zawierać możliwe do odzyskania dane. W takiej sytuacji można zlecić profesjonalne usunięcie informacji albo fizyczne zniszczenie nośnika, zależnie od jego wartości i wymagań organizacji.
Jeśli sprzęt ma trafić do dalszej sprzedaży bez pierwotnego dysku, nośnik powinien zostać zastąpiony innym, a usunięty element przekazany do utylizacji lub zniszczenia w sposób pozwalający ograniczyć ryzyko odzysku. Dotyczy to także dodatkowych kart pamięci, dysków zewnętrznych i nośników pozostawionych w kieszeniach serwisowych. W przypadku sprzętu objętego leasingiem trzeba sprawdzić warunki zwrotu i wymagania leasingodawcy, ponieważ mogą one określać sposób przekazania urządzenia, dokumentację oraz odpowiedzialność za wyposażenie.
Dlaczego warto dokumentować cały proces
Dokumentacja nie musi być rozbudowana, ale powinna pozwalać ustalić, co stało się z konkretnym urządzeniem. Przydatne są informacje o numerze seryjnym komputera i dysku, rodzaju nośnika, zastosowanym narzędziu, dacie wykonania operacji oraz osobie, która przeprowadziła i zatwierdziła czyszczenie. Przy większych wdrożeniach można również zapisać wynik kontroli, numer protokołu albo potwierdzenie przekazania nośnika do zniszczenia.
Takie podejście ułatwia kontrolę wewnętrzną, obsługę zwrotów leasingowych i wyjaśnienie ewentualnych wątpliwości po sprzedaży. Sklep zajmujący się sprzedażą zweryfikowanego sprzętu poleasingowego klientom końcowym również powinien otrzymywać urządzenia przygotowane w sposób ograniczający ryzyko pozostawienia danych poprzedniego użytkownika. Odpowiedzialność za dane zaczyna się jednak po stronie firmy, która korzystała ze sprzętu i przekazuje go dalej, dlatego nie warto odkładać tego zadania na ostatni etap sprzedaży.
Przed sprzedażą firmowego laptopa lub komputera należy wykonać kopię potrzebnych danych, wylogować konta, wycofać dostęp do usług, dobrać metodę do rodzaju dysku, skutecznie usunąć zawartość i sprawdzić rezultat. Samo formatowanie albo skasowanie plików nie daje wystarczającej pewności. Dobrze przygotowana procedura chroni firmę, pracowników i klientów, a jednocześnie pozwala przekazać sprzęt nowemu właścicielowi w czystym, gotowym do pracy stanie.