Przekazanie firmowego laptopa, komputera stacjonarnego albo monitora do dalszego użytkowania wymaga uporządkowanej procedury. Samo usunięcie plików z pulpitu, opróżnienie kosza czy przywrócenie systemu do ustawień fabrycznych nie daje pewności, że danych nie da się odzyskać. W środowisku firmowym trzeba dodatkowo uwzględnić wymagania organizacyjne, bezpieczeństwo kont, licencje, dokumentację oraz sposób wycofania urządzenia z majątku przedsiębiorstwa. Dotyczy to zarówno sprzętu kupionego na własność, jak i urządzeń zwracanych po zakończeniu leasingu.
Ustalenie, jakie dane znajdowały się na urządzeniu
Pierwszym krokiem powinno być określenie, jakie informacje były przechowywane na komputerze i czy urządzenie mogło mieć dostęp do zasobów firmowych. Na dysku mogą znajdować się dokumenty handlowe, dane klientów, korespondencja, kopie umów, pliki kadrowe, dane finansowe, konfiguracje programów, klucze dostępu albo lokalne kopie materiałów pobranych z serwera. Nie zawsze użytkownik ma świadomość, że określone informacje zostały zapisane automatycznie przez przeglądarkę, program pocztowy lub narzędzie do synchronizacji plików.
Warto sprawdzić również, czy komputer był wykorzystywany do logowania do bankowości elektronicznej, paneli administracyjnych, systemów księgowych, serwerów, VPN albo usług chmurowych. Ryzyko nie dotyczy wyłącznie dokumentów zapisanych na dysku. Jeżeli na urządzeniu pozostały aktywne sesje, zapisane hasła, certyfikaty lub tokeny uwierzytelniające, osoba, która przejmie komputer, może uzyskać dostęp do usług firmowych nawet po usunięciu zwykłych plików.
Sprawdzenie polityki bezpieczeństwa i procedury wycofania sprzętu
Firmy powinny opierać proces na własnych zasadach bezpieczeństwa informacji. Procedura może określać, kto zatwierdza wycofanie urządzenia, kto wykonuje czyszczenie, jakie metody są dopuszczalne oraz jakie dokumenty trzeba zachować. W większych organizacjach decyzja może wymagać udziału działu IT, administratora bezpieczeństwa, inspektora ochrony danych, działu zakupów lub osoby odpowiedzialnej za środki trwałe.
Nie należy zakładać, że identyczna metoda będzie odpowiednia dla każdego komputera. Innych działań może wymagać laptop z szyfrowanym dyskiem SSD, innych serwer z macierzą dyskową, a jeszcze innych urządzenie, na którym przechowywano dane objęte szczególnymi ograniczeniami branżowymi. Jeżeli firma ma wewnętrzną klasyfikację informacji, przed czyszczeniem trzeba ustalić najwyższy poziom poufności danych znajdujących się na nośniku. W razie braku jasnych wytycznych decyzję powinien podjąć właściciel procesu lub osoba odpowiedzialna za bezpieczeństwo.
Odłączenie kont, usług i narzędzi zarządzania
Przed przekazaniem komputera należy usunąć go z firmowego środowiska informatycznego. Dotyczy to między innymi kont użytkowników, profili domenowych, narzędzi MDM, systemów zdalnego zarządzania, programów antywirusowych, klientów VPN oraz aplikacji wykorzystujących licencję przypisaną do konkretnego urządzenia. Trzeba także wylogować konta Microsoft, Google, Apple lub inne konta używane do synchronizacji danych.
Osobno należy unieważnić zapisane dane uwierzytelniające. Hasła zapisane w przeglądarce, pliki cookies, klucze SSH, certyfikaty, profile pocztowe i tokeny dostępu nie powinny pozostać na sprzęcie przeznaczonym do sprzedaży lub zwrotu. W przypadku urządzeń firmowych warto sprawdzić, czy nie są nadal przypisane do automatycznej rejestracji w usłudze zarządzania. Samo usunięcie profilu użytkownika nie zawsze wystarcza, ponieważ urządzenie może po ponownym uruchomieniu zgłosić się do organizacji i nadal podlegać jej politykom.
Dobór metody trwałego usuwania danych
Metoda czyszczenia powinna odpowiadać rodzajowi nośnika i poziomowi ryzyka. W przypadku tradycyjnych dysków HDD można zastosować nadpisywanie całej przestrzeni odpowiednim narzędziem, jeżeli nośnik jest sprawny i procedura pozwala na takie rozwiązanie. W przypadku dysków SSD oraz innych nośników wykorzystujących pamięć flash zwykłe wielokrotne nadpisywanie nie zawsze daje taki sam efekt jak w dysku magnetycznym. Pamięć może korzystać z mechanizmów wyrównywania zużycia i obszarów niewidocznych dla standardowego systemu operacyjnego.
Dla SSD właściwsze może być użycie funkcji bezpiecznego usuwania udostępnionej przez producenta, polecenia sanitizacji albo rozwiązania rekomendowanego dla konkretnego modelu. Jeżeli nośnik jest uszkodzony, nie można uruchomić procedury lub dane miały szczególnie wrażliwy charakter, rozważa się fizyczne zniszczenie nośnika i udokumentowanie tego faktu. Przywrócenie ustawień fabrycznych systemu powinno być traktowane jako przygotowanie urządzenia dla kolejnego użytkownika, a nie jako automatyczny dowód skutecznego usunięcia wszystkich danych.
Weryfikacja skuteczności czyszczenia
Po zakończeniu procesu trzeba sprawdzić, czy operacja rzeczywiście objęła cały nośnik, a nie tylko partycję systemową albo katalog użytkownika. Należy zweryfikować obecność dodatkowych partycji, obszarów odzyskiwania, drugiego dysku, kart pamięci oraz nośników podłączonych na stałe. W komputerach stacjonarnych warto sprawdzić, czy urządzenie nie ma kilku dysków, których nie widać w podstawowej konfiguracji systemu.
Kontrola może obejmować uruchomienie systemu z zewnętrznego narzędzia, odczyt informacji o stanie nośnika oraz sprawdzenie, czy na urządzeniu nie pozostały poprzednie profile, pliki tymczasowe lub dane konfiguracyjne. Jeżeli proces wykonywała firma zewnętrzna, powinna ona jasno wskazać zakres usługi, zastosowaną metodę i sposób identyfikacji urządzeń. Sam ogólny zapis „dysk wyczyszczony” może być niewystarczający, gdy trzeba później wykazać, czego dokładnie dotyczyło potwierdzenie.
Dokumentowanie i zachowanie śladu audytowego
Dokumentacja powinna umożliwiać połączenie konkretnego urządzenia z konkretną operacją usunięcia danych. Przydatne są między innymi numer inwentarzowy, numer seryjny komputera i dysku, data wykonania czynności, osoba lub podmiot odpowiedzialny za proces, zastosowana metoda oraz wynik kontroli. W przypadku zniszczenia nośnika należy odnotować sposób jego wycofania i przekazania do zagospodarowania.
Warto przechowywać protokół, raport z narzędzia lub certyfikat sanitizacji, ale trzeba rozsądnie ocenić, co taki dokument faktycznie potwierdza. Certyfikat nie zastępuje poprawnej identyfikacji nośnika ani kontroli zakresu prac. Dokumentacja powinna być przechowywana zgodnie z wewnętrzną polityką firmy, z ograniczeniem dostępu do osób, które muszą ją znać. Jeżeli przedsiębiorstwo podlega audytom, taki ślad może pomóc wykazać, że wycofanie sprzętu było elementem kontrolowanego procesu, a nie przypadkowym usunięciem plików.
Rozliczenie własności, leasingu i licencji
Przed sprzedażą lub przekazaniem komputera należy ustalić, kto jest jego właścicielem. Sprzęt leasingowany może wymagać zwrotu do finansującego albo zgody na wykup i dalszą odsprzedaż. Nie powinien trafić do obrotu tylko dlatego, że fizycznie znajduje się w siedzibie firmy. Trzeba sprawdzić umowę leasingową, protokół odbioru, ewidencję środków trwałych oraz dokumenty dotyczące wykupu.
Osobną kwestią są licencje. System operacyjny, pakiet biurowy, specjalistyczne aplikacje i programy zabezpieczające mogą być przypisane do organizacji, użytkownika albo konkretnego urządzenia. Przed odsprzedażą należy usunąć oprogramowanie, którego firma nie może legalnie przekazać, oraz przygotować komputer wyłącznie z licencją możliwą do dalszego wykorzystania. Dotyczy to także naklejek, kluczy produktowych, nośników instalacyjnych i kont przypisanych do poprzedniego właściciela.
Przygotowanie sprzętu do dalszego obrotu
Po usunięciu danych i zamknięciu spraw formalnych urządzenie można przygotować do kolejnego użytkownika. W laptopie należy sprawdzić stan baterii, ładowarki, portów, klawiatury, matrycy, zawiasów i obudowy. W komputerze PC warto zweryfikować działanie zasilacza, pamięci RAM, dysków, wentylatorów oraz dostępnych złączy. Monitory poleasingowe również wymagają kontroli obrazu, podświetlenia, przycisków, podstawy i przewodów.
Sprzęt używany powinien być opisany zgodnie ze stanem faktycznym. Jeżeli występują ślady eksploatacji, pojedyncze rysy, ograniczona pojemność baterii albo brak określonego przewodu, informacja powinna być jasna dla kupującego. W sklepie Warszawskie Pogotowie Komputerowe 24/7 sprzęt poleasingowy przeznaczony dla klientów końcowych powinien przejść nie tylko proces usunięcia danych, lecz także weryfikację techniczną i ocenę stanu urządzenia. Dzięki temu kupujący otrzymuje komputer przygotowany do legalnego i bezpiecznego rozpoczęcia własnej pracy.
Dane poza lokalnym dyskiem
Trwałe usunięcie danych z komputera nie kończy całej procedury, jeżeli informacje były synchronizowane z innymi miejscami. Należy sprawdzić firmowe dyski sieciowe, systemy chmurowe, kopie zapasowe, serwery pocztowe, aplikacje SaaS oraz urządzenia mobilne. Zwykle nie należy usuwać kopii zapasowych tylko dlatego, że wycofywany jest jeden laptop, ponieważ mogą one podlegać odrębnym zasadom retencji i odtwarzania.
Trzeba natomiast usunąć urządzenie z list zaufanych, unieważnić jego certyfikaty, zamknąć aktywne sesje i sprawdzić logi dostępu, jeżeli wymaga tego polityka bezpieczeństwa. Jeżeli komputer był używany przez pracownika odchodzącego z firmy, zakres działań powinien obejmować także przekazanie skrzynki pocztowej, zmianę haseł współdzielonych usług oraz odebranie uprawnień. Dopiero po wykonaniu tych czynności można uznać, że urządzenie zostało odłączone od firmowego obiegu informacji.
Odpowiedzialność za odpady i nośniki wycofane z użycia
Nośnik, którego nie da się bezpiecznie wyczyścić, powinien zostać wycofany w sposób zgodny z zasadami gospodarowania zużytym sprzętem elektrycznym i elektronicznym. Zniszczenie dysku nie oznacza, że można wyrzucić go do zwykłego kosza. Firma powinna skorzystać z właściwego kanału odbioru albo podmiotu zajmującego się przetwarzaniem zużytego sprzętu, a w razie potrzeby zachować potwierdzenie przekazania.
Przed oddaniem nośnika do utylizacji trzeba upewnić się, że jego stan nie pozwala na odczyt danych albo że został wcześniej poddany odpowiedniej sanitizacji. Warto również rozdzielić proces techniczny od procesu księgowego: usunięcie danych, decyzja o wycofaniu środka trwałego i fizyczne zagospodarowanie odpadu to trzy powiązane, ale różne czynności. Ich uporządkowanie ogranicza ryzyko pomyłki i ułatwia późniejsze wyjaśnienie, co stało się z konkretnym urządzeniem.
Bezpieczne wycofanie firmowego sprzętu powinno obejmować identyfikację danych, odłączenie kont i usług, dobór metody odpowiedniej dla rodzaju nośnika, weryfikację rezultatu oraz kompletną dokumentację. Dopiero potem można przejść do rozliczenia leasingu, licencji, sprzedaży lub przekazania urządzenia. Takie podejście chroni firmę przed przypadkowym ujawnieniem informacji i jednocześnie pozwala przygotować laptop, komputer PC lub monitor do dalszego, legalnego użytkowania. W przypadku wątpliwości najlepiej oprzeć się na wewnętrznej procedurze bezpieczeństwa i zlecić czynności podmiotowi, który potrafi udokumentować zakres wykonanej pracy.