Wycofanie telefonu, tabletu albo laptopa mobilnego z użytkowania wymaga większej uwagi niż samo usunięcie plików i przywrócenie ustawień fabrycznych. Urządzenia te są zwykle powiązane z kontami użytkowników, usługami chmurowymi, numerami telefonów, systemami zarządzania flotą oraz dodatkowymi nośnikami danych. Jeżeli sprzęt ma zostać przekazany innej osobie, odsprzedany, zwrócony finansującemu albo skierowany do serwisu, należy przygotować go tak, aby nie pozostały na nim dane poprzedniego użytkownika i aby nowy właściciel mógł rozpocząć korzystanie bez blokad. Poniższa procedura obejmuje najważniejsze dodatkowe kroki związane z bezpiecznym wycofywaniem sprzętu mobilnego.
Ustalenie zakresu wycofania urządzenia
Przed rozpoczęciem czyszczenia trzeba określić, co dokładnie dzieje się z urządzeniem. Inne czynności wykonuje się w przypadku zwrotu telefonu do operatora, inne przy przekazaniu tabletu pracownikowi, a jeszcze inne przed sprzedażą używanego sprzętu. Warto ustalić numer inwentarzowy, numer seryjny, model, osobę odpowiedzialną za urządzenie oraz jego aktualny status w firmowej ewidencji. Jeżeli sprzęt był objęty leasingiem lub wynajmem, należy sprawdzić wymagania określone w umowie, protokole zwrotu i instrukcjach finansującego.
Nie należy rozpoczynać resetowania bez upewnienia się, że użytkownik ma kopię potrzebnych danych. Dotyczy to kontaktów, zdjęć, dokumentów, wiadomości, notatek, danych aplikacji i kodów uwierzytelniania. Po resecie odzyskanie części informacji może być niemożliwe, zwłaszcza gdy nie były synchronizowane z kontem chmurowym. W przypadku urządzenia firmowego zakres kopii powinien ustalić administrator, ponieważ samodzielne kopiowanie danych przez użytkownika może naruszać zasady ochrony informacji.
Wykonanie kopii zapasowej i przeniesienie danych
Telefon lub tablet przed wycofaniem należy uruchomić i sprawdzić pod kątem danych zapisanych lokalnie. Sama synchronizacja z kontem Google, Apple lub Microsoft nie zawsze obejmuje wszystkie elementy. Niektóre aplikacje przechowują dane wyłącznie w pamięci urządzenia, a komunikatory mogą wymagać osobnego wykonania kopii rozmów. Trzeba również zweryfikować, czy zapisano kody odzyskiwania, klucze dostępu, certyfikaty, profile VPN i inne informacje potrzebne do dalszej pracy.
Przy przenoszeniu danych na nowe urządzenie należy korzystać z zatwierdzonych metod. W firmie może to oznaczać transfer przez system zarządzania urządzeniami, szyfrowany dysk sieciowy albo konto służbowe. Nie powinno się wysyłać firmowych plików na prywatny adres e-mail ani przechowywać ich tymczasowo w przypadkowej usłudze internetowej. Po potwierdzeniu, że kopia jest kompletna i możliwa do odtworzenia, można przejść do wylogowania kont oraz usuwania powiązań.
Wylogowanie z kont i wyłączenie blokad aktywacyjnych
Przywrócenie ustawień fabrycznych wykonane bez wcześniejszego wylogowania może pozostawić urządzenie powiązane z poprzednim właścicielem. W iPhone’ach i iPadach szczególne znaczenie ma blokada aktywacji związana z usługą Znajdź. Przed przekazaniem sprzętu trzeba wyłączyć funkcję lokalizowania urządzenia i usunąć je z konta Apple. W przeciwnym razie nowy użytkownik może zobaczyć ekran wymagający danych poprzedniego właściciela.
W urządzeniach z Androidem należy usunąć konto Google oraz sprawdzić, czy nie działa mechanizm ochrony przywracania ustawień fabrycznych. W zależności od producenta i wersji systemu nazwy opcji mogą się różnić. Warto również wylogować konta producenta, takie jak Samsung Account, Xiaomi Account lub podobne usługi, a także konta używane w aplikacjach firmowych. Należy odłączyć menedżery haseł, aplikacje płatnicze, portfele cyfrowe, profile pocztowe i programy korzystające z uwierzytelniania wieloskładnikowego.
Usunięcie urządzenia z systemów firmowych
Firmowy telefon lub tablet może być zapisany w systemie MDM, czyli platformie do centralnego zarządzania urządzeniami mobilnymi. Sam reset fabryczny nie zawsze usuwa urządzenie z takiej ewidencji. Administrator powinien wycofać sprzęt z organizacji, usunąć przypisanie do użytkownika, zakończyć profile służbowe i sprawdzić, czy urządzenie nie jest objęte automatyczną rejestracją. Dotyczy to między innymi środowisk wykorzystujących Apple Business Manager, Android Enterprise lub podobne rozwiązania.
Przed przekazaniem urządzenia trzeba również usunąć je z list zaufanych urządzeń w usługach firmowych, panelach administracyjnych i systemach dostępowych. Warto unieważnić aktywne sesje, certyfikaty, tokeny aplikacji oraz klucze dostępu. Jeżeli telefon był wykorzystywany do logowania do bankowości, poczty albo systemu księgowego, należy sprawdzić, czy po wycofaniu nie pozostał jako zatwierdzone urządzenie. Takie działania powinien wykonać administrator lub osoba uprawniona do zarządzania kontem.
Karty SIM, eSIM i karty pamięci
Karta SIM nie jest usuwana podczas resetu urządzenia. Przed sprzedażą lub zwrotem trzeba ją wyjąć i przekazać właścicielowi, zniszczyć zgodnie z procedurą albo zwrócić operatorowi. W przypadku kart eSIM należy usunąć aktywny profil z ustawień urządzenia, ale samo usunięcie profilu nie zawsze oznacza rozwiązanie umowy z operatorem. Numer, pakiet danych i warunki usługi trzeba obsłużyć niezależnie od resetu telefonu.
Osobnej kontroli wymagają karty microSD, pendrive’y podłączane przez USB oraz inne wymienne nośniki. Przywrócenie ustawień fabrycznych telefonu zwykle nie czyści karty pamięci, a niektóre urządzenia jedynie proponują jej formatowanie. Jeżeli karta ma zostać ponownie użyta, należy wykonać kopię potrzebnych danych, a następnie sformatować ją odpowiednią metodą. Jeżeli zawierała informacje poufne, zwykły szybki format może być niewystarczający i trzeba zastosować procedurę bezpiecznego usuwania danych przyjętą w danej organizacji.
Reset fabryczny i bezpieczne usuwanie danych
Reset fabryczny powinien być wykonywany dopiero po zakończeniu kopii zapasowej, wylogowaniu kont i usunięciu powiązań administracyjnych. Urządzenie należy podłączyć do ładowarki albo zapewnić mu wystarczający poziom baterii, aby proces nie został przerwany. Po resecie warto przejść przez ekran startowy i sprawdzić, czy sprzęt nie żąda danych poprzedniego użytkownika, kodu organizacji lub konta administratora.
Współczesne telefony i tablety zazwyczaj korzystają z szyfrowania pamięci, dlatego prawidłowo przeprowadzony reset jest zwykle właściwą metodą przygotowania urządzenia do ponownego użycia. Nie należy jednak bezrefleksyjnie zakładać, że dotyczy to każdej sytuacji. Sprzęt z bardzo wrażliwymi danymi, urządzenia z uszkodzonym systemem albo egzemplarze, których nie da się poprawnie zresetować, mogą wymagać dodatkowej procedury serwisowej lub fizycznego zniszczenia nośnika. W razie wątpliwości należy kierować się polityką bezpieczeństwa danych obowiązującą w firmie.
Sprawdzenie stanu technicznego po wycofaniu
Po wyczyszczeniu urządzenia trzeba ocenić jego stan techniczny. Należy sprawdzić uruchamianie, ekran dotykowy, przyciski, aparaty, głośniki, mikrofony, port ładowania, łączność Wi-Fi, Bluetooth, sieć komórkową oraz działanie baterii. W laptopach mobilnych warto zweryfikować również klawiaturę, gładzik, zawiasy, kamerę, zasilacz i stan dysku. W przypadku tabletu lub telefonu pomocne jest wykonanie podstawowego testu bez logowania prywatnym kontem.
Usterki, pęknięcia, ślady zalania, zużycie baterii i brakujące akcesoria powinny zostać opisane w protokole. Ma to znaczenie przy zwrocie leasingowym, wycenie sprzętu oraz późniejszej sprzedaży. Nie należy ukrywać wad pod ogólnym określeniem „stan używany”, ponieważ nabywca powinien otrzymać rzetelną informację o stanie egzemplarza. Dokumentacja może obejmować zdjęcia, numer seryjny, opis wyposażenia i potwierdzenie wykonania resetu.
Przygotowanie sprzętu do zwrotu lub sprzedaży
Przed przekazaniem urządzenia trzeba skompletować elementy, które powinny mu towarzyszyć. W zależności od ustaleń mogą to być zasilacz, przewód, stacja dokująca, oryginalne pudełko, instrukcja lub dodatkowe akcesoria. Nie należy dołączać kart SIM, prywatnych kart pamięci ani dokumentów zawierających dane poprzedniego użytkownika. W przypadku sprzętu leasingowego warto zachować potwierdzenie odbioru i numer protokołu.
Jeśli urządzenie trafia do sprzedaży na rynku wtórnym, powinno być opisane zgodnie z rzeczywistym stanem i przeznaczeniem. Sprzęt poleasingowy może mieć ślady normalnego użytkowania, ale powinien zostać wcześniej sprawdzony, wyczyszczony i pozbawiony danych. Sklepy specjalizujące się w sprzedaży zweryfikowanych laptopów, komputerów i monitorów poleasingowych przeprowadzają takie czynności w ramach przygotowania urządzeń dla klientów końcowych. Dla kupującego istotne jest nie tylko to, że sprzęt działa, lecz także że nie pozostawiono na nim kont, blokad ani informacji poprzedniej firmy.
Dokumentacja i potwierdzenie zakończenia procedury
Ostatnim krokiem powinno być odnotowanie wykonanych czynności. W prostym protokole można wskazać datę wycofania, osobę odpowiedzialną, numer seryjny, stan urządzenia, informację o wykonaniu kopii danych, wylogowaniu kont, usunięciu karty SIM oraz przeprowadzeniu resetu. Jeżeli sprzęt był zarządzany centralnie, warto zapisać także potwierdzenie usunięcia z systemu MDM i innych paneli administracyjnych.
Dokumentacja nie musi zawierać treści usuniętych plików ani danych użytkownika. Powinna jedynie potwierdzać, że zastosowano określoną procedurę. W organizacjach objętych regulacjami dotyczącymi ochrony danych dokument może być dowodem wykonania obowiązków związanych z zakończeniem użytkowania sprzętu. Przy sprzedaży lub przekazaniu urządzenia ułatwia natomiast rozstrzyganie ewentualnych pytań dotyczących jego pochodzenia, stanu i przygotowania.
Bezpieczne wycofanie telefonu, tabletu lub innego sprzętu mobilnego wymaga połączenia czynności technicznych, organizacyjnych i ewidencyjnych. Najważniejsze jest wykonanie kopii potrzebnych danych, wylogowanie wszystkich kont, wyłączenie blokad aktywacyjnych, usunięcie urządzenia z systemów firmowych, wyjęcie kart SIM i pamięci, a następnie przeprowadzenie resetu oraz testu końcowego. Tak przygotowany sprzęt może zostać bezpiecznie zwrócony, przekazany innej osobie albo skierowany do sprzedaży jako używany lub poleasingowy. Dobrze udokumentowana procedura ogranicza ryzyko utraty danych, problemów z aktywacją i nieporozumień między poprzednim a nowym użytkownikiem.