Списание старых серверов и дисков: как гарантированно стереть данные, а не просто выбросить в мусор

Расскажу историю, после которой я перестал спокойно относиться к списанию железа. Клиент решил обновить сервер, старый отдали «мальчикам на утилизацию», а через полгода его база с паролями и договорами всплыла на барахолке в виде диска за 500 рублей. С тех пор в «АйТи-Фреш» есть отдельный регламент именно на этот случай — и я хочу объяснить, почему он нужен каждой компании, а не только банкам.

Как я первый раз наступил на эти грабли

Дело было лет семь назад, я тогда еще не был таким параноиком насчет списания. Клиент — небольшая юрфирма на 15 рабочих мест — решил заменить старый файловый сервер. Системник забрал местный эникейщик, пообещал «утилизировать по закону». Куда он его дел на самом деле, я не знаю до сих пор. Знаю только, что через восемь месяцев бухгалтер этой фирмы позвонила мне в панике: ей прислали скан договора с их фирменным бланком, который никто никуда не отправлял. Кто-то явно покопался в архиве.

Мы подняли всю цепочку. Оказалось, диск из того сервера ушел на радиорынок, кто-то купил его за копейки для домашнего NAS, увидел, что там куча файлов, и не удержался поковыряться. Ничего криминального с точки зрения закона он не сделал — диск не был помечен, что данные приватные, а хозяин их банально не стер. С тех пор я эту историю рассказываю каждому новому клиенту на этапе внедрения, потому что она работает лучше любой презентации про информационную безопасность.

Почему форматирование и Shift+Delete — это иллюзия безопасности

Большинство директоров искренне уверены, что если диск отформатировать, данные исчезают. Это не так, и любой мой сисадмин восстановит с такого диска файлы за пятнадцать минут бесплатной утилитой. Форматирование, даже полное, чаще всего просто перезаписывает таблицу файлов — саму информацию физически не трогает. Это как выкинуть оглавление книги и оставить сами страницы на полке.

То же самое с обычным удалением файлов через корзину. Данные лежат на диске, пока их физически не перезапишет что-то другое. На старом сервере, который простоял в шкафу три года без активной записи, восстановить можно практически всё — базы 1С, переписку из почтового клиента, ключи КриптоПро, если их не вынесли на токен. У меня был случай, когда с якобы «убитого» диска клиента я за вечер поднял полную базу зарплаты за два года. Причем клиент был уверен, что диск давно чист.

Отдельная головная боль — бэкапы. Veeam и подобные системы годами копят архивы на отдельных дисках или NAS, и когда обновляют систему резервного копирования, старое хранилище часто просто убирают в кладовку «на всякий случай», а потом кладовку разбирают уборщицы или новый завхоз. Про эти диски забывают чаще всего, а данных там объективно больше, чем на рабочей станции.

Что реально происходит со списанным железом

Опишу путь типичного старого сервера, если компания не заморачивается процедурой. Сначала его снимают со стойки и ставят в угол серверной — «вдруг пригодится». Через полгода-год кто-то решает освободить место. Дальше два варианта: либо вызывают компанию по приему металлолома и электроники, либо, что бывает чаще в малом бизнесе, отдают знакомому айтишнику или продают на Авито как «рабочий сервер, недорого».

В обоих случаях диски внутри почти никогда не проверяют. Скупщики электронного лома интересуются платами и цветным металлом, а сами накопители часто перепродают отдельно — они тоже стоят денег, особенно SSD. Кто их покупает дальше? Кто угодно: от студента, который экономит на компьютере, до людей, которые целенаправленно скупают б/у диски именно ради содержимого — знают, что процентов двадцать таких носителей никто толком не чистит.

Я специально пару лет назад провел эксперимент для одной статьи: купил на радиорынке в Митино пять случайных б/у жестких дисков, по 300-800 рублей за штуку. На трех из пяти обычной бесплатной программой восстановления файлов поднялись документы, фотографии, у одного даже частично читалась почтовая база Outlook с адресами и перепиской. Ни один продавец не спросил, зачем мне это. Вот и вся защита персональных данных на практике.

Разница между HDD, SSD и почему тут все сложнее

С классическими жесткими дисками более-менее понятно: есть проверенные методы программного затирания — записать поверх данных нули, потом единицы, потом случайные последовательности несколько проходов. Даже один проход современными стандартами типа NIST 800-88 считается достаточным для большинства случаев, старые байки про «семь проходов Гутмана» уже избыточны для дисков после 2005 года выпуска.

А вот с SSD и NVMe все хитрее. У них есть механизм wear leveling — контроллер диска сам распределяет данные по ячейкам, чтобы равномерно изнашивать память, и в результате вы физически не можете гарантированно затереть именно те ячейки, где раньше лежали ваши файлы. Обычное программное затирание для SSD часто просто бесполезно — контроллер может тихо переписать «мусорные» данные в другое место, а старые ячейки останутся нетронутыми до момента, пока сам диск их не решит переиспользовать.

Для SSD правильный путь — команда безопасного стирания ATA Secure Erase или Sanitize, которая идет через сам контроллер диска и стирает реально все ячейки, включая резервные. Есть штатные утилиты производителей — Samsung Magician, Crucial Storage Executive и подобные, они умеют это делать корректно. Но если утилита зависла или диск неисправен настолько, что команда не проходит, остается только физическое уничтожение — и тут я обычно советую не мучиться, а сразу переходить к шредеру.

Что такое гарантированное уничтожение на практике

Есть три уровня, я их обычно объясняю клиентам через аналогию с документами. Первый — программное затирание, это как измельчить бумагу в шредере с мелкой нарезкой: восстановить теоретически можно, но нужны серьезные лаборатории и большие деньги, для обычной утечки через барахолку такой уровень избыточен, но недостаточен, если диск может попасть в руки профессионалов.

Второй уровень — размагничивание, degaussing, специальным аппаратом, который создает мощное магнитное поле и разрушает саму магнитную структуру пластин HDD. После этого диск физически не читается вообще, даже контроллер его не опознает. Работает только для магнитных носителей — на SSD и флешках размагничивание бесполезно, там нет магнитного слоя.

Третий и самый надежный уровень — физическое разрушение: механический шреддер, который перемалывает диск целиком в металлическую стружку, или как минимум сверление нескольких отверстий через пластины на HDD либо через чип памяти на SSD. Именно этот метод я рекомендую для любого носителя, который побывал в контакте с бухгалтерией, персональными данными клиентов, паролями или юридически значимой перепиской. Дешевле потратить полторы тысячи рублей на нормальное уничтожение, чем потом объясняться с клиентами, почему их данные гуляют по рукам.

Как это оформить, чтобы прикрыть себя юридически

Тут многие директора удивляются: а разве нужна бумага, если диск просто выбросили? Нужна, и вот почему. По 152-ФЗ компания обязана обеспечить уничтожение персональных данных при отсутствии оснований для их дальнейшей обработки, и если случится проверка или, не дай бог, утечка всплывет публично, спросят именно с вас как с оператора данных — а не с того парня, который увез железо на свалку.

В нашей практике на списание оформляется акт уничтожения носителей информации — простой документ с перечислением серийных номеров дисков, датой, методом уничтожения и подписями ответственных лиц. Хорошо, если процесс сфотографирован или снят на видео — до, во время и после уничтожения. Звучит как паранойя, но один такой акт с фото шредера один раз реально спас клиента от штрафа, когда к ним пришла проверка Роскомнадзора по жалобе бывшего сотрудника.

Отдельно скажу про аутсорсинг этой процедуры. Если вы отдаете уничтожение специализированной компании, обязательно берите от них акт с указанием метода и, желательно, ГОСТ или стандарт, которому он соответствует. Просто квитанция «принято на утилизацию» ничего не доказывает — с точки зрения закона это все равно что просто выбросить в мусорку, только с бумажкой.

Мой чеклист для малого бизнеса

Если у вас нет своего IT-отдела, вот минимум, который я советую внедрить без больших затрат. Заведите простой реестр — таблицу в Excel хватит — куда вносится каждый сервер, компьютер, диск, флешка и телефон с момента ввода в эксплуатацию и до момента списания. Без такого реестра вы никогда не узнаете, сколько носителей с данными вообще ходит по компании и куда они делись.

Перед списанием любого носителя — сначала снять с него бэкап нужных данных, если он еще нужен, потом выполнить безопасное стирание или физическое уничтожение, и только после этого оформлять акт. Не наоборот, и не «сначала отдадим, потом решим». RDP-доступы, ключи КриптоПро, базы 1С — все это должно быть либо перенесено, либо гарантированно удалено до того, как железо покинуло здание.

И последнее — не экономьте на этой процедуре из соображений «да кому мы нужны, маленькая контора». Именно маленькие компании — самая частая жертва, потому что у крупных есть служба безопасности и регламенты, а у малого бизнеса чаще всего просто отвозят старье на свалку и забывают. Мошенникам, которые торгуют базами данных, все равно, откуда база — от банка или от стоматологической клиники на 12 кресел. Цена вопроса на уничтожение одного диска — от 300 до 2000 рублей, цена утечки клиентской базы — репутация и, возможно, штраф до нескольких сотен тысяч рублей по новым нормам 152-ФЗ.

Частые вопросы

Сколько стоит гарантированное уничтожение старого сервера или диска?
Физическое уничтожение одного HDD или SSD через специализированную компанию обычно стоит от 300 до 1500 рублей за штуку, сервер целиком с несколькими дисками — 3000-7000 рублей вместе с актом. Это на порядок дешевле, чем последствия утечки клиентской базы или переписки.

Можно ли просто отформатировать диск перед выбросом?
Нет, обычное форматирование не удаляет данные физически, их восстанавливают за считанные минуты бесплатными программами. Для HDD нужно как минимум многопроходное программное затирание, а лучше — размагничивание или шреддер, для SSD — только команда Secure Erase от производителя или физическое разрушение.

Нужно ли уничтожать все диски RAID-массива, если данные там были задублированы?
Да, обязательно все диски без исключения. В RAID-массиве данные распределены по всем дискам, и восстановить содержимое зачастую можно даже с одного диска из массива, особенно если известна схема RAID — а её несложно определить по маркировке контроллера.

Что делать со старыми флешками, внешними дисками и телефонами сотрудников, где могла быть рабочая почта?
Относиться к ним точно так же, как к серверным дискам — вносить в реестр и уничтожать по той же процедуре. Флешки часто теряют или отдают детям поиграть, а на телефонах сотрудников годами копится рабочая переписка и доступы, о которых компания даже не подозревает.