Cuando un equipo de cómputo, servidor, disco duro externo o cualquier dispositivo que almacene información sale de la organización, no solo se está retirando un activo físico: también se está movilizando un potencial contenedor de datos sensibles, confidenciales o de carácter personal.
1. Qué tipo de información permanece en los equipos
Aunque un equipo haya sido apagado o formateado, es posible que conserve información recuperable: datos corporativos, información financiera, datos personales, credenciales de acceso, propiedad intelectual y correos electrónicos.
2. Riesgos de no destruir la información
Riesgos legales y regulatorios (violación a LFPDPPP), riesgos financieros (multas, litigios), riesgos reputacionales (pérdida de confianza) y riesgos operativos (filtración de información estratégica).
3. Métodos de destrucción de información
Borrado seguro por software
Sobrescribir los datos múltiples veces con patrones aleatorios. Estándares: DoD 5220.22-M, NIST 800-88, Gutmann.
Desmagnetización (Degaussing)
Campo magnético intenso que destruye datos en discos magnéticos y cintas.
Destrucción física (Trituración)
Destrucción mecánica del disco duro. Método más seguro, imposibilita recuperación.
4. Certificación de destrucción
Debe incluir: fecha, listado de equipos, método aplicado, estándar seguido, datos del responsable y firma.
5. Integración con políticas de seguridad
Definir procedimiento formal de baja de activos, establecer niveles de sensibilidad, asignar responsabilidades.
6. Normativas y marcos de referencia
- LFPDPPP (México)
- ISO/IEC 27001
- NIST 800-88
- GDPR (Europa)
7. Proceso recomendado para la salida de equipos
- Identificación
- Evaluación
- Autorización
- Destrucción
- Certificación
- Documentación
- Disposición final
Conclusión
La destrucción certificada de información no es un paso opcional en la gestión de equipos obsoletos: es un requisito fundamental para proteger a la organización de riesgos legales, financieros y reputacionales.