Datenträger

Bij ‘gegevensdrager’ denken de meesten aan harde schijven en usb-sticks. Bij het uit gebruik nemen van IT zitten gegevensdragers echter ook in printers, smartphones, routers en servers, vaak waar niemand ze verwacht. Dit woordenlijst-item legt uit wat een gegevensdrager is, welke soorten er zijn en hoe u ze bij het uit gebruik nemen veilig wist of vernietigt.

Wat is een gegevensdrager?

Een gegevensdrager slaat informatie zo op dat ze ook zonder stroom behouden blijft. Dat onderscheidt hem van het werkgeheugen (RAM), dat zijn inhoud bij uitschakelen verliest. Vakmensen spreken ook van opslagmedium. In ruimere zin is ook papier een gegevensdrager, want ook daar staat informatie blijvend.

Voor de gegevensbescherming is niet doorslaggevend hoe een gegevensdrager eruitziet, maar wat erop staat. Bevat hij persoonsgegevens, dan gelden de beschermingsplichten van de AVG totdat de gegevens aantoonbaar zijn verwijderd. Dat geldt ook voor gegevensdragers die vast in een apparaat zijn ingebouwd.

Soorten gegevensdragers

De norm DIN 66399 deelt gegevensdragers voor vernietiging in zes materiaalklassen . De indeling helpt ook bij het wissen, omdat elke techniek eigen methoden nodig heeft.

Opslagtechniek	Voorbeelden	Materiaalklasse DIN 66399
Magnetische harde schijven	HDD in pc’s, servers, printers en NAS-systemen	H
Elektronische opslag (flash)	SSD, usb-stick, geheugenkaart, eMMC in smartphones en tablets, chipkaarten	E
Overige magnetische gegevensdragers	Magneetband (LTO), floppy’s, magneetstripkaarten	T
Optische gegevensdragers	cd, dvd, Blu-ray	O
Films	Microfilm, transparanten	F
Papier	Afdrukken, dossiers	P

Belangrijk voor de IT: een hdd valt in klasse H, een ssd in klasse E. Op een flashchip passen grote hoeveelheden gegevens op een minimaal oppervlak. Daarom eist de norm voor elektronische gegevensdragers aanzienlijk kleinere deeltjes dan voor harde schijven.

Verborgen gegevensdragers in apparaten

Veel apparaten bevatten gegevensdragers die in het dagelijks gebruik niemand opmerkt. Bij het uit gebruik nemen worden ze gemakkelijk over het hoofd gezien:

• Multifunctionele printers en kopieerapparaten: slaan gescande en afgedrukte documenten vaak op een interne harde schijf of ssd op.
• Smartphones en tablets: hebben vast gesoldeerd flashgeheugen met e-mails, contacten en chatgeschiedenissen.
• Netwerkapparatuur: Routers, switches en firewalls slaan configuraties, toegangsgegevens en sleutels op in flashgeheugen.
• Servers en opslagsystemen: bevatten vaak veel schijven, plus opstartmedia en geheugenkaarten op het moederbord.
• Accessoires: Usb-sticks in laden, externe back-upharde schijven en geheugenkaarten in camera’s.

Ook binnen een schijf bestaan verborgen gebieden. Harde schijven kunnen opslagruimte voor het besturingssysteem verbergen, bijvoorbeeld via een Host Protected Area. Ssd’s houden reserveblokken achter de hand die normale software niet bereikt. Gegevens die ondanks wispogingen achterblijven, noemt men Dataremanentie.

Waar u op moet letten bij het afvoeren

Voor elke gegevensdrager zijn er twee veilige wegen: gecertificeerd wissen of fysiek vernietigen. Welke past, hangt af van de staat en van de beschermingsbehoefte van de gegevens.

• Wissen: Werkende gegevensdragers kunnen met geteste software zo worden overschreven of gereinigd dat de gegevens niet meer te reconstrueren zijn. Het apparaat blijft bruikbaar en kan worden doorverkocht.
• Vernietigen: Defecte of niet wisbare gegevensdragers worden volgens DIN 66399 verkleind. Het passende niveau volgt uit beschermingsklasse en materiaalklasse, bij harde schijven met gevoelige gegevens vaak Beveiligingsniveau H-5.

Formatteren, een fabrieksreset of het verwijderen van bestanden volstaat niet. Deze stappen verwijderen meestal alleen verwijzingen, niet de gegevens zelf. Voor beide wegen hebt u een bewijs per serienummer nodig. Alleen zo kan de Chain of custody sluitend worden aangetoond.

Voorbeeld: opheffing van een serverruimte

Een vereenvoudigd voorbeeld laat zien hoeveel gegevensdragers er in een klein bestand zitten. Een bedrijf heft een serverruimte op: drie servers, een opslagsysteem, twee switches, een firewall en een kast met back-upbanden.

1. De IT-afdeling inventariseert alle apparaten met serienummer en telt de schijven per server en opslagsysteem.
2. Bij de inventarisatie vallen bovendien opstartgeheugenkaarten in de servers en een doos usb-sticks op.
3. Werkende schijven worden gecertificeerd gewist. Twee defecte harde schijven en alle banden worden vernietigd.
4. De configuraties van de netwerkapparatuur worden gereset en de apparaten worden getest.
5. Uiteindelijk ligt voor elke gegevensdrager een wis- of vernietigingscertificaat klaar.

Zonder de tweede controle waren geheugenkaarten en usb-sticks onopgemerkt gebleven.

Gegevensdragers bij Second IT

Bij goederenontvangst controleert Second IT elk geleverd apparaat op alle opslagmedia, ook op vergeten usb-sticks of verborgen gegevensdragers, en registreert ze per serienummer. Werkende hdd’s en ssd’s worden met Blancco gewist, ook verborgen gebieden zoals HPA en DCO. Voor elk apparaat is er een digitaal ondertekend wiscertificaat. Gegevensdragers die om technische redenen niet controleerbaar kunnen worden gewist, worden in eigen huis vernietigd volgens DIN 66399, gecertificeerd voor beveiligingsniveau H-5, onder camerabewaking en met vernietigingscertificaat. Vóór de vernietiging worden ze opgeslagen in beveiligde zones met gecontroleerde toegang. Meer over vernietiging van gegevensdragers in eigen huis.

Afbakening ten opzichte van verwante begrippen

‘Gegevensdrager’ is de overkoepelende term. ‘Opslagmedium’ wordt meestal als synoniem gebruikt. Een schijf is strikt genomen het apparaat dat een gegevensdrager leest en beschrijft; bij harde schijven en ssd’s vormen beide één eenheid. Een eindapparaat zoals een notebook is geen gegevensdrager, maar bevat er een of meer. Voor kleine flash-gegevensdragers is er een apart item over het thema Een usb-stick vernietigen. Welke AVG-plichten gelden bij de afvoer van gegevensdragers, legt onze gids uit Gegevensdragers afvoeren volgens de AVG. Welk vernietigingsniveau uw gegevensdragers nodig hebben, leest u in de gids over de DIN 66399.

Veelgestelde vragen over gegevensdragers

Wat is een gegevensdrager, eenvoudig uitgelegd?

Een gegevensdrager is alles waarop informatie blijvend wordt opgeslagen, bijvoorbeeld een harde schijf, een ssd, een usb-stick, een dvd of een vel papier. De gegevens blijven ook zonder stroom behouden.

Is een ssd een gegevensdrager zoals een harde schijf?

Ja, maar met een andere techniek. Een harde schijf slaat magnetisch op roterende platters op, een ssd elektronisch in flashchips. Daarom gelden voor het wissen andere methoden en voor de vernietiging een andere materiaalklasse.

Welke apparaten bevatten verborgen gegevensdragers?

Vaak over het hoofd gezien worden multifunctionele printers, kopieerapparaten, smartphones, tablets, routers, firewalls en geheugenkaarten in servers. Controleer bij elk uit gebruik nemen of een apparaat gegevens kan opslaan.

Is het voldoende een gegevensdrager te formatteren?

Nee. Bij formatteren worden meestal alleen de mapstructuren opnieuw aangemaakt. De gegevens zelf blijven vaak leesbaar en kunnen met eenvoudige hulpmiddelen worden hersteld. Veilig zijn alleen geteste wismethoden of vernietiging.

Wissen of vernietigen: wat is beter?

Beide kunnen veilig zijn. Werkende gegevensdragers gecertificeerd wissen maakt voortgezet gebruik van het apparaat mogelijk. Defecte of niet wisbare gegevensdragers worden vernietigd volgens DIN 66399. Doorslaggevend is het bewijs per serienummer.