啥小 NIST SP 800-88 啦

老外問說,如果他要求資料銷毀程序必須符合 NIST SP 800-88 規範的話,我這邊能不能做到,答案當然是 no …

你看 microsoft 就很邱,直接公開講說他不需要使用 nist sp 800-88 (因為她有 bitlocker) (bitlocker 是一種硬碟加密技術)

什麼情況需要資料銷毀

硬碟壞掉送修的時候 …

電腦報廢的時候 …

怕資料被有心人拿去讀取

只好全部銷毀再報廢

榔頭敲掉不行 ?

當然不行

你敲掉可能只是 IC 版跟讀取臂

只要碟盤還在就可以掃出資料

所以市面上有人賣 硬碟粉碎機

概念就跟碎紙機差不多

但實務上硬碟是好的

你報廢電腦可能硬碟會留著用

當備份用硬碟也好啊

沒錢的人壓根就不會想要粉碎硬碟

通常想的都是資源再利用

而且還有一個狀況

今天只是其中一個客戶資料要求銷毀

但你硬碟還有別的客戶資料阿

全數銷毀 ???

想也知道不可能

頂多就 Delete + sDelete 而已

sDelete 是一種抹除技術

微軟提供的工具

運作的概念像是 橡皮擦

把刪掉的資料區用 0 填滿 6 次

這樣就很難被掃出資料

大部分的狀況都是 delete 刪除檔名

檔案的身體其實還在硬碟裡

很多資料救援軟體就是去分析硬碟內容

然後補上正確的檔名

檔案就救回來了

非一般人還真的不會想要去 sDelete

頂多就 Delete 而已

如果客戶要求銷毀資料

我覺得頂多就是多一個 sDelete 的動作

然後我就開始胡思亂想

今天如果我想要滿足客戶的需求

那我需要每個客戶資料都有獨立的硬碟

因為事後可能需要粉碎硬碟

然後客戶說要每個月提供防毒軟體跟掃毒報告

這簡單,有免費的防毒軟體,每個月掃一次就搞定

然後客戶說要漏洞檢查報告

這就要委託第三方了

專門掃漏洞的公司 (只掃不解)

如果是系統等級的漏洞

要等微軟這種系統商出修正 (補丁)

他不出修正檔 = 漏洞無解

我能做的不補洞,是迴避

關掉相對應的功能

禁用有安全疑慮的操作

只能閃過那個漏洞

第三方掃出漏洞後也差不多是這樣處理

必須說,安全都是用錢拱起來的

你錢夠多就夠安全

錢不夠,就這樣囉

結果客戶問了一堆

同業用低於行情 20% 的報價搶走訂單

幹 !!!

啥小 NIST SP 800-88 啦