Wat is een vernietigingscertificaat?

Een vernietigingscertificaat is een document uitgegeven door een afvoer- of datavernietigingsleverancier dat bevestigt dat specifieke assets, schijven of records zijn vernietigd - wat is vernietigd, wanneer, waar, met welke methode, en door wie. Soms een certificaat van datavernietiging of wiscertificaat genoemd, is het voor buiten gebruik gestelde IT-apparatuur het stuk bewijs dat de cirkel rondmaakt: het apparaat is niet alleen het gebouw uit, zijn data is aantoonbaar onherstelbaar gemaakt voordat het de e-waste-stroom inging.

Wat u gaat leren

• Wat een vernietigingscertificaat moet bevatten
• Wie geeft er één uit, en wanneer
• De vernietigingsmethoden achter het certificaat
• Waarom het ertoe doet voor compliance
• Hoe lang u een certificaat bewaart
• Veelvoorkomende hiaten om op te letten
• Vernietigingscertificaten in de praktijk

Wat een vernietigingscertificaat moet bevatten

Een certificaat dat de moeite waard is om te archiveren vermeldt:

• De leverancier - juridische naam, accreditaties en contactgegevens.
• Uw organisatie - zodat het document jaren later op zichzelf staat.
• Datum en locatie van vernietiging, en of het op uw locatie of bij de faciliteit van de leverancier gebeurde.
• De methode - versnipperen, degaussing, veilig wissen, verbranding. “Vernietigd” zonder methode is een zwakke claim.
• Een gespecificeerde lijst - elk apparaat of schijf geïdentificeerd via serienummer, merk, model en asset-ID. Dit is het deel waarmee u het certificaat terugkoppelt aan uw register.
• Een uniek certificaatnummer en een geautoriseerde handtekening, plus een chain-of-custody-referentie die de kloof tussen ophaal en vernietiging dekt.

De sterkste certificaten vermelden ook de gevolgde norm - meestal NIST Special Publication 800-88 - en bevatten een complianceverklaring die de regels benoemt die de vernietiging vervult (AVG, HIPAA en dergelijke). Een genoemde technicus of getuige maakt van het document een verantwoord record in plaats van een formulier.

Wie geeft er één uit, en wanneer

IT asset disposition (ITAD)-bedrijven, versnipperdiensten en elektronica-recyclers geven certificaten uit nadat de vernietiging is uitgevoerd. Alleen een geaccrediteerde derde partij kan een certificaat uitgeven dat echt gewicht heeft voor compliance, dus het loont om te controleren of de leverancier een erkende accreditatie heeft - R2 of e-Stewards voor verantwoorde recycling en gegevensbeveiliging - voordat u iets overdraagt. Sommigen bieden vernietiging op locatie - schijven versnipperd in een mobiele unit op uw terrein - wat de bewaringskloof volledig wegneemt; anders moet het certificaat de apparatuur volgen van overdracht tot vernietiging. Zie de uitgebreidere vermelding over IT asset disposition voor hoe het certificaat in de bredere afvoerworkflow past.

De vernietigingsmethoden achter het certificaat

Een certificaat is slechts zo sterk als de methode die het bevestigt, en het referentiepunt waar de meeste leveranciers naar werken is NIST 800-88, dat datasanering in drie niveaus indeelt:

• Clear - het medium overschrijven met standaardtools zodat gewone software de data niet kan herstellen. Geschikt wanneer de schijf binnen de organisatie blijft voor hergebruik.
• Purge - fysieke of logische technieken, zoals cryptografisch wissen of degaussing, die herstel onhaalbaar maken zelfs met laboratoriumapparatuur.
• Destroy - fysieke vernietiging (versnipperen, vermalen, verbranden) die het medium onbruikbaar maakt. Dit is het hoogste zekerheidsniveau en het niveau dat het vaakst met een certificaat gepaard gaat.

Het punt is de methode af te stemmen op de gevoeligheid van de data: een openbaar productblad heeft niet dezelfde behandeling nodig als een schijf met persoonlijke of gereguleerde gegevens. Een goed certificaat benoemt welke van deze niveaus is toegepast, zodat de mate van zekerheid wordt gedocumenteerd in plaats van aangenomen.

Waarom het ertoe doet voor compliance

Privacywetgeving werkt op verantwoording: onder de AVG is het niet genoeg om persoonsgegevens correct te hebben verwijderd, u moet het kunnen aantonen. Een vernietigingscertificaat is dat bewijs voor hardware. Dezelfde logica loopt door sectorregels - HIPAA vereist dat elektronische gezondheidsgegevens aan het einde van hun levensduur onleesbaar en onherstelbaar worden gemaakt, en een certificaat is hoe u dat bewijst. Het is ook wat een auditor vraagt wanneer uw register apparatuur als afgevoerd toont, wat een verzekeraar kan willen na een grote opruiming, en het verschil tussen “we denken dat de recycler het heeft afgehandeld” en bewijs.

Hoe lang u een certificaat bewaart

Bewaar een vernietigingscertificaat zolang u naleving mogelijk moet aantonen. Veel organisaties houden ze minstens zeven jaar, in lijn met hun databewaarbeleid en welke sectorregels ook van toepassing zijn; sommige gereguleerde omgevingen vereisen langer. De bewaartermijn helpt alleen als het document vindbaar is, dus bewaar elk certificaat bij de asset waar het bij hoort in plaats van in een gedeelde inbox of een map die niemand zich herinnert - het doel is het in seconden te overleggen, niet ernaar te zoeken tijdens een audit.

Veelvoorkomende hiaten om op te letten

• Geen serienummers - een certificaat over “1 pallet, ca. 200 kg” kan niet bewijzen dat een specifieke schijf is vernietigd.
• Geen methode genoemd - “vernietigd” zonder vermelding van versnipperen, degaussing of het toegepaste NIST-niveau is een garantie waar u niet achter kunt staan.
• Certificaat en register komen niet overeen - serienummers op het certificaat moeten worden afgevinkt tegen de assets die u heeft overgedragen; items die niet overeenkomen moeten worden nagezocht, een kleine asset reconciliation-oefening.
• Gearchiveerd in iemands inbox - een certificaat dat tijdens een audit niet te vinden is, bestaat net zo goed niet.
• Opgehaald maar nooit bevestigd - een ophaalbon is geen vernietiging; volg op tot het certificaat arriveert.

Vernietigingscertificaten in de praktijk

De gewoonte die standhoudt: wanneer smartphones, laptops of schijven buiten gebruik worden gesteld, wordt de batch per serienummer opgesomd, overgedragen aan de leverancier, en elk assetrecord wordt pas gesloten wanneer zijn serienummer op het teruggekomen certificaat staat. In AMPthilly kan het certificaat als document worden bijgevoegd op elke asset die buiten gebruik is gesteld, zodat de audittrail het volledige verhaal toont - laatste eigenaar, datum van buitengebruikstelling en vernietigingsbewijs - op één record. Wanneer een toezichthouder, auditor of verzekeraar vraagt wat er met een bepaald apparaat is gebeurd, is het antwoord één zoekopdracht weg in plaats van een zoektocht in de mailbox.

Gerelateerde termen

• E-Waste - de afvoerstroom waarin vernietigde apparatuur terechtkomt
• WEEE Directive - de EU-regels voor het recyclen van elektrische apparatuur
• Datasanering - de methoden die een certificaat bevestigt
• Chain of Custody - de ononderbroken overdrachtsketen die een certificaat sluit
• Audit Trail - de vastgelegde historie waarin een certificaat past
• Asset Reconciliation - certificaatserienummers terugkoppelen aan registerrecords
• Physical Inventory Count - de controle die apparaten vindt die wachten op afvoer