Qual é a diferença entre reciclagem de ativos de TI e destruição certificada?

Quando um laptop de funcionário chega ao fim de sua vida útil, a maioria das equipes de TI se concentra no que acontecerá a seguir: ele será apagado e revendido? Triturado? Enviado para reciclagem? A resposta nunca deve ser deixada ao acaso, mas, para muitas organizações, é exatamente isso que acontece.

A reciclagem de ativos de TI e a destruição certificada de dados são processos relacionados, mas distintos. Cada um tem uma finalidade diferente, acarreta implicações diferentes em termos de conformidade e se aplica a situações diferentes. Confundir os dois ou ignorar um quando o outro é necessário pode expor sua empresa a sérios riscos.

Este artigo explica exatamente o que cada termo significa, quando sua empresa precisa de um em vez do outro e como elaborar uma política de descarte que mantenha seus dados seguros e sua conformidade intacta.

A reciclagem de ativos de TI é o processo de desviar equipamentos eletrônicos em fim de vida útil dos aterros sanitários, por meio da recuperação de materiais ou do recondicionamento de dispositivos para uso secundário. No contexto empresarial, a reciclagem normalmente significa uma das seguintes opções:

Essa é a distinção fundamental que muitas organizações deixam passar: a reciclagem não significa automaticamente que seus dados tenham sido destruídos. Um dispositivo pode ser recondicionado e revendido com sua unidade de armazenamento ainda intacta, a menos que a sanitização de dados esteja explicitamente incluída no processo de reciclagem.

É por isso que a reciclagem e a destruição de dados devem ser tratadas como duas etapas separadas e sequenciais, e não como alternativas intercambiáveis.

A destruição certificada de dados é o processo verificado e documentado de tornar os dados permanentemente irrecuperáveis de um dispositivo de armazenamento. Ao contrário da reciclagem, que se concentra na destruição do ativo, ela se concentra nos dados. Ela se aplica independentemente do que aconteça com o hardware físico posteriormente.

Um Certificado de Destruição (CoD) é o documento oficial que comprova que a destruição ocorreu. Ele lista os dispositivos processados (normalmente por número de série), o método de destruição utilizado, a data da destruição e a organização certificadora. Sem um CoD, não há prova auditável de que os dados foram realmente destruídos, tornando-o praticamente inútil do ponto de vista da conformidade.

A reciclagem por si só pode ser adequada quando os dispositivos não contêm dados confidenciais (por exemplo, monitores, teclados e periféricos sobressalentes), quando o hardware já foi totalmente apagado de acordo com sua política interna e não é necessária nenhuma certificação, ou quando equipamentos em fim de vida útil estão sendo doados a uma organização sem fins lucrativos devidamente avaliada.

A destruição certificada é essencial nos seguintes cenários:

Um programa responsável de IT Asset Disposition (ITAD) combina reciclagem e destruição certificada em um único fluxo de trabalho gerenciado. O processo típico é o seguinte:

A reciclagem de ativos de TI e a destruição certificada não são opções concorrentes; são etapas complementares em um ciclo de vida responsável do hardware. Reciclar sem destruir representa um risco à segurança dos dados. Destruir sem reciclar é uma oportunidade perdida de recuperação de valor e responsabilidade ambiental.

Incorporar ambas as etapas ao seu processo de desativação de ativos de TI protege seus dados, cumpre suas obrigações de conformidade e demonstra o tipo de responsabilidade corporativa que clientes e parceiros esperam cada vez mais.