Documentación sobre la gestión de activos de TI (ITAD) que realmente resiste una auditoría

Lo mínimo es un certificado de destrucción. Así es como debe ser la documentación lista para una auditoría.

Al finalizar un proyecto de gestión del ciclo de vida de los activos de TI (ITAD), la mayoría de las organizaciones reciben un certificado de destrucción y lo archivan. Si nunca se lleva a cabo una auditoría, ahí queda todo.

Pero las auditorías llegan. Llegan las investigaciones de las autoridades reguladoras. Llegan las investigaciones por filtraciones de datos. Y cuando llegan, un simple PDF con una fecha y la firma del proveedor rara vez es suficiente para demostrar que tu organización ha cumplido con sus obligaciones en materia de protección de datos —o que el proveedor que se encargó de tus activos retirados operaba según unos estándares que resistirían un escrutinio minucioso—.

La documentación relevante para el cumplimiento normativo no es la que se recibe al final del proyecto, sino la que se va elaborando a lo largo del mismo: sistematizada, verificable y accesible antes de que nadie la solicite.

Desinfección frente a destrucción: la distinción que determina tu documentación

La primera cuestión que determina cómo debes presentar tu informe es si tus activos se han desinfectado o se han destruido, ya que los requisitos de documentación y la elección adecuada entre ambas opciones difieren de manera significativa.

El borrado seguro de datos es el proceso de sobrescribir los datos de un dispositivo de almacenamiento hasta el punto de que no puedan recuperarse, dejando al mismo tiempo el dispositivo físicamente intacto y operativo. Cuando el borrado seguro se lleva a cabo según las normas NIST 800-88 —el marco federal que define los requisitos de borrado seguro de soportes según el tipo de dispositivo—, el dispositivo puede volver a comercializarse, donarse o reutilizarse. La norma NIST 800-88 especifica tres niveles de limpieza: «Clear», «Purge» y «Destroy». Para la mayoría de los soportes de almacenamiento empresariales, la limpieza de nivel «Purge», mediante sobrescritura verificada o borrado criptográfico, cumple con la norma para los dispositivos que se van a volver a comercializar.

La destrucción de datos es un proceso físico: consiste en triturar, aplastar o desintegrar el dispositivo, de modo que los componentes que contienen los datos queden ilegibles y el dispositivo quede inservible de forma permanente. La trituración de discos duros produce un resultado verificable e irrecuperable, documentado para cada dispositivo individual.

La elección entre ambas opciones no es arbitraria. Depende de la clasificación de los datos que contenía el dispositivo, de la política interna de gobernanza de datos de su organización, del marco normativo en el que opera y de si el valor residual del activo influye en la decisión sobre su eliminación. Las organizaciones sanitarias reguladas por la HIPAA, las entidades financieras sujetas a la GLBA y los contratistas públicos que operan bajo los requisitos federales de tratamiento de datos tienen, cada una de ellas, obligaciones específicas que deben tenerse en cuenta a la hora de decidir entre el borrado seguro y la destrucción antes de que un solo dispositivo salga de sus instalaciones.

Lo que ambos enfoques tienen en común es un requisito de documentación: registros serializados vinculados a activos concretos, en los que se especifique el método aplicado, la norma según la cual se llevó a cabo y el resultado verificado. Un informe que diga «se destruyeron 100 unidades de disco» no es lo mismo que uno que documente la eliminación dispositivo por dispositivo con números de serie, etiquetas de activos y resultados verificados. El primero cumple con un requisito de archivo. El segundo resiste una investigación.

Los informes que ofrece CompuCycle y por qué cada uno de ellos es importante

Los informes de CompuCycle están diseñados para proporcionar a los responsables de TI, seguridad y cumplimiento normativo la documentación que necesitan para sus requisitos específicos, y no un único certificado genérico aplicable a todos los proyectos, independientemente de su alcance.

Certificado de destrucción de datos

El certificado de destrucción de datos documenta la eliminación completa de sus activos: qué se ha procesado, cuándo, quién lo ha hecho y según qué norma. Los nuestros se elaboran a nivel de activo, lo que significa que cada dispositivo procesado aparece de forma individual con su número de serie, etiqueta de activo y el método específico de destrucción o borrado de datos aplicado. Este es el documento que su equipo jurídico necesita si alguna vez surge un dispositivo en una investigación por violación de seguridad, y es el documento que demuestra a un auditor que la eliminación se ha verificado, y no se ha dado por supuesta.

Informes sobre el borrado seguro de datos

En el caso de los activos que se procesan siguiendo los protocolos de borrado de datos de la norma NIST 800-88, en lugar de someterse a una destrucción física, el informe de borrado documenta el número de pasadas de sobrescritura realizadas, el resultado de la verificación y el nivel de la norma NIST 800-88 alcanzado por cada dispositivo. Este nivel de detalle es importante cuando tu política de gobernanza de datos exige una prueba documentada del método de borrado, y no solo la confirmación de que un proveedor ha llevado a cabo algún tipo de borrado de datos.

Inventario de activos y documentación de la cadena de custodia

Desde el momento en que se etiquetan sus activos y se preparan para su recogida hasta su eliminación definitiva, se documenta cada paso de la cadena de custodia. El informe de inventario recoge todos los dispositivos recogidos —por número de serie, etiqueta de activo, marca, modelo y estado—, creando un registro auditable que vincula su registro interno de activos con nuestros registros de eliminación. Las discrepancias entre lo que se recogió y lo que se procesó se señalan, en lugar de pasarlas por alto.

Informes de destino posterior

Cuando los activos se revenden en lugar de destruirse, la documentación sobre la gestión posterior registra qué ha ocurrido con cada dispositivo tras su limpieza y borrado de datos: si se ha reacondicionado para su reventa, se ha donado o se ha procesado para la recuperación de materiales. Para las organizaciones con requisitos de información medioambiental o métricas internas de sostenibilidad, esta documentación respalda los datos en los que se basan sus informes sobre el desvío de residuos electrónicos y la economía circular.

El portal del cliente: tu documentación, cuando la necesites

La documentación sobre el cumplimiento normativo no sirve de nada si queda oculta en un hilo de correo electrónico o almacenada en una carpeta a la que solo tu proveedor tiene acceso. El portal de clientes de CompuCycle mantiene tus informes organizados, fáciles de buscar y a disposición de quienes los necesitan, según tu horario, no el nuestro.

Esto es a lo que puedes acceder y cómo utilizarlo:

Busca informes por proyecto o por fecha. Cada encargo se registra cronológicamente y se puede buscar por intervalo de fechas, lo que facilita la obtención de la documentación correspondiente a un proyecto de eliminación concreto, un trimestre específico o un ámbito de auditoría concreto. Si tu equipo de cumplimiento normativo necesita toda la documentación procesada en un ejercicio fiscal determinado, basta con realizar una búsqueda filtrada, sin necesidad de llamar a tu gestor de cuentas.

Búsqueda por identificador de activo. Si en una consulta —ya sea de un auditor, del departamento de TI o del departamento jurídico— aparece un número de serie o una etiqueta de activo concretos, puedes buscar directamente el registro de gestión de ese dispositivo. El portal muestra la entrada de la cadena de custodia, la fecha de tramitación, el método de borrado o destrucción y el resultado. Esa es la información que responde a la pregunta, no un documento que tengas que revisar manualmente para encontrarla.

Descarga y comparte certificados. Los certificados de destrucción de datos y los informes de depuración se pueden descargar en formatos con los que tus equipos jurídicos y de cumplimiento normativo puedan trabajar. Si tu organización debe responder a una solicitud reglamentaria, tu equipo puede obtener y compartir la documentación pertinente directamente desde el portal sin tener que esperar a que un proveedor se ponga en contacto con vosotros.

Realizar un seguimiento de los proyectos activos. En el caso de proyectos en curso o que constan de varias fases, el portal ofrece información en tiempo real sobre el estado del proyecto: lo que se ha recopilado, lo que está en proceso y lo que se ha completado y documentado.

El acceso se gestiona a través de la cuenta de su organización. Si necesita ampliar el acceso al portal a su responsable de cumplimiento normativo, a su equipo jurídico o a un auditor externo, póngase en contacto con su gestor de cuentas para configurarlo.

ISO 27001: ¿Qué supone realmente esta certificación para tu organización?

CompuCycle cuenta con la certificación ISO 27001, y conviene explicar con detalle qué significa esto, ya que, aunque se suele mencionar esta certificación, rara vez se explica qué aporta a las organizaciones a las que prestamos servicio.

La norma ISO 27001 no es una acreditación de reciclaje. Se trata de una certificación de sistema de gestión de la seguridad de la información (SGSI), la misma norma internacional con la que probablemente ya estén familiarizados tus propios equipos de TI y seguridad, ya sea a través de tu programa de cumplimiento interno o de la evaluación de proveedores de tecnología. Para obtener la certificación ISO 27001, una organización debe documentar sus políticas de seguridad, implementar controles de acceso, realizar evaluaciones de riesgos de forma continua, establecer procedimientos de respuesta ante incidentes y someterse a auditorías independientes realizadas por terceros de forma continua.

Para tu organización, esto es importante por tres razones concretas:

Evaluación de riesgos de los proveedores. Cuando su equipo de compras o de seguridad lleva a cabo una revisión de los riesgos de CompuCycle como proveedor, la certificación ISO 27001 proporciona pruebas documentadas y auditadas de forma independiente de que nuestras prácticas de gestión de la seguridad de la información cumplen una norma reconocida a nivel empresarial. No se basa en nuestras propias declaraciones, sino en el mismo marco de auditoría que su organización aplica a sus propios sistemas.

Normas de gestión de datos. La norma ISO 27001 regula la forma en que se gestiona la información en todas nuestras operaciones, no solo durante la fase de destrucción. Los controles de acceso, la seguridad física, los procedimientos relativos al personal y la respuesta ante incidentes están todos cubiertos por el SGSI certificado. Cuando sus activos se encuentran bajo nuestra custodia, cada fase de su gestión se rige por un marco de seguridad documentado y auditado.

Apoyo en materia de normativa y auditoría. Para las organizaciones que operan en sectores regulados —sanidad, servicios financieros, energía, contratación pública—, la certificación de los proveedores según una norma reconocida de seguridad de la información es, cada vez más, un requisito y no una mera preferencia. La norma ISO 27001 proporciona a tu equipo de cumplimiento normativo la verificación documentada por parte de terceros que necesita para completar la evaluación de proveedores para la gestión del ciclo de vida de los activos de TI (ITAD) sin excepciones.

CompuCycle es la única empresa de gestión de residuos electrónicos de Texas, propiedad de una mujer, que cuenta con la certificación ISO 27001. Esa distinción es importante desde el punto de vista operativo, ya que la norma ISO 27001 exige una infraestructura organizativa —políticas documentadas, controles de acceso y auditorías independientes en todas las fases de la operación— que un proveedor de servicios de gestión de activos de TI (ITAD) basado en la logística no puede mantener de forma significativa.

Lo que tus auditores y tu equipo jurídico realmente necesitan ver

Cuando, en el marco de una investigación sobre una filtración de datos, una auditoría regulatoria o una revisión interna de cumplimiento, surge la pregunta de qué ha ocurrido con los activos informáticos retirados, la documentación que da respuesta a dicha consulta es muy concreta: demuestra que los activos que contenían datos fueron gestionados por un proveedor cualificado, que se procesaron siguiendo un método documentado y verificado, y que la organización mantuvo la visibilidad de la cadena de custodia en todo momento.

Un certificado de destrucción expedido por un proveedor que carece de un marco de seguridad documentado, de certificación independiente y de informes a nivel de activos solo sirve para marcar una casilla. No es suficiente para una investigación.

Lo que los auditores y los equipos jurídicos solicitan cada vez con más frecuencia:

• Registros de disposición a nivel de activo que vinculan dispositivos concretos a resultados específicos
• Documentación del método de destrucción o depuración de datos aplicado, así como de la norma según la cual se llevó a cabo
• Pruebas de que el proveedor encargado de los activos opera bajo un sistema certificado de gestión de la seguridad de la información
• Documentación de la cadena de custodia que sea continua desde la recogida hasta la eliminación final, y que no se recopile a posteriori a partir de los informes de los proveedores

La infraestructura de generación de informes de CompuCycle, su portal de clientes y su certificación ISO 27001 están pensados precisamente para ofrecer esto. No porque sea una estrategia de marketing más eficaz, sino porque las organizaciones a las que prestamos servicio —en los sectores de la sanidad, los servicios financieros, la energía y las tecnologías de la información para empresas— no pueden permitirse otra opción cuando se les plantea la cuestión.

Si tiene previsto llevar a cabo un proyecto de ITAD y desea saber cómo se ajusta nuestra documentación a sus requisitos específicos de cumplimiento normativo, póngase en contacto con nosotros para que lo revisemos juntos antes de que comience el proyecto.

Solicita un presupuesto de ITAD para empresas →

---

Preguntas frecuentes