Hoe voorkom je datalekken bij het afstoten van bedrijfs-IT?

Datalekken bij het afstoten van bedrijfs-IT voorkomen doe je door vóór iedere overdracht of afvoer alle gegevens aantoonbaar en onomkeerbaar te vernietigen. Dit geldt voor elk apparaat dat bedrijfsdata heeft opgeslagen, ongeacht de staat of bestemming van het apparaat. De secties hieronder beantwoorden de meest gestelde vragen over veilige IT-afstoting en AVG-compliance.

Welke risico’s op datalekken ontstaan bij het afstoten van IT-apparatuur?

Bij het afstoten van IT-apparatuur ontstaat het risico op datalekken zodra apparaten met resterende bedrijfsdata in handen komen van onbevoegden. Verwijderde bestanden zijn met eenvoudige software vaak te herstellen, waardoor gevoelige klantgegevens, financiële informatie of bedrijfsgeheimen alsnog toegankelijk worden. Dit risico geldt voor elk apparaat dat ooit data heeft opgeslagen.

Veel organisaties onderschatten hoe lang data op afgeschreven hardware achterblijft. Een laptop die naar een tweedehandsmarkt gaat, een server die zonder voorbereiding wordt afgevoerd of een smartphone die in een la belandt: in al deze gevallen kan data worden uitgelezen door iemand met de juiste middelen. Onder de AVG zijn organisaties verantwoordelijk voor persoonsgegevens gedurende de volledige levenscyclus van een apparaat, inclusief de afstotingsfase.

De financiële en reputatieschade van een datalek kan aanzienlijk zijn. Toezichthouders kunnen boetes opleggen, klanten verliezen vertrouwen en juridische procedures zijn kostbaar. Veilig IT-apparatuur afstoten is daarmee geen optionele stap, maar een wettelijke verplichting voor elke organisatie die persoonsgegevens verwerkt.

Wat is het verschil tussen dataverwijdering, datawissing en datavernietiging?

Dataverwijdering, datawissing en datavernietiging zijn drie verschillende methoden om data van een apparaat te verwijderen, elk met een ander niveau van zekerheid. Dataverwijdering is de minst veilige methode en biedt geen garantie. Datawissing overschrijft data actief en maakt herstel moeilijker. Datavernietiging maakt het apparaat of de opslag fysiek onbruikbaar.

• Dataverwijdering: Het verwijderen van bestanden via het besturingssysteem. De data lijkt verdwenen, maar de ruimte op de schijf wordt slechts als beschikbaar gemarkeerd. Met standaardsoftware zijn de bestanden eenvoudig te herstellen.
• Datawissing (data wiping): Gespecialiseerde software overschrijft alle sectoren van de opslagmedia meerdere keren met willekeurige data. Dit maakt herstel met gangbare methoden praktisch onmogelijk. De schijf blijft functioneel en het apparaat kan worden hergebruikt.
• Datavernietiging: De fysieke vernietiging van het opslagmedium, bijvoorbeeld door shredding of degaussing. Dit is de meest definitieve methode en garandeert dat data nooit meer leesbaar is. Het apparaat is na vernietiging niet meer herbruikbaar.

Voor bedrijven die hun hardware willen hergebruiken of verkopen, is gecertificeerde datawissing doorgaans de aangewezen route. Wanneer apparaten aan het absolute einde van hun levensduur zijn, biedt fysieke vernietiging de hoogste zekerheid.

Hoe werkt gecertificeerde datavernietiging bij bedrijfs-IT?

Gecertificeerde datavernietiging bij bedrijfs-IT is een gestructureerd proces waarbij alle data op afgeschreven apparatuur aantoonbaar en onomkeerbaar wordt vernietigd, gevolgd door een officieel certificaat als bewijs van naleving. Het proces wordt uitgevoerd met gevalideerde software of fysieke vernietigingsmethoden en is gedocumenteerd voor AVG-compliance.

Een gecertificeerd ITAD-proces verloopt doorgaans in vaste stappen. Eerst wordt alle apparatuur geïnventariseerd en geregistreerd, inclusief serienummers en specificaties. Vervolgens wordt de data gewist of het opslagmedium fysiek vernietigd. Tot slot ontvangt de opdrachtgever een gedetailleerd rapport met bewijs van vernietiging per apparaat.

Bij Teqser gebeurt de datawissing met Blancco-software via een gecertificeerd dataverwerkingsproces. Dit garandeert dat iedere stap traceerbaar is en dat de organisatie beschikt over aantoonbaar bewijs van naleving. De gecertificeerde datavernietiging is daarmee niet alleen technisch waterdicht, maar ook juridisch bruikbaar als compliance-documentatie.

Welke IT-apparaten vormen het grootste risico bij onjuiste afstoting?

De IT-apparaten met het grootste risico bij onjuiste afstoting zijn die welke de meeste of meest gevoelige data opslaan: servers, laptops, desktops, smartphones en externe harde schijven. Ook apparaten die minder voor de hand liggen, zoals printers met interne opslag of netwerkapparatuur, kunnen bedrijfsgevoelige informatie bevatten.

Servers verdienen bijzondere aandacht omdat ze vaak grote hoeveelheden gecentraliseerde bedrijfsdata bevatten, waaronder klantdatabases, financiële systemen en inloggegevens. Laptops en desktops bevatten persoonlijke werkomgevingen met e-mailcorrespondentie, documenten en opgeslagen wachtwoorden. Smartphones en tablets synchroniseren regelmatig met bedrijfssystemen en slaan authenticatiegegevens op.

Minder voor de hand liggende apparaten die organisaties vaak over het hoofd zien:

• Multifunctionele printers en kopieerapparaten met interne opslagschijven
• Netwerkswitches en routers met opgeslagen configuraties en toegangsgegevens
• USB-sticks en geheugenkaarten die in een lade of opslagruimte zijn achtergebleven
• Verouderde back-updragers zoals tapes of externe schijven

Een volledige veilige IT-afvoer omvat daarom altijd een grondige inventarisatie van alle apparaten in de organisatie, niet alleen de voor de hand liggende hardware.

Wanneer is een ITAD-partner verplicht of sterk aanbevolen?

Een ITAD-partner is sterk aanbevolen zodra een organisatie persoonsgegevens verwerkt en IT-apparatuur afstoot. Voor sectoren met strenge compliancevereisten, zoals de financiële sector, de zorg en de overheid, is professionele ITAD-begeleiding in de praktijk vrijwel onvermijdelijk om aan wettelijke verplichtingen te voldoen.

De AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Het zelf afvoeren van apparatuur zonder aantoonbare datavernietiging voldoet hier doorgaans niet aan. Een ITAD-partner levert de bewijslast die toezichthouders verwachten: gedetailleerde rapporten, certificaten en een traceerbaar proces.

Praktische situaties waarin een ITAD-partner sterk aanbevolen of noodzakelijk is:

• Bij periodieke vervangingscycli waarbij grote aantallen apparaten tegelijk worden afgestoten
• Bij ontmanteling van een datacenter of serverruimte
• Bij fusies, overnames of reorganisaties waarbij IT-omgevingen worden samengevoegd of afgebouwd
• Bij organisaties die werken met bijzondere persoonsgegevens, zoals medische of financiële gegevens
• Bij verhuizing of sluiting van een vestiging

De TEQBOX van Teqser biedt daarbij een extra beveiligingslaag tijdens het ophaalproces: de kar wordt afgesloten met een zelfgekozen code en is voorzien van gps-tracking, zodat apparatuur veilig van de locatie naar de verwerkingslocatie wordt getransporteerd. Meer over deze ophaaloplossing is te vinden op de TEQBOX-pagina.

Wat moet er in een ITAD-rapport staan om AVG-compliance aan te tonen?

Een ITAD-rapport moet voor AVG-compliance minimaal bevatten: een volledige inventarisatie van verwerkte apparaten met serienummers, de gehanteerde methode van datavernietiging per apparaat, de datum van verwerking en een verklaring van de uitvoerende partij dat de data aantoonbaar en onomkeerbaar is vernietigd.

Een deugdelijk rapport fungeert als bewijsdocument richting de Autoriteit Persoonsgegevens en andere toezichthouders. Het toont aan dat de organisatie haar verantwoordelijkheid heeft genomen en passende maatregelen heeft getroffen. Ontbreekt dit bewijs, dan kan een organisatie bij een incident of audit niet aantonen dat data correct is vernietigd.

Concreet bevat een volledig ITAD-rapport voor AVG-compliance de volgende elementen:

1. Apparaatidentificatie: Merk, model, serienummer en assetcode per verwerkt apparaat
2. Verwerkingsmethode: De gebruikte methode van datawissing of vernietiging, inclusief het gebruikte softwareprogramma of de fysieke vernietigingstechniek
3. Verificatieresultaat: Bevestiging dat de wissing of vernietiging succesvol is uitgevoerd en gecontroleerd
4. Datum en locatie: Wanneer en waar de verwerking heeft plaatsgevonden
5. Certificaat: Een officieel document ondertekend door de uitvoerende ITAD-partij als bewijs van verwerking

Teqser stelt na iedere verwerking een uitgebreid rapport op dat al deze elementen bevat. Organisaties die hun afgeschreven IT-apparatuur laten opkopen ontvangen daarmee niet alleen een financiële vergoeding voor restwaarde, maar ook de documentatie die nodig is om AVG-compliance aantoonbaar te maken. Voor organisaties die op zoek zijn naar een complete ITAD-oplossing biedt Teqser een gecombineerd pakket van veilige datavernietiging, duurzame IT-recycling en heldere rapportage.

Gerelateerde artikelen

• Wat is IT Asset Value Recovery en hoe werkt het?
• Wat kost een professioneel ITAD-traject voor middelgrote bedrijven?
• Wat is het verschil tussen ITAD en traditionele IT-recycling?
• Hoe werkt een datavernietigingsaudit bij zakelijke organisaties?
• Hoe werkt veilig transport bij hardware opkoop en datavernietiging?