NIST 800-88 & BMB21-2019:选择合规的数据抹除标准

引言

NIST800-88，全名为《信息安全手册》的第800-88号文件，是由美国国家标准技术研究所（NIST）所发布的一项指南，旨在提供一套标准化、安全且可靠的数据抹除方法。这个标准的出现，是为了回应在现今信息时代，数据安全和隐私保护变得日益重要的背景下，寻找一个能够有效避免敏感数据泄漏的解决方案。

随着信息技术的快速发展，中國政府一直致力于加強信息安全管理，保障國家及個人的數據安全。最近，国家保密局（NCTC）頒布了《国家保密局 BMB21-2019标准》，這一標準在信息安全和數據抹除方面提供了更為具體的指導和要求。此舉進一步強化了中國對於信息安全的重視，使得組織和個人在數據處理和抹除方面有了更加明確的指引。

NIST 800-88 标准要求

NIST800-88 标准明确要求抹除需要达到不可恢复的程度。具体而言，标准强调了以下几点：

l   不可恢复性

数据抹除应该确保任何形式的恢复或复原都变得不可能。

抹除操作应该使原始数据无法透过任何合理的手段被重建或还原。

l   抹除过程的可追溯性

在抹除过程中应该有详细的记录，包括抹除的日期、时间、执行者，以及所使用的具体方法。

组织应建立一套可追溯的机制，以确保对抹除操作的详细记录，以供需要时进行审核和追踪。

l   适应不同需求

抹除应该能够适应不同组织、不同数据类型和不同风险层面的需求。

标准应提供灵活性，以让组织根据其特定需求和环境选择最适合的抹除方法。

l   确保硬件和储存设备的全面性

抹除不仅应覆盖储存装置的主要区域，还应确保包括隐藏、保留区域以及任何可能包含数据的硬件和储存设备在内的全面性。

所有可能包含数据的位置都应经过适当的处理，以确保数据的安全抹除。

四大抹除标准比较

以下是比较 DoD5220.22-M、NIST 800-88（Purge 方法）、SanitizeBlock Erase 以及国家保密局BMB21-2019 标准四种数据抹除方法的特点:

该使用何种抹除标准?

要评估自己应该使用何种标准的数据抹除方式，您可以考虑以下因素：

数据敏感性：评估您处理的数据的敏感性程度。如果您处理高度机密的数据，可能需要采用更严格的抹除标准，如 DoD 5220.22-M 或国家保密局BMB21-2019。

法规和合规性：确保您的抹除方法符合相关法规和合规性要求。不同的行业和地区可能有不同的标准和要求，请确保您的抹除方式能够满足这些规定。

硬盘类型：考虑您使用的硬盘类型。某些抹除方法可能对传统硬盘和固态硬盘有不同的效果。例如，Sanitize Block Erase 主要针对 SSD 等快闪存储，而 DoD5220.22-M 则适用于传统硬盘。

组织需求：考虑您组织的具体需求和流程。如果您需要一个灵活且可定制的方法，NIST 800-88 提供了多种选择，而如果您属于军事或国防领域，可能需要考虑 DoD 5220.22-M。

风险评估：进行风险评估，评估不同抹除方法的风险。考虑未抹除成功可能导致的风险，以及选择抹除方法的效果和成本。

技术要求：考虑您组织的技术能力。某些抹除方法可能需要特定的硬件或软件支持，请确保您的组织有相应的技术资源。

总的来说，选择数据抹除标准应该是一个综合考虑的过程，取决于多个因素。建议与组织的信息安全专家合作，进行全面的评估，以确保选择的抹除方式符合您的具体需求和环境。

Q&A

Q：什么是 NIST800-88？

A： NIST 800-88是美国国家标准技术研究所（NIST）发布的《信息安全手册》系列中的一部分，专注于数据抹除和存储设备的销毁。

Q：NIST 800-88 强调的主要原则是什么？

A： NIST 800-88强调不可恢复性、抹除过程的可追溯性、适应不同需求、确保硬件全面抹除等主要原则。

Q：NIST 800-88 适用于哪些存储设备？

A： NIST 800-88适用于各种存储设备，包括硬盘、SSD、磁带和可移动存储介质等。

Q：如何确保 NIST800-88 的合规性？

A：要确保合规性，组织应该仔细遵循NIST 800-88 提出的抹除方法，并确保记录、报告和验证过程符合标准要求。

Q：抹除后的数据还能被复原吗？

A： NIST 800-88要求抹除应该达到不可恢复的程度，确保数据无法通过合理手段复原。

Q：NIST 800-88 是否适用于所有业务行业？

A：是的，NIST800-88 是通用性的标准，适用于各个行业和组织，以确保数据抹除的安全性。

Q：是否有专业机构可以进行NIST 800-88 合规性审核？

A：是的，有许多专业机构提供NIST 800-88 合规性审核服务，帮助组织确保抹除操作的有效性和合规性。