Destrucción certificada de datos

¿Borrar o destruir? Sanitización frente a destrucción

Son dos caminos distintos para el mismo fin —que nadie recupere la información— y elegir bien ahorra dinero y evita errores. La sanitización usa métodos lógicos, como el sobrescrito o el crypto erase, para dejar los datos irrecuperables conservando el medio, de modo que el equipo se pueda reutilizar o revender; es el terreno del borrado seguro. La destrucción, en cambio, inutiliza físicamente el soporte —trituración, desmagnetización, desintegración— y se reserva para los medios que salen de tu control o que ya no se reutilizarán. Ambos enfoques cumplen la normativa cuando se verifican y documentan; la decisión depende de si el hardware se va a remarketear o a desechar. Y hay una regla práctica que repetimos: si tienes que pensar mucho si purgar o destruir, destruye. La tranquilidad de la destrucción física suele compensar la diferencia de costo cuando el dato es sensible.

Los tres niveles de NIST 800-88

La referencia mundial es la NIST Special Publication 800-88, la guía federal de sanitización de medios a la que se alinean casi todos los sectores regulados, y que define la sanitización como hacer que recuperar el dato sea inviable para un nivel de esfuerzo dado. Establece tres niveles progresivos. El Clear aplica técnicas lógicas como el sobrescrito, que resisten una recuperación «de teclado» con herramientas comunes. El Purge usa métodos más fuertes —ATA Secure Erase, crypto erase, block erase o desmagnetización— que resisten incluso una recuperación de laboratorio. Y el Destroy recurre a la destrucción física —trituración, desintegración, pulverización— para volver el medio definitivamente inservible. La elección del nivel correcto depende de dos cosas: la sensibilidad de los datos y el destino del equipo. Asignar el método a cada medio, en lugar de aplicar uno solo a todo, es lo que distingue un servicio serio de una solución de fuerza bruta.

¿Qué método necesita cada medio?

No todos los soportes se destruyen igual, y confundirlos es la fuente de los errores más caros. En un disco duro (HDD), que guarda los datos magnéticamente, valen el sobrescrito verificado, la desmagnetización y la trituración. En un SSD o memoria flash, que los guarda de forma eléctrica, el panorama cambia: el sobrescrito estándar no garantiza el borrado por culpa del sobreaprovisionamiento y el wear-leveling, así que se usa crypto erase o el comando sanitize nativo —válidos como Purge cuando se implementan y documentan bien— o la desintegración física. Las cintas (LTO, DLT) se desmagnetizan y, si se requiere, se trituran; suelen olvidarse en las limpiezas porque «parecen poca cosa», pero acumulan años de datos sensibles. Y los móviles y medios ópticos tienen sus propios métodos. La consigna es simple: el método se ajusta al medio y a la sensibilidad, nunca al revés.

¿Por qué la desmagnetización no sirve para los SSD?

Esta merece su propio apartado porque es el error que más veces hemos visto costar caro. La desmagnetización (degaussing) aplica un campo magnético muy potente —del orden de 20.000 gauss o más— que desordena los dominios magnéticos de un disco duro o una cinta, dejando los datos irrecuperables; está reconocida como método Purge para medios magnéticos. El problema es que un SSD no guarda nada magnéticamente: su información vive en celdas eléctricas, así que pasarle un desmagnetizador no borra absolutamente nada. Hemos atendido a empresas que desmagnetizaron flotas enteras de SSD convencidas de que la información había desaparecido, cuando seguía intacta y perfectamente legible. Por eso insistimos en clasificar el medio antes de elegir el método: aplicar la técnica equivocada desperdicia tiempo y, peor todavía, crea una falsa sensación de seguridad, que es justo lo más dañino en protección de datos.

Destrucción física y tamaños DIN 66399

Cuando el camino es la destrucción física, el «cuánto» importa tanto como el «qué». La norma DIN 66399 define clases de protección y niveles de seguridad con tamaños de partícula concretos según la sensibilidad: cuanto más crítico el dato, más fina debe quedar la trituración. Para discos duros se manejan niveles como H-3, H-4 o H-5; para medios electrónicos como chips y SSD, niveles del rango E, que exigen partículas muy pequeñas porque un fragmento de chip todavía puede contener datos. La destrucción puede hacerse en tu sede —para que los discos no salgan de tu control antes de quedar inutilizados, lo ideal en entornos de alta sensibilidad— o en una instalación con equipo certificado. La diferencia entre triturar «a ojo» y triturar al tamaño que la norma exige para tu clase de dato es, otra vez, la diferencia entre suponer y poder demostrar.

¿Y los discos cifrados? El crypto erase

El cifrado cambia la ecuación de una forma elegante. En un disco de autocifrado (SED) o en un volumen protegido con BitLocker o FileVault, todos los datos están guardados cifrados con una clave; si se destruye esa clave de forma segura —lo que se conoce como crypto erase—, el contenido completo queda inaccesible al instante, sin necesidad de sobrescribir terabytes. NIST 800-88 lo reconoce como un método Purge válido cuando está bien implementado y documentado, y resulta especialmente útil en SSD, donde el sobrescrito tradicional falla. Tiene una condición: es fiable solo si la clave nunca se filtró y el cifrado estaba activo desde el principio, cubriendo todo el medio. Por eso, para datos de máxima sensibilidad, muchas políticas combinan el crypto erase con una destrucción física posterior: cinturón y tirantes. La buena noticia es que cifrar desde el día uno protege durante el uso y, además, facilita una baja limpia el día del retiro.

¿Cómo se verifica que la destrucción funcionó?

Aquí está el principio que NIST 800-88 deja claro y que muchos saltan: una sanitización sin verificación está incompleta; sin comprobar, es solo una esperanza. La verificación confirma que el método elegido fue efectivo, ya sea revisando los registros del borrado por unidad o inspeccionando los remanentes tras una trituración para asegurar que ningún fragmento permite reconstruir datos. Esa comprobación es lo que sostiene una auditoría y lo que evita una responsabilidad futura. Y todo se traduce en evidencia: registros por unidad, método aplicado, resultado y cadena de custodia. Porque al final, la destrucción de datos se reduce a una sola exigencia: poder probar que la información desapareció y que no puede volver. Trabajar con estándares reconocidos quita la adivinanza de esa prueba.

¿Qué normas rigen la destrucción certificada?

Más allá de NIST 800-88, que es la columna del proceso, hay un ecosistema de normas y certificaciones que dan respaldo a una destrucción defendible, y conviene conocerlas para saber qué exigir. La DIN 66399 fija los tamaños de partícula de la trituración por clase de protección; la IEEE 2883-2022 actualiza las prácticas de saneamiento; y, en el plano de los proveedores, certificaciones como NAID AAA, R2v3 e ISO 27001 acreditan procesos auditados de destrucción y de gestión de activos al final de su vida (ITAD). Sectores como banca, salud y los sujetos a marcos internacionales se alinean a estas referencias para sus controles. Nosotros trabajamos conforme a esos estándares —seleccionando el método, verificando y documentando como exigen— y, cuando un proyecto requiere una certificación de proveedor que corresponde a otra instancia, lo decimos con claridad y coordinamos con quien la ostenta, sin atribuirnos sellos que no nos correspondan. Como en el resto del laboratorio, la honestidad sobre qué capa pone cada quién es parte del servicio. Lo que sí garantizamos es el rigor del método y la evidencia que lo prueba.

Cómo destruimos tus datos con certificado

Nuestro flujo convierte todo lo anterior en un proceso ordenado y documentado, con el certificado como destino.

# Proyecto: retiro de medios · Fecha: 2026-06-20
N/S SERIE         MEDIO   MÉTODO (NIST 800-88)              DIN     VERIF.
WD-XA1B2C3D       HDD     Destroy (trituración)            H-4     OK
ST-44Z9Y8X7       HDD     Purge (desmagnetización)         -       OK
SSD-9F8E7D6C      SSD     Purge (crypto erase)             -       OK
LTO7-7726ZZ       Cinta   Purge+Destroy (degauss+triturar) H-5     OK

# Cadena de custodia documentada · certificado emitido por número de serie

Por qué un laboratorio de recuperación destruye mejor

Hay una ironía útil en contratar a quien rescata datos para que los borre. Nuestro oficio diario es recuperar información de medios que otros daban por perdidos —discos quemados, SSD con el controlador muerto, cintas viejas—, así que conocemos de primera mano qué hace que un dato siga siendo recuperable pese a los intentos de eliminarlo. Esa experiencia es exactamente lo que hace falta para destruir de verdad: sabemos por qué un formateo rápido no borra nada, por qué un SSD sobrescrito puede conservar datos en celdas ocultas y por qué una trituración gruesa puede dejar fragmentos legibles. Quien no ha recuperado nunca, destruye a ciegas; nosotros destruimos sabiendo contra qué jugamos. Es la otra cara de la misma moneda de la casa: el laboratorio que recupera también sabe cuándo y cómo hacer que algo sea, esta vez sí, irrecuperable. Y lo hace con la misma cadena de custodia y los estándares con que trata cualquier dato sensible.

Errores comunes al desechar hardware

Desechar equipos parece trivial, y por eso se cometen siempre los mismos fallos, todos con consecuencias serias. El primero, ya mencionado, es desmagnetizar SSD, una operación que no borra nada en medios flash. El segundo es confiar en el formateo o en «vaciar la papelera»: un formateo rápido apenas borra el índice, y los datos siguen ahí, recuperables con herramientas básicas. El tercero es saltarse la verificación y el certificado: sin comprobar y documentar, no hay forma de probar nada ante una auditoría. El cuarto es olvidar las cintas y los medios viejos —cintas LTO, discos externos, incluso fotocopiadoras con disco interno— que acumulan datos sensibles y se descartan sin pensar. El quinto, quizá el más peligroso, es donar o revender equipos sin sanitizarlos, entregando a un tercero información que se creía borrada. Y el sexto es tratar la disposición como un trámite de última hora, en vez de un paso planificado del ciclo de vida del dato. Evitarlos es sencillo: basta con clasificar, elegir el método correcto, verificar y certificar.

Cumplimiento y la Ley 81 en Panamá

Para muchas organizaciones panameñas, destruir bien dejó de ser una buena costumbre para ser una obligación. La Ley 81 de protección de datos personales exige tratar, resguardar y disponer la información con condiciones de seguridad, y considera una infracción grave almacenarla o archivarla sin esas condiciones. A eso se suman las exigencias de banca, seguros y salud, y las cláusulas de clientes grandes que piden evidencia de una disposición segura. Un proceso de destrucción documentado conforme a NIST 800-88, con verificación, cadena de custodia y certificado por número de serie, es justamente esa evidencia: la prueba de que, cuando ese hardware salió de la empresa, los datos ya no iban dentro. Es también el cierre natural del ciclo de vida del dato, el paso que sigue a una migración cuando el equipo viejo se retira, o a la jubilación de un disco que llegó al final de su vida útil.

Preguntas frecuentes