Как составить акт уничтожения данных при списании техники?

Списание компьютера не доказывает, что данные на его накопителе уничтожены. Проверяющему нужна связная цепочка: организация имела право удалить информацию, выбрала метод по типу носителя и риску, выполнила процедуру, проверила результат и не потеряла носитель до передачи на переработку.

Поэтому фраза «жесткий диск отформатирован» в акте почти бесполезна. Она не называет диск, не объясняет способ очистки, ничего не говорит о резервных копиях и не позволяет отличить удачную операцию от команды, завершившейся ошибкой. Хороший комплект документов связывает конкретный серийный номер с конкретным результатом.

Одного акта о списании недостаточно

Акт о списании техники и акт уничтожения данных подтверждают разные события, поэтому один документ редко заменяет другой. Бухгалтерская комиссия решает судьбу основного средства, а специалисты по информационной безопасности подтверждают, что с носителя нельзя получить защищаемые сведения выбранным для организации способом.

На практике комплект складывается из четырех документов или логических блоков:

1. Решение о выводе техники из эксплуатации с инвентарным номером, комплектностью и причиной списания.
2. Основание для удаления информации: истекший срок хранения, утвержденное решение экспертной комиссии, требование политики или иное применимое основание.
3. Акт или сертификат очистки носителей с серийными номерами, методом, инструментом, результатом проверки и подписями.
4. Акт передачи отходов или оборудования подрядчику с перечнем тех же носителей и подтверждением конечной операции.

Смешивать эти блоки в одном документе можно, если внутренний порядок это допускает и все реквизиты сохранены. Но строка в бухгалтерском акте «накопитель уничтожен» не подтверждает ни основание удаления документов, ни технический результат.

Отдельно проверьте архивные обязанности. Действующие в Казахстане Правила приема, хранения, учета и использования документов Национального архивного фонда и других архивных документов требуют сначала провести экспертизу ценности и оформить акт о выделении электронных документов к уничтожению. Для организаций, на которые распространяется эта процедура, уничтожение допускается после нужных согласований и утверждения руководителем. Правила также разрешают повторно использовать пригодный носитель после стирания информации, а непригодный предписывают списать и уничтожить с отметкой в учете.

Это важное различие: удалить данные с диска и законно уничтожить электронные документы не одно и то же. Если срок хранения договора не истек, безупречная очистка накопителя все равно создаст нарушение. До начала работ владелец информации должен подтвердить, что нужные оригиналы и обязательные копии сохранены, а удаляемые экземпляры разрешено уничтожить.

Обычный срок хранения не всегда дает окончательный ответ. Судебный спор, внутреннее расследование, требование регулятора или запрет на удаление могут временно остановить плановое уничтожение. В реестре партии должно быть поле «приостановка удаления» и ссылка на решение, а комиссия обязана исключить такие носители до запуска процедуры. Устное сообщение юриста легко потеряется между складом и подрядчиком.

Метод определяют данные и судьба носителя

Выбирать способ нужно по конфиденциальности данных, технологии хранения, исправности носителя и его дальнейшей судьбе. Цена оборудования влияет на решение о повторном использовании, но не снижает требования к защите информации.

NIST SP 800-88 Rev. 2 делит результаты санитарной обработки на Clear, Purge и Destroy. Clear защищает от простого восстановления через обычный интерфейс устройства. Purge делает восстановление современными лабораторными методами практически неосуществимым и может сохранить носитель пригодным к работе. Destroy делает такое восстановление практически неосуществимым и лишает носитель возможности хранить данные.

Эту модель полезно включить во внутренний стандарт, даже если договор или отраслевое требование использует другие термины. Она заставляет комиссию сначала определить требуемый результат, а уже потом выбрать утилиту, дегазауссер или шредер. Популярный обратный подход «у нас есть станок, значит все диски пойдут в него» ломается на первом SSD, который пытаются размагнитить.

Решение удобно принимать в таком порядке:

1. Определить максимальный уровень конфиденциальности информации, которая могла находиться на носителе, а не только видна сейчас.
2. Зафиксировать, останется ли носитель под контролем организации, уйдет сотруднику, вернется по гарантии или попадет внешнему переработчику.
3. Установить тип и состояние носителя по модели и документации изготовителя.
4. Выбрать допустимый результат Clear, Purge или Destroy по внутренней политике, договору и применимым нормам.
5. Назначить технику обработки и способ проверки до того, как носитель покинет место хранения.

Если классификация данных неизвестна, не следует автоматически считать их открытыми. Старый офисный компьютер мог хранить выгрузки кадровой системы, ключи доступа, локальную почту и временные файлы, хотя владелец помнит только презентации. Комиссии безопаснее применить категорию системы, в которой работала техника, либо документированно принять более строгий уровень.

Программная очистка подходит не каждому диску

Программная очистка подходит исправному носителю, если утвержденная техника охватывает все области хранения и дает проверяемый статус завершения. Быстрое форматирование, удаление раздела, очистка корзины и сброс учетной записи такими техниками не считаются.

Для исправного магнитного HDD однократная запись несекретного шаблона по всему доступному пространству обычно достигает результата уровня Clear. Многократные проходы остались в старых инструкциях, но количество проходов само по себе не исправляет плохой охват. Намного полезнее записать модель диска, диапазон обработанных адресов, версию утилиты, код завершения и результат чтения контрольной выборки.

С SSD и другими видами флеш памяти ситуация иная. Контроллер распределяет запись по физическим ячейкам, держит резервную область и меняет размещение данных для выравнивания износа. Обычная перезапись через файловую систему не обязана затронуть старые страницы. NIST прямо предупреждает, что перезапись пользовательски доступного пространства SSD с избыточной емкостью может дать очень слабую защиту.

Для исправного SSD выбирайте штатную команду Sanitize, Block Erase или Cryptographic Erase только после проверки документации модели. Название команды ничего не гарантирует: производитель должен описать, какие области она охватывает, а исполнитель должен сохранить статус выполнения. Криптографическое стирание быстро уничтожает ключ, которым зашифрованы пользовательские данные, но оно убедительно лишь при выполнении условий. Данные должны быть зашифрованы до записи, все копии ключа должны попасть в область удаления, а резервные или экспортированные ключи нельзя оставлять в другой системе.

Для телефонов, планшетов, принтеров, систем хранения и сетевого оборудования одного «сброса к заводским настройкам» тоже мало. Сначала составьте перечень встроенных и съемных хранилищ: внутренний накопитель, карта памяти, журнал заданий, адресная книга, модуль управления, кэш контроллера. Затем примените процедуру изготовителя к точной модели и отдельно обработайте съемные носители. Если изготовитель не объясняет, что удаляет сброс, такой сброс можно принять лишь для низкого риска либо дополнить более сильным методом.

В сервере и системе хранения проверяйте не только диски, которые видит операционная система. Данные могут оставаться на диске горячего резерва, в кэше контроллера с энергонезависимой памятью, в загрузочном модуле, на сервисном накопителе или в выведенном из массива диске. Сначала снимите карту состава по слотам и серийным номерам, затем сопоставьте ее с конфигурацией массива. Удаление логического тома не очищает физические диски, а перестроение RAID не подтверждает уничтожение старых блоков.

Лог очистки должен быть понятен человеку, который не запускал утилиту. Минимальная запись выглядит так:

Носитель: SSD, модель ABC-960, серийный номер S4N001827
Метод: Purge
Техника: NVMe Sanitize, Block Erase
Инструмент: утвержденная утилита, версия 2.4.1
Начало: 2026-07-21 10:14
Окончание: 2026-07-21 10:22
Статус: completed successfully
Проверка: журнал Sanitize без ошибок, устройство исправно
Решение валидатора: принято

Слова и формат зависят от инструмента, но связь серийного номера, операции, времени и решения должна сохраниться. Скриншот окна без серийного номера хуже текстового журнала, который можно искать и сопоставлять с реестром.

Размагничивание работает только с магнитным слоем

Размагничивание применимо к магнитным лентам и некоторым HDD, если поле оборудования соответствует коэрцитивности конкретного носителя. Для SSD, USB флеш накопителя, карты памяти и оптического диска оно не удаляет данные, потому что эти устройства не хранят биты в магнитном слое.

Даже с HDD процедура требует осторожности. Современный диск после воздействия может перестать определяться из-за повреждения служебных дорожек, хотя поле оказалось недостаточным для надежной очистки пластин. Неработоспособность диска не доказывает уничтожение данных. NIST SP 800-88 Rev. 2 отдельно указывает, что дегазауссер нужно сопоставлять с коэрцитивностью носителя и что некоторые установки могут вывести устройство из строя, не достигнув требуемого результата.

В акте нужны изготовитель и модель дегазауссера, его идентификатор, дата проверки или калибровки, допустимые типы носителей, режим цикла и подтверждение успешного завершения. Паспорт оборудования следует хранить вместе с процедурой либо указывать его реквизиты. Формулировка «размагничено промышленным устройством» не дает проверяющему возможности оценить достаточность поля.

Размагничивание не стоит называть физическим разрушением. По модели NIST это физическая техника Purge, а не Destroy. После процедуры носитель может быть непригоден, но требуемый результат определяет не внешний вид и не возможность подключить диск, а практическая невозможность восстановить защищаемые данные.

Для архивных электронных документов с ограниченным распространением казахстанские правила называют воздействие магнитным полем и механическое уничтожение носителя. Это не разрешение размагничивать любой накопитель. Метод все равно должен соответствовать физике носителя, а внутренний порядок должен связать нормативное основание с точной техникой.

Физическое разрушение требует заданного результата

Физическое разрушение выбирают для неисправных носителей, данных высокой конфиденциальности и случаев, когда накопитель уходит из контроля организации без надежной техники Purge. Разбить корпус, просверлить одно отверстие или погнуть плату недостаточно, если значительная часть области хранения остается целой.

Для HDD нужно разрушить магнитные пластины по всей площади до размера фрагмента, который допускает утвержденный стандарт организации. Для SSD, карт памяти и USB устройств цель другая: измельчить именно микросхемы памяти, а не пластиковый корпус и разъем. У оптического диска данные находятся в слое диска, поэтому его режут или измельчают так, чтобы пригодные для чтения участки не сохранились. Магнитную ленту разрезают или измельчают по утвержденному размеру частиц либо обрабатывают подходящим дегазауссером, если требуется Purge.

NIST спорит с привычной практикой одного отверстия прямо: частичное повреждение может оставить доступные области, которые лаборатория прочитает. Внутренний стандарт поэтому должен задавать результат обработки, а не название действия. Укажите максимальный размер частиц или иной измеримый критерий для каждого класса носителей, оборудование и способ визуальной проверки.

Не поручайте сотруднику разбивать диски молотком. Осколки стеклянных пластин, аккумуляторы, пыль и острые части создают риск травмы и пожара. Используйте предназначенное оборудование, средства защиты и участок, где комиссия может удерживать носители под контролем. Аккумулятор из мобильного устройства снимают по процедуре изготовителя до обработки, если оборудование не рассчитано на него.

После измельчения комиссия должна увидеть остатки и сопоставить их с партией. Для небольшой партии помогает фотография до и после с видимыми бирками, но фотография дополняет реестр, а не заменяет его. Для большой партии нужны опломбированный контейнер, ведомость загрузки, номер пломбы, масса или количество единиц, протокол оператора и акт приемки подрядчика.

Для каждого носителя есть свой разумный выбор

Матрица методов должна запрещать заведомо неподходящие сочетания и оставлять исполнителю только проверенные варианты. Ниже базовая схема, которую организация может ужесточить по договору, отрасли и категории данных.

• Магнитный HDD внутри организации можно полностью перезаписать для Clear или обработать штатным Sanitize для Purge. Перед внешней передачей применяют проверенный Purge, подходящее размагничивание или Destroy, а неисправный диск уничтожают.
• Для SSD и NVMe используют Sanitize, Block Erase или Cryptographic Erase по документации модели. За пределы контроля их передают после проверенного Purge либо Destroy, а при неисправности измельчают микросхемы памяти.
• USB накопитель и карту памяти повторно используют только после штатной техники изготовителя с доказанным охватом. При чувствительных данных или неисправности микросхемы памяти уничтожают.
• Магнитную ленту обрабатывают подходящим размагничиванием для Purge либо уничтожают по категории данных. CD, DVD и Blu-ray обычно не используют повторно, их слой данных физически разрушают.
• Телефон, планшет и МФУ обрабатывают по процедуре изготовителя вместе со всеми съемными модулями. Для передачи наружу нужен проверенный Purge или Destroy встроенной памяти, а неисправное устройство разбирают и уничтожают память.

Таблица не отменяет проверку точной модели. Два устройства с одинаковым разъемом могут по-разному выполнять команду с одинаковым названием. NIST перенес конкретные техники из второй редакции своих рекомендаций в IEEE 2883 именно потому, что характеристики накопителей меняются, а изготовитель должен раскрывать поведение команды для устройства.

Возврат неисправного диска по гарантии особенно неудобен. Организация теряет физический контроль, а программная очистка может быть невозможна. Заранее включайте в договор право оставить носитель, получить замену без возврата накопителя, провести очистку под наблюдением или использовать согласованную процедуру поставщика с подтверждением по серийному номеру. Если договор этого не предусматривает, комиссия должна письменно принять остаточный риск либо отказаться от возврата.

Съемный накопитель в сервере нельзя учитывать как безымянную деталь. Свяжите серийный номер диска с инвентарным номером сервера и слотом, затем продолжайте вести диск отдельно. GSE.kz как производитель и системный интегратор может помочь заказчику заложить учет носителей, сервисную процедуру и требования к дальнейшей инфраструктуре еще при проектировании поставки. Сам акт при этом остается документом заказчика и должен отражать его классификацию данных и правила хранения.

Проверка результата важнее скриншота

Проверка должна сначала подтвердить, что операция завершилась без ошибки, а затем уполномоченный сотрудник должен решить, достаточно ли результата для принятого риска. NIST называет эти разные действия verification и validation. Их часто сливают, после чего журнал «успешно» ошибочно принимают за доказательство правильного метода.

Verification отвечает на технический вопрос. Для программной очистки исполнитель проверяет статус инструмента, ошибки, журнал и состояние носителя. Для дегазауссера он подтверждает завершение цикла и исправность оборудования. Для разрушения комиссия осматривает остатки и сверяет их с установленным размером частиц или другим критерием.

Validation отвечает на управленческий вопрос: подходила ли техника для этого носителя и уровня конфиденциальности, охватила ли нужные области, можно ли принять остаточный риск. Если SSD успешно прошел цикл размагничивания, verification может подтвердить работу установки, но validation обязана отклонить результат, потому что метод не действует на флеш память.

Необязательно читать весь диск после каждой правильной процедуры, если внутренний порядок этого не требует. NIST считает сложное выборочное чтение после Clear или Purge необязательным по умолчанию. Гораздо важнее отлавливать ненормальные статусы, недоступные области, неверно выбранную технику и неподтвержденное состояние оборудования.

Практический контроль партии можно построить так: исполнитель запускает процедуру и подписывает журнал, второй сотрудник сверяет серийный номер и результат, владелец процесса принимает или отклоняет обработку. Отклоненный носитель не попадает в общий контейнер. Его маркируют, возвращают в защищенное хранение и обрабатывают более сильным способом.

Проверяющему покажите не россыпь скриншотов, а реестр, из которого открывается доказательство по каждой строке. Поля статуса должны иметь ограниченные значения: «успешно», «ошибка», «отклонено валидатором», «эскалация на Destroy». Свободная фраза «вроде очистилось» не должна попасть ни в журнал, ни в акт.

Акт должен связывать решение с серийным номером

Акт уничтожения данных принимают легче, когда по одной строке можно восстановить всю судьбу носителя. Форма NIST Certificate of Sanitization предлагает фиксировать изготовителя, модель, серийный и имущественный номера, источник носителя, категорию конфиденциальности, метод, технику, инструмент с версией, проверку, ответственных лиц и дальнейшее назначение. Для казахстанской организации эту структуру нужно дополнить реквизитами основания и внутреннего решения.

В шапке акта укажите название организации, номер, дату, место, основание работы комиссии, приказ о ее составе и применяемую редакцию внутреннего регламента. Затем перечислите членов комиссии и их роли. Подпись системного администратора без владельца информации и ответственного за учет оставляет два вопроса: кто разрешил удалить данные и кто подтвердил принадлежность диска.

Табличная часть должна содержать:

• инвентарный номер техники, тип, изготовителя, модель и серийный номер каждого носителя;
• систему или подразделение, где носитель использовался, и категорию информации до обработки;
• основание удаления и решение о дальнейшей судьбе носителя;
• метод Clear, Purge или Destroy, точную технику, инструмент, версию и идентификатор оборудования;
• время, результат verification, решение validation и ссылку на файл журнала или приложение.

После таблицы запишите итоги: сколько носителей обработано успешно, сколько отклонено, сколько направлено на повторную обработку и куда передана принятая партия. Отдельно укажите, что учетные отметки внесены, маркировка прежней категории снята только после принятия результата, а приложения составляют часть акта.

Готовый каркас формулировок можно перенести во внутренний шаблон:

Комиссия на основании приказа от [дата] № [номер] и решения
о выделении информации к уничтожению от [дата] № [номер]
провела санитарную обработку перечисленных носителей.

Для носителя [тип, модель, серийный номер, инвентарный номер]
выбран метод [Clear/Purge/Destroy], техника [точное наименование].
Операцию выполнил [ФИО, должность] инструментом [название, версия
или идентификатор оборудования] в [время, место].

Verification: [статус, ошибки, способ проверки].
Validation: результат [принят/отклонен], основание решения [ссылка
на пункт политики]. Дальнейшая судьба: [внутреннее использование,
передача подрядчику, переработка, уничтожение].

Не пишите в акте «восстановление невозможно при любых условиях». Такой абсолют нельзя проверить. Корректнее указать, что комиссия признала восстановление практически неосуществимым для заданного уровня усилий согласно принятому методу и политике. Это точнее и ближе к определению NIST.

Цепочка хранения заканчивается у переработчика

Ответственность организации не заканчивается в момент, когда курьер забрал опломбированный контейнер. До подтвержденной обработки нужно знать, кто принял каждый носитель, где он находился и какое событие завершило его судьбу.

В договоре с подрядчиком закрепите допустимые методы и размер результата разрушения, место обработки, срок, запрет на замену субподрядчика без согласования, требования к перевозке, уведомление об инциденте, право наблюдения или проверки и состав итогового подтверждения. Обычная лицензия на обращение с отходами сама по себе не доказывает умение уничтожать данные.

Передача должна идти по реестру с серийными номерами либо по идентификатору опломбированной партии, который однозначно связан с закрытым реестром. Укажите номера пломб, количество мест, отправителя, получателя, время и подписи. Если подрядчик считает только массу электронных отходов, организация теряет связь с отдельными дисками еще до обработки.

После работы получите акт выполненных работ и сертификат или протокол уничтожения с тем же номером партии, методом, оборудованием, датой, местом, результатом и ответственным лицом. Сверьте количество принятых объектов, исключения и остатки. Несовпадение нельзя закрывать исправленной цифрой без расследования: пропавший диск остается носителем данных, даже если его балансовая стоимость равна нулю.

Процедура сверки должна объяснять и лишний объект. Если подрядчик вернул один серийный номер, которого не было в ведомости передачи, это может означать ошибку сканирования, смешение партий или чужой носитель в вашем контейнере. Поместите исключение в карантин, сохраните пломбы и журналы доступа, назначьте ответственного за разбор. Итоговый акт подписывают только после того, как исходное количество, обработанные единицы, возвраты и отклонения сходятся арифметически.

Резервные копии требуют отдельного решения. Уничтожение диска рабочей станции не удаляет файлы из серверной копии, облачного хранилища, почты или архива. В акте на оборудование не нужно перечислять каждую резервную копию, но основание удаления должно определять охват, сроки истечения копий и ответственного. Казахстанские правила документирования прямо связывают уничтожение электронного документа с невозможностью восстановить его средствами информационной системы, на носителях и из резервных копий.

Храните акт, журналы, фотографии, реестр передачи, подтверждение подрядчика и решение по исключениям в срок, установленный номенклатурой дел и политикой организации. Срок самого доказательства не должен случайно оказаться короче периода, когда проверяющий или субъект данных может спросить об операции.

Перед следующей партией возьмите один серийный номер из реестра списания и попробуйте пройти по документам до конечного результата. Если цепочка обрывается на словах «передано на утилизацию», партия еще не готова покинуть ваш контроль.