Najtańszy wyciek danych, jaki widzieliśmy w polskim MŚP, kosztował firmę zero złotych. Ktoś oddał trzy stare laptopy „na złom" znajomemu, który zajmował się elektroniką. Miesiąc później dane finansowe firmy trafiły do rąk konkurencji. Sprzęt nie był ubezpieczony, żadna kopia zapasowa się nie przydała, a RODO nie zna wymówki „bo znajomy obiecał, że sformatuje".
Utylizacja sprzętu IT to nie jest temat, o którym rozmawia się na naradzie. Dopóki nie wybuchnie. Wtedy okazuje się, że nikt tak naprawdę nie wie, gdzie leżą dyski wyjęte trzy lata temu z serwera, kto wywiózł stare drukarki i dlaczego telefon prezesa, oddany do serwisu, nie wrócił.
Co naprawdę wychodzi z firmy razem ze sprzętem
Sprzęt IT to nie jest metalowa skrzynka. To nośnik. A na nośniku siedzi kilka warstw danych, o których większość właścicieli MŚP nawet nie pamięta.
- Laptop pracownika — cache przeglądarki z zapamiętanymi hasłami, kopia lokalna OneDrive, historia korespondencji w Outlooku, klucze API do systemów zewnętrznych, certyfikaty klienta VPN.
- Dysk z serwera — całe bazy danych ERP-a, kopie zapasowe, backupy z ostatnich miesięcy, konfiguracje z hasłami w plaintekście.
- Telefon służbowy — cała historia WhatsApp z klientami, zdjęcia dokumentów robione „na szybko", zeskanowane skany dowodów, aplikacje bankowe.
- Wielofunkcyjne urządzenie drukujące — twardy dysk z buforem ostatnich kilku tysięcy zeskanowanych dokumentów. Prawie nikt nie wie, że taki dysk w ogóle istnieje.
- Router lub firewall — konfiguracja z hasłami do VPN, kluczami VPN site-to-site, dostępami dla dostawców zewnętrznych.
Sprzęt oddany bez procedury to katalog Twojej firmy w PDF podanym obcemu na tacy.
Prawdziwy przykład: kancelaria prawna, 14 osób, 8 dysków
U jednego z naszych klientów — 14-osobowej kancelarii prawnej — po dwóch latach eksploatacji trzeba było wymienić serwer plików. Poprzedni dostawca IT oddał do „ekologicznej utylizacji" 8 dysków. Firma dostała nawet ładny papier z pieczątką. Rok później zrobiliśmy audyt: kancelaria kupiła identyczne dyski, wysłała je do niezależnego laboratorium i poprosiła o próbę odtworzenia. Trzy z ośmiu dysków dały się odczytać w 100% — kompletne akta klientów, korespondencja z sądami, wersje kontraktów w toku negocjacji. Papier mówił „zniszczono metodą X". Rzeczywistość mówiła co innego.
Koszt „usługi utylizacji" — 40 zł za dysk. Koszt potencjalnej kary RODO plus utrata jednego korporacyjnego klienta, gdyby dane wypłynęły — kilkaset tysięcy złotych. Ekonomika jest oczywista, kiedy się ją policzy. Problem w tym, że prawie nikt jej nie liczy przed wpadką, tylko po.
Trzy metody kasowania — i która naprawdę działa
Nie każde „wyczyszczenie dysku" jest równe. Są trzy metody powszechnie używane w MŚP, i mają bardzo różną skuteczność.
Format szybki albo „usuwanie plików". To nie jest kasowanie. To wypisanie z indeksu, ale pliki dalej fizycznie leżą na dysku i dają się odzyskać w kilka minut darmowym oprogramowaniem. Ta metoda daje zerową ochronę.
Nadpisanie danych (data wipe). Software przepisuje każdy sektor dysku losowymi zerami i jedynkami, typowo w kilku przebiegach. Dla klasycznego dysku HDD to jest wystarczające. Dla SSD niekoniecznie — SSD ma warstwę tłumaczenia (FTL), która oszczędza komórki i nie zawsze przepisze fizycznie to, co widzi system.
Kasowanie kryptograficzne (crypto-erase) plus fizyczna destrukcja dla wrażliwego sprzętu. Dysk był od początku zaszyfrowany (BitLocker, FileVault, sprzętowe SED), więc wystarczy zniszczyć klucz — cała zawartość jednym ruchem staje się szumem. Dla dysków z danymi wrażliwymi (kancelaria, księgowość, medyczne) dodatkowo fizyczna destrukcja: rozdrabniacz przemysłowy albo wywiercenie płyty. Papier z numerami seryjnymi dysków, które faktycznie widziano w niszczarce.
Praktyczna reguła dla MŚP: od pierwszego dnia zaszyfruj każdy dysk służbowy. Wtedy wygaszanie sprzętu robi się trywialne, a nie awaryjne.
Playbook, który wdrożysz w jeden dzień
Nie potrzebujesz procedury na 40 stron. Potrzebujesz kilku ruchów, które robi się za każdym razem, kiedy sprzęt wychodzi z firmy.
- Inwentaryzacja przed odłączeniem. Numer seryjny, typ, kto używał, jakie dane były na urządzeniu. Wpis w rejestrze, nawet w prostym arkuszu.
- Odłącz od systemów. Wyjmij konto z Active Directory / Entra ID, unieważnij certyfikaty, odwołaj tokeny, wyzeruj dostęp VPN. Zanim sprzęt fizycznie opuści biuro.
- Wyczyść dane metodą właściwą dla nośnika. HDD — nadpisanie. SSD i NVMe — crypto-erase albo firmware secure erase. Telefon — reset fabryczny plus wyrejestrowanie z MDM. Drukarka — reset dysku wewnętrznego (instrukcja producenta, zwykle jedna procedura serwisowa).
- Udokumentuj to. Kto, kiedy, jaki numer seryjny, jaką metodą. Papier zostaje w firmie na co najmniej pięć lat.
- Dopiero teraz oddaj sprzęt dalej. Do sprzedaży, na złom, do fundacji, do pracownika. Nigdy nie odwrotnie.
Krok drugi jest kluczowy i najczęściej pomijany. Kiedy pracownik oddaje laptopa, a Ty przez trzy tygodnie nie wyłączysz jego konta VPN — to konto działa dokładnie tak samo, jakby laptop nadal był u niego. Sprzęt wychodzi, dostępy zostają.
Kiedy sprzęt nie nadaje się już do sprzedaży
Są dwa scenariusze, w których nie warto ryzykować sprzedaży czy przekazania. Sprzęt, który obsługiwał dane szczególnie wrażliwe (dane medyczne, prawnicze, biometryczne, danych osobowych klientów firm regulowanych). Oraz sprzęt, którego nośnika nie da się wiarygodnie skasować (uszkodzony dysk, którego software nie widzi w całości; stary SSD bez firmware secure erase; kontroler, który przestał odpowiadać).
Wtedy jest jedna droga: fizyczna destrukcja u certyfikowanego kontrahenta, z protokołem zawierającym numery seryjne dysków, zdjęcia po zniszczeniu i podpis technika. Koszt — od kilkunastu do kilkudziesięciu złotych za dysk. Znacznie tańszy niż wiadomość „mamy Państwa dane, zapłaćcie za milczenie".
Papier, który realnie zabezpiecza
„Certyfikat utylizacji" na jednej kartce z pieczątką dostawcy nie jest dokumentem. Dokument, który obroni Cię przed RODO i przed audytem klienta korporacyjnego, ma kilka konkretnych elementów:
- Listę numerów seryjnych każdego zniszczonego lub skasowanego nośnika.
- Metodę zastosowaną osobno dla każdego nośnika (nadpisanie, crypto-erase, degauss, shredding).
- Datę, miejsce, imię i nazwisko technika, który to wykonał.
- Zdjęcia (dla destrukcji fizycznej) albo log oprogramowania kasującego (dla wipe).
- Powiązanie z Twoim rejestrem sprzętu — żeby audytor mógł przejść ścieżkę od numeru środka trwałego do dowodu skasowania.
Jeżeli dostawca nie chce takiego dokumentu wystawić, dostajesz sygnał, że sam sobie nie ufa. Znajdź innego.
Co zrobić w tym tygodniu
Jeżeli w Twojej firmie nikt nie potrafi w pięć minut powiedzieć, gdzie leży dysk wyjęty w zeszłym roku z serwera i jaka była procedura jego kasowania — to jest znak, żeby zacząć od jednego prostego kroku: inwentaryzacja sprzętu wyłączonego z użytku. Wszystko, co leży w szafie, w archiwum, u dostawcy w magazynie. Numery seryjne, status, co dalej.
Reszta ustawi się sama, jak już wiesz, co masz. Jeżeli nie wiesz, od którego końca zacząć, pomagamy MŚP porządkować takie rzeczy regularnie. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Sprzęt, który wyszedł z firmy bez udokumentowanego kasowania nośnika, wciąż tam pracuje — tylko dla kogoś innego.