Borrado seguro de activos TI: proceso y evidencias
Define cómo retirar equipos TI con inventario, sanitización según sensibilidad del dato, verificación, cadena de custodia y evidencia del destino final.
2 min de lectura
En este artículo
La baja del activo incluye los datos que almacena
Un portátil devuelto, un servidor renovado o un disco enviado a reparar puede seguir conteniendo información empresarial. El proceso de retirada debe cubrir soportes internos y extraíbles, datos almacenados en caché, medios defectuosos y equipos que cambiarán de propietario.
La NIST SP 800-88 Rev. 2, publicada en septiembre de 2025, orienta la selección de técnicas y controles de sanitización según sensibilidad de la información y destino del soporte. Es una publicación estadounidense de referencia técnica, no una declaración de obligaciones españolas. Confirma por separado las reglas de protección de datos, conservación documental y gestión de residuos que apliquen a tu organización.
Flujo de retirada con trazabilidad
- Identificar: registra etiqueta de activo, número de serie, tipo de medio, propietario, ubicación y clasificación de los datos. Comprueba si contiene discos secundarios o medios extraíbles.
- Decidir el destino: reutilización interna, devolución, reparación externa, reventa, reciclaje o destrucción. Cada ruta puede requerir una técnica y un nivel de control distintos.
- Elegir la sanitización: consulta las capacidades del medio y el procedimiento aprobado. El borrado lógico, el borrado criptográfico y la destrucción física no son intercambiables; su idoneidad depende del tipo de almacenamiento, cifrado, estado del dispositivo y riesgo.
- Ejecutar y verificar: usa herramientas y parámetros validados para el equipo. Registra resultado, método, operador, fecha y excepciones. Si no puede verificarse, pon el activo en cuarentena y evita su reutilización.
- Cerrar custodia: vincula el activo con el certificado o registro del proveedor, transportista y destino final. Conserva evidencia de excepciones y conciliación con el inventario.
Controles para medios averiados y proveedores
Un SSD, una unidad cifrada o un dispositivo que no enciende puede exigir un método distinto al de un disco funcional. No aceptes un certificado genérico sin número de serie, método aplicado, resultado y responsable. Si el proveedor no puede confirmar el tratamiento, retén el activo bajo custodia controlada hasta que se apruebe una alternativa.
Revisa muestras del proceso y concilia equipos retirados con compras, almacén y el ciclo de vida de activos IT gestionados. Define quién acepta el borrado, quién autoriza destrucción y quién resuelve diferencias de inventario.