Szybkie formatowanie usuwa przede wszystkim informacje o położeniu plików, a nie zawartość wszystkich sektorów nośnika. Dokumenty, zdjęcia, archiwa poczty czy zapisane hasła mogą nadal znajdować się na dysku, dopóki nie zostaną nadpisane albo usunięte mechanizmem obsługiwanym przez kontroler urządzenia. To wystarczy, aby zwykły użytkownik przestał je widzieć, ale nie zawsze wystarczy przed sprzedażą komputera, zwrotem sprzętu pracodawcy czy oddaniem dysku do utylizacji.
Najważniejsza zasada jest prosta: formatowanie, reset systemu i trwałe kasowanie danych to trzy różne operacje. Skuteczna metoda zależy przede wszystkim od tego, czy używany jest dysk talerzowy HDD, nośnik SSD, pamięć USB czy urządzenie z aktywnym szyfrowaniem.
Co naprawdę dzieje się z plikami podczas formatowania
System plików działa trochę jak katalog magazynu. Zawiera informacje o nazwach plików, ich rozmiarze, uprawnieniach oraz miejscu zapisania poszczególnych fragmentów. Szybkie formatowanie tworzy nową strukturę systemu plików i oznacza dotychczas zajęte miejsce jako dostępne. Nie musi jednak zapisywać nowych danych w każdym sektorze.
W praktyce oznacza to, że po szybkim formatowaniu:
- stare nazwy plików i folderów mogą zniknąć,
- system pozwala zapisywać nowe dane w ich miejscu,
- niektóre pliki nadal da się odnaleźć przez analizę surowej zawartości nośnika,
- szansa odzysku spada z każdym kolejnym zapisem na dysku.
Dlatego po przypadkowym sformatowaniu nośnika należy go natychmiast odłączyć. Instalowanie programu do odzyskiwania na tym samym dysku jest jednym z najgorszych błędów — aplikacja może nadpisać właśnie te sektory, które miała ratować. Program uruchamia się z innego nośnika, a odzyskane dane zapisuje na innym dysku.
Inaczej działa pełne formatowanie. W aktualnych wersjach Windows pełna operacja zapisuje dane w całym obszarze formatowanego woluminu i sprawdza sektory. To znacznie ogranicza możliwość programowego odzyskania informacji z klasycznego HDD. Nadal nie należy jednak utożsamiać pełnego formatowania partycji z certyfikowanym wyczyszczeniem całego urządzenia. Poza sformatowanym woluminem mogą istnieć:
- inne partycje,
- niewidoczne obszary odzyskiwania systemu,
- przestrzeń nieprzydzielona,
- sektory wyłączone z użycia przez elektronikę dysku,
- kopie danych przechowywane na innych urządzeniach lub w chmurze.
Czas pełnego zapisu zależy od pojemności i rzeczywistej prędkości nośnika. Zapisanie całego dysku HDD o pojemności 1 TB przy średniej prędkości 150 MB/s zajmuje teoretycznie około 1 godziny i 50 minut. Po uwzględnieniu spadków prędkości oraz obsługi systemu należy zwykle zakładać 2–3 godziny. Dysk 4 TB może pracować przez 8–12 godzin. Wielokrotne nadpisywanie wydłuża ten czas proporcjonalnie, a w większości domowych zastosowań nie daje dziś praktycznej przewagi nad jednym poprawnie wykonanym przebiegiem całej powierzchni HDD.
Z nośnikami SSD sytuacja jest bardziej skomplikowana. Kontroler rozkłada zapisy między komórkami pamięci, aby równomiernie je zużywać. Mechanizm ten, nazywany wear leveling, sprawia, że system operacyjny nie kontroluje bezpośrednio fizycznego położenia danych. Wielokrotne nadpisywanie tego samego pliku nie gwarantuje więc, że poprzednia kopia trafiła do tych samych komórek.
Dodatkowo system może wysłać polecenie TRIM, informujące SSD, że określone bloki nie zawierają już potrzebnych danych. Kontroler może później je wyczyścić w tle. Z jednej strony utrudnia to odzyskiwanie skasowanych plików, z drugiej — użytkownik nie ma pełnej kontroli nad momentem wykonania operacji. Sam fakt włączenia TRIM nie jest potwierdzeniem bezpiecznego wyczyszczenia całego nośnika.
Dobierz metodę do dysku i dalszego losu sprzętu
Nie istnieje jedna procedura dobra dla każdego urządzenia. Najpierw trzeba ustalić typ nośnika, a następnie zdecydować, czy ma on dalej pracować, zostać sprzedany, trafić do serwisu czy zostać fizycznie zniszczony.
Dla współczesnych procedur bezpieczeństwa stosuje się trzy poziomy działania:
- Clear — logiczne usunięcie danych metodą odporną na zwykłe programy do odzyskiwania;
- Purge — usunięcie ograniczające również możliwość odzysku laboratoryjnego, na przykład przez polecenie obsługiwane przez kontroler lub kasowanie kryptograficzne;
- Destroy — fizyczne zniszczenie nośnika, gdy nie będzie już ponownie używany.
W komputerze domowym przed sprzedażą sprawnego dysku HDD najczęściej wystarczy jeden pełny zapis całej powierzchni, a następnie ponowne utworzenie partycji i instalacja systemu. W Windows można wykorzystać reset komputera z opcją „Usuń wszystko” oraz włączonym czyszczeniem danych. Trzeba jednak znać ograniczenie tej funkcji: Microsoft określa ją jako rozwiązanie konsumenckie, które utrudnia odzyskanie plików, ale nie zastępuje branżowych procedur kasowania stosowanych w firmach i instytucjach.
Przy ręcznym czyszczeniu należy bardzo dokładnie sprawdzić numer dysku. Pomylenie nośnika w narzędziu DiskPart oznacza utratę danych bez dodatkowego ostrzeżenia. Odłączenie pozostałych dysków przed rozpoczęciem operacji jest prostsze i bezpieczniejsze niż poleganie wyłącznie na nazwach oraz numerach wyświetlanych w konsoli.
Dla SSD lepszym wyborem jest funkcja udostępniona przez producenta lub interfejs urządzenia, na przykład:
- NVMe Sanitize,
- NVMe Format z odpowiednim ustawieniem bezpiecznego kasowania,
- ATA Secure Erase lub ATA Enhanced Secure Erase,
- fabryczna funkcja „Secure Erase” w narzędziu producenta,
- kasowanie kryptograficzne, jeżeli dane były poprawnie szyfrowane.
Nazwy opcji zależą od producenta dysku, wersji firmware’u, BIOS-u i używanego programu. Samsung Magician, Crucial Storage Executive, Kingston SSD Manager czy narzędzia producentów komputerów mogą udostępniać różne funkcje. Nie należy wybierać przypadkowego programu tylko dlatego, że ma przycisk „military wipe”. Marketingowa nazwa nie potwierdza, czy narzędzie wysłało właściwe polecenie do kontrolera i czy zweryfikowało jego wykonanie.
Klasyczne wielokrotne nadpisywanie SSD jest kiepskim pomysłem. Nie gwarantuje dotarcia do wszystkich komórek, nie obejmuje bloków zapasowych i niepotrzebnie zwiększa zużycie pamięci flash. Siedem, 35 czy 100 przebiegów brzmi efektownie, ale w nowoczesnym SSD jest przede wszystkim stratą czasu.
Kasowanie kryptograficzne działa inaczej. Dane pozostają fizycznie w komórkach, lecz usuwany lub zastępowany jest klucz potrzebny do ich odszyfrowania. Metoda jest szybka — często zajmuje sekundy lub minuty — ale ma sens tylko wtedy, gdy:
- cały istotny obszar nośnika był wcześniej szyfrowany,
- użyto silnego, unikalnego klucza,
- klucz nie został zapisany w łatwo dostępnej kopii,
- implementacja szyfrowania i procedura usunięcia klucza są wiarygodne.
Włączenie BitLockera lub FileVault dopiero chwilę przed sprzedażą nie zawsze rozwiązuje problem. Pliki usunięte przed uruchomieniem pełnego szyfrowania mogły wcześniej znajdować się na nośniku w postaci jawnej. Najlepszą ochronę daje szyfrowanie aktywne od początku użytkowania urządzenia, a nie dodane w ostatnim dniu.
Fizyczne zniszczenie powinno być zarezerwowane dla uszkodzonych nośników, szczególnie wrażliwych danych albo sytuacji, w której ponowne użycie nie ma znaczenia. Samo przewiercenie jednego otworu w HDD może nie zniszczyć wszystkich fragmentów talerzy. Rozbicie obudowy SSD również nie wystarczy, jeżeli część kości pamięci pozostanie nienaruszona. Profesjonalne niszczenie polega na rozdrobnieniu nośnika do frakcji określonej przez przyjętą procedurę.
Demagnetyzacja działa na magnetyczne HDD i taśmy, ale nie usuwa danych z pamięci flash. Może też trwale uszkodzić elektronikę dysku, przez co sprzęt nie nadaje się do ponownego użycia. Domowe eksperymenty z magnesami neodymowymi nie zastępują przemysłowego demagnetyzera o kontrolowanym natężeniu pola.
Jak przygotować komputer do sprzedaży, zwrotu lub utylizacji
Bezpieczne przekazanie sprzętu zaczyna się przed formatowaniem. Najpierw trzeba ustalić, gdzie faktycznie znajdują się dane. Użytkownicy często czyszczą partycję systemową, a pomijają drugi dysk, kartę pamięci, pendrive pozostawiony w porcie albo folder synchronizowany z usługą chmurową.
Praktyczna procedura wygląda następująco:
- Wykonaj kopię potrzebnych danych. Otwórz kilka losowych plików z kopii, zamiast zakładać, że samo zakończenie procesu oznacza poprawny backup.
- Wyloguj urządzenie z usług. Usuń konta z przeglądarek, komunikatorów, klientów poczty, pakietów biurowych i aplikacji wykorzystujących płatne licencje.
- Sprawdź wszystkie nośniki. W systemowym zarządzaniu dyskami zweryfikuj liczbę fizycznych urządzeń, a nie tylko widocznych liter dysków.
- Ustal, czy dysk jest HDD, SATA SSD czy NVMe SSD. Informację można sprawdzić w Menedżerze zadań, narzędziu producenta, BIOS-ie lub na etykiecie urządzenia.
- Sprawdź stan szyfrowania. Sam symbol kłódki nie wystarczy. Szyfrowanie musi obejmować cały właściwy wolumin, a klucz odzyskiwania powinien zostać usunięty z miejsc, do których nowy właściciel mógłby uzyskać dostęp.
- Wybierz metodę czyszczenia. HDD można nadpisać w całości. Dla SSD należy preferować Sanitize, Secure Erase albo poprawnie przeprowadzone kasowanie kryptograficzne.
- Zweryfikuj wynik. Sprawdź, czy po ponownym uruchomieniu urządzenie nie otwiera starego systemu, nie wyświetla poprzednich partycji i nie zawiera profilu dotychczasowego użytkownika.
- Dopiero potem przekaż sprzęt. W firmie zapisz numer seryjny nośnika, datę operacji, zastosowaną metodę, wynik i osobę odpowiedzialną.
Dokumentowanie operacji ma znaczenie szczególnie w przedsiębiorstwach. RODO nie wskazuje jednego obowiązkowego programu ani liczby przebiegów nadpisywania. Wymaga natomiast zastosowania środków technicznych i organizacyjnych odpowiednich do ryzyka. Firma przetwarzająca dokumentację medyczną, dane kadrowe czy informacje finansowe powinna umieć wykazać, który nośnik wyczyszczono, jaką metodą, kiedy i z jakim wynikiem.
Certyfikat wygenerowany przez program jest pomocny, ale nie powinien być traktowany jak magiczna gwarancja. Trzeba sprawdzić, czy zawiera co najmniej:
- model i numer seryjny nośnika,
- jego pojemność,
- datę oraz godzinę operacji,
- zastosowaną metodę lub polecenie,
- wynik weryfikacji,
- informację o błędach i pominiętych obszarach,
- identyfikację operatora.
Jeżeli dysk zgłasza błędy, znika z systemu albo nie kończy procedury, nie należy uznawać go za wyczyszczony. Uszkodzony kontroler może uniemożliwić dostęp do danych użytkownikowi, ale nie daje pewności, że kości pamięci lub talerze są puste. W przypadku poufnych informacji bezpieczniejszą decyzją jest wtedy profesjonalne zniszczenie.
Trzeba też uwzględnić kopie poza komputerem. Wyczyszczenie laptopa nie usuwa automatycznie danych z OneDrive, Google Drive, iCloud, serwera NAS, kopii zapasowej telefonu ani archiwum wykonanego przez dział IT. Jeżeli celem jest realizacja żądania usunięcia danych, potrzebna jest kontrola całego cyklu przechowywania, w tym okresów retencji backupów.
FAQ: formatowanie i bezpieczne kasowanie danych
Czy szybkie formatowanie wystarczy przed sprzedażą komputera?
Nie. Na HDD część plików może pozostać możliwa do odzyskania. Na SSD rezultat zależy od TRIM i pracy kontrolera, ale samo szybkie formatowanie nadal nie jest procedurą, na której warto opierać ochronę prywatności.
Czy jedno nadpisanie HDD jest wystarczające?
Dla współczesnego, sprawnego dysku HDD jeden poprawny zapis całej dostępnej powierzchni jest zwykle wystarczający przed sprzedażą konsumencką. Wielokrotne przebiegi znacząco wydłużają operację, a rzadko zapewniają praktycznie istotną korzyść.
Czy SSD można wyczyścić programem do wielokrotnego nadpisywania?
Można zapisać jego widoczny obszar, ale nie daje to pewności objęcia bloków zapasowych i komórek przeniesionych przez wear leveling. Lepsze są polecenia Sanitize, Secure Erase lub kasowanie kryptograficzne.
Czy usunięcie partycji usuwa zapisane pliki?
Nie. Usunięcie partycji kasuje głównie informacje opisujące jej położenie i strukturę. Dane mogą pozostać w sektorach do czasu ich nadpisania lub wyczyszczenia przez kontroler.
Czy reset Windows wystarczy przed oddaniem laptopa rodzinie?
Opcja „Usuń wszystko” z włączonym czyszczeniem danych jest rozsądnym minimum konsumenckim. Przy dokumentacji firmowej, medycznej, księgowej lub innych poufnych danych należy zastosować procedurę przeznaczoną dla konkretnego typu nośnika i zachować raport z operacji.
Czy szyfrowanie chroni dane po sformatowaniu?
Tak, pod warunkiem że zostało włączone odpowiednio wcześnie, obejmowało cały właściwy obszar i klucze zostały skutecznie usunięte. Szyfrowanie uruchomione dopiero przed sprzedażą nie daje pewności w odniesieniu do plików skasowanych wcześniej.
Czy niedziałający dysk można po prostu wyrzucić?
Nie. Awaria interfejsu lub kontrolera nie oznacza zniszczenia danych. Nośnik z poufnymi informacjami powinien zostać wyczyszczony przez urządzenie obsługujące odpowiednie polecenia albo fizycznie rozdrobniony.
Pierwszy krok to nie formatowanie, lecz sprawdzenie rodzaju nośnika i stanu szyfrowania. Dla HDD wybierz pełne nadpisanie całej powierzchni. Dla SSD użyj funkcji Sanitize, Secure Erase albo kontrolowanego kasowania kryptograficznego. Jeżeli dysk jest uszkodzony, zawiera dane firmowe lub nie daje raportu potwierdzającego prawidłowe zakończenie operacji, nie sprzedawaj go — skieruj go do profesjonalnego zniszczenia.
Więcej informacji na: Blancco Drive Eraser oraz Blancco.
