Kullanımdan kaldırılan bir bilgisayarın geri dönüşüm tesisine ulaşması, içindeki verinin güvenli biçimde temizlendiğini tek başına göstermez. Benzer şekilde, bir prototipin parçalanmasına tanık olunması bütün parçaların doğru yöntemle işlendiğini veya tasarım bilgilerinin daha önce kopyalanmadığını kanıtlamaz. Hizmet satın alırken üç ayrı soruya yanıt aranmalıdır: Doğru varlık teslim edildi mi, bilgi güvenliği açısından uygun işlem doğrulandı mı ve atık mevzuatına uygun işlem yapıldı mı?
1. İmha kararını varlığın sahibi versin
İlk adım araç veya güvenlik görevlisi planlamak değil, hangi varlıkların hangi gerekçeyle elden çıkarılacağını belirlemektir. Bilgi işlem birimi veri taşıyan ortamları, ilgili iş birimi prototipleri, hukuk veya uyum sorumlusu ise varsa saklama gerekliliklerini değerlendirmelidir. İnceleme altında olan bir kayıt ya da saklanması gereken belge, yalnızca cihaz eski olduğu için imha listesine alınmamalıdır.
Liste, mümkün olduğunda seri numarası veya kurumun varlık koduyla hazırlanabilir. İçeriği bilinmeyen kutular, bozuk etiketler ve listede bulunmayan cihazlar için ayrı bir kabul süreci tanımlanmalıdır. Özel güvenlik görevlisi bu istisnayı kayda geçirip yetkiliye iletebilir; cihazın hukuken imha edilmesine veya teknik yöntemine tek başına karar vermez.
2. Teslim zincirini takip edilebilir kurun
Pratik bir teslim kaydı; teslim eden ve alan yetkilileri, tarih ve saati, varlık ya da kap numarasını, gözlenen ambalaj durumunu ve uyuşmazlıkları içerebilir. Toplu tartım yardımcı olabilir; ancak aynı ağırlıktaki farklı cihazları ayırt etmez. Yüksek hassasiyetli kalemlerde yalnız ağırlık tutanağına dayanmak yerine varlık düzeyindeki kayıt ihtiyacı değerlendirilmelidir.
Fark çıkarsa tartışmayı çalışan hakkında peşin suçlamaya dönüştürmeden işlem durumu belirlenmelidir. Örneğin ilgili kap, işletmenin önceden tanımladığı alanda yetkili kararını bekleyebilir. Bu işlem, bir kişiyi hukuki dayanak olmadan alıkoyma yetkisi vermez. Teslim zincirindeki her değişiklik, sonradan açıklanabilecek bir kayıt bırakmalıdır.
3. Veri temizleme teknik bir doğrulama işidir
NIST SP 800-88 Rev. 2, veri ortamlarının temizlenmesini bilginin hassasiyetine uygun teknikler ve kontroller içeren bir program olarak ele alır. Bu ABD teknik rehberi Türk mevzuatının yerine geçmez; her cihaz için tek bir imha yönteminin yeterli olduğu anlamına da gelmez.
Satınalma şartnamesinde yöntemi kimin seçeceği, sonucu kimin doğrulayacağı ve başarısız işlemde ne yapılacağı yazılmalıdır. Güvenlik görevlisinin hazır bulunması, kamera kaydı veya imza, tek başına verinin geri getirilemezliğini doğrulamaz. Teknik raporun belirli varlıklarla ilişkilendirilmesi, belirsiz bir toplu “imha edildi” ifadesinden daha açıklayıcıdır. Prototiplerde ise veri ortamı bulunmasa bile tasarım sahibinin parçalar ve etiketler için ayrı talimatı gerekebilir.
4. Çevresel uygunluğu ayrı kontrol edin
Elektronik atığın çevresel yönetimi ile bilgi güvenliği aynı denetim değildir. Bakanlığın AEEE düzenlemesine ilişkin duyurusu, bu atıkların yönetimini ayrı bir düzenleme alanı olarak açıklar. İşletme, seçtiği tesisin ilgili faaliyet kapsamını ve gerekli belgelerini ayrıca doğrulamalıdır.
Teklif görüşmesine şu sorularla gidilebilir: Hangi belge hangi işlemi kanıtlıyor? Alt yüklenici kullanılırsa teslim kaydı nasıl devam ediyor? Eksik varlık veya başarısız temizleme nasıl bildiriliyor? Son rapor kime, hangi erişim sınırıyla veriliyor? Böylece güvenlik hizmeti; teknik veri imhası ve çevresel işlemlerin yerine geçen bir vaat olmaktan çıkar, sorumlulukları belli bir sürecin parçası olur.
