Chain of custody bij het afvoeren van IT-hardware

Chain of custody is de aaneengesloten vastlegging van iedere overdracht die apparatuur ondergaat nadat die uw pand verlaat. Bij een IT Asset Disposition-traject is dat het verschil tussen weten waar uw data is gebleven en hopen dat het goed zat. Elke schakel is achteraf te controleren op wie de apparatuur had, wanneer, en wat er is gebeurd.

Wat betekent chain of custody?

Chain of custody betekent dat bij iedere overdracht van apparatuur vastligt wie het had, wanneer, en wat er is gebeurd. De term komt uit de forensische wereld.

Bij het afvoeren van IT-hardware werkt het net zo. Eén onverklaarde stap, bijvoorbeeld een tussenstop bij een onbekende partij, maakt de hele reeks onbruikbaar als onderbouwing. Het gaat dus om de volledigheid van de reeks en niet om de laatste handeling alleen.

Waarom chain of custody telt bij oude IT-apparatuur

Uw organisatie blijft verwerkingsverantwoordelijke voor de data op die apparatuur. Onder de AVG geldt dat ook nadat een vervoerder de dozen heeft meegenomen. Die verantwoordelijkheid draagt u niet over.

Daar komt bij dat afgeschreven hardware vaak weken of maanden blijft staan voordat er iets mee gebeurt. Dat is precies de periode waarin niemand meer weet wat er in die laptops zat. Een keten die pas begint bij de verwerker laat dat gat open. Bij datavernietiging met certificaat begint de vastlegging daarom bij het ophalen en niet pas bij het wissen.

De administratieve keten per datadrager

De administratieve keten legt per datadrager vast wat ermee is gedaan, en niet per pallet of per zending. Elke drager krijgt een eigen regel met serienummer, wismethode, begintijd, eindtijd, duur en resultaat. De methode volgt een internationaal erkende norm voor het onherstelbaar wissen van datadragers, NIST SP 800-88 of IEEE 2883-2022. Welke norm van toepassing is, hangt af van de opdracht, het type datadrager en de partner die het wissen uitvoert.

Die reeks eindigt op twee ondertekenvelden. Eén voor de operator die het wissen uitvoerde, en één voor de supervisor die het controleerde. Daar komen een digitale signatuur en een rapport-UUID bij. Wat daar precies in staat, leest u op onze pagina over het vernietigingscertificaat.

Hoe de fysieke keten verloopt

De fysieke keten begint bij het ophalen op uw locatie en eindigt bij de beveiligde opslag op onze testlocatie. Wat daarna geen restwaarde blijkt te hebben, gaat naar verwerking bij een gecertificeerde partner, ook met vastlegging van die overdracht. Bij opdrachten met gevoelige bedrijfsinformatie kan de keten volledig aantoonbaar worden uitgevoerd:

• ophalen door onze vaste vervoerder Focus Koeriers, met chauffeurs die een Verklaring Omtrent het Gedrag hebben
• dedicated vervoer, waarbij de chauffeur rechtstreeks rijdt en de zending niet combineert met andere ritten
• verzegeling van de lading of het voertuig na het inladen
• verzekerd vervoer, met de mogelijkheid de rit via GPS te volgen
• het verbreken van de verzegeling bij aankomst
• beveiligde opslag tot het afgesproken test-, wis- of vernietigingsproces begint

Van het verzegelen en het verbreken van het zegel leggen wij het moment en de GPS-locatie vast. Een voorbeeld uit de praktijk: bij één klant hebben wij ruim 350 notebooks in één rit opgehaald en onder vastlegging naar de testfaciliteit vervoerd.

Wanneer verzegeld transport zinvol is

Dat hangt af van de waarde van de apparatuur en de gevoeligheid van de data. Het gebeurt op verzoek, en er kunnen extra kosten aan verbonden zijn.

Voor één losse laptop raden wij het niet aan. Dan kost de procedure meer dan ze oplevert. Een nette vastlegging per drager is in dat geval voldoende. Gaat het om een serverruimte of om apparatuur uit een omgeving met vertrouwelijke klantgegevens, dan is het antwoord meestal andersom.

Hoe u de keten zelf kunt controleren

Vraag per schakel wat er is vastgelegd en door wie. Dat zijn vier concrete vragen:

• wie heeft opgehaald?
• is er verzegeld, en waar?
• wanneer is het zegel verbroken?
• welke handeling is per datadrager uitgevoerd?

Kan een partij op één van die vier geen antwoord geven, dan heeft u geen keten maar een reeks losse momenten. Stel ze, ook aan ons: vraag een taxatie aan en u krijgt er antwoord op voordat er iets wordt opgehaald.

Veelgestelde vragen over chain of custody

Is chain of custody wettelijk verplicht?

Chain of custody is niet als losse verplichting in de wet vastgelegd. De AVG verlangt wel dat u passende maatregelen kunt aantonen bij het afvoeren van apparatuur met persoonsgegevens. Een aaneengesloten vastlegging is de manier waarop u dat doet. Voor organisaties onder de NIS2-wetgeving weegt die documentatieplicht zwaarder.

Wat is het verschil met een vernietigingscertificaat?

Het vernietigingscertificaat gaat over de laatste handeling, het wissen of vernietigen van de drager. Chain of custody gaat over alle stappen daarvoor, dus het ophalen, het vervoeren en het opslaan. U heeft beide nodig, want het ene zegt niets over het andere.

Wordt elke zending verzegeld vervoerd?

Nee, verzegeld vervoer gebeurt op verzoek en past niet bij elke opdracht. Bij grotere partijen en bij gevoelige omgevingen kunnen wij het inzetten, met vastlegging van de verzegeling en het verbreken daarvan. Bij een enkel apparaat is het geen zinvolle maatregel en bespreken wij dat vooraf met u.

Kan ik de rit volgen als mijn apparatuur wordt opgehaald?

Bij dedicated vervoer kan de rit via GPS worden gevolgd, en kunnen het moment en de locatie van verzegeling worden vastgelegd. Dat regelen wij per opdracht met de vervoerder, dus geef het aan bij de aanvraag. Standaard krijgt u de vastlegging achteraf en niet live mee.

Wie is aansprakelijk voor mijn data tijdens het transport?

Onder de AVG blijft uw organisatie verwerkingsverantwoordelijke voor de data, ook tijdens het transport. Dat kunt u niet contractueel wegschrijven. Wat u wel kunt doen is de keten aantoonbaar maken en het vervoer verzekerd laten uitvoeren. De aansprakelijkheid blijft dan bij u, maar het risico wordt kleiner.

Hoe lang staat apparatuur opgeslagen voor het wissen?

Dat hangt af van de omvang van de partij en de testtijd per apparaat. Bij een opdracht van 94 assets lag het complete wisrapport ongeveer twee weken na ontvangst klaar, inclusief testen en beoordelen. Duurt het langer, dan hoort u waar het aan ligt.