以下文章来源于ISACA ，作者Bassel KablawiISACA.ISACA（国际信息系统审计协会）是一家成立于1969年的非营利组织，总部设在美国芝加哥，并在中国北京设有办公室。同时ISACA是全球公认的提供信息系统鉴证及安全，企业IT治理与管理，IT风险及合规性知识、认证、社区，倡导教育的领导组织。

正确的数据处理对数据隐私和保护至关重要。总部位于美国的全球投资银行和金融服务机构摩根士丹利就因不当处置个人数据而被罚款6000万美元。个人数据生命周期包括收集、存储、使用、共享、留存、处置六个过程，虽然处置是个人数据生命周期的最后一步，但处理不当，也会造成安全风险。

图1 – 数据生命周期

大多数数据隐私法律和法规规定，数据必须为特定项目或计划的目的而收集，并且在组织的系统中留存应不超过必要的时间，并且只有在数据主体主动同意的情况下才能留存。简而言之，如果数据不再用于业务需要，或数据主体撤回同意，则组织必须处置数据。

数据处置方法

数据处置是彻底销毁数据，确保数据不再可用、可访问或可读。那么，数据是如何销毁的呢？是否只需要从系统中删除？在回答这个问题之前，我们必须理解，销毁工作应该根据组织的留存策略进行。

留存策略定义了组织的留存计划，该计划为记录管理和法律部门组织记录和信息提供了基础，并描述了为符合法律法规和业务需要记录必须留存的时间长度。留存策略因组织和行业而异。策略基于业务需求和组织必须遵守的外部法规制定。当企业参考其留存策略时，最多可以使用5种数据处置方法：

1. 数据匿名化—修改数据，使数据主体不再可以直接或间接识别。这个过程可以通过令牌化完成，令牌化是将一段有意义的数据转换为随机字符。令牌化在支付卡行业（PCI）中广泛用于保护持卡人数据（CHD），在医疗保健行业中广泛用于保护隐私信息（如受保护的健康信息[PHI]），并在保持数据完整性的同时最大限度地降低信息泄漏的风险。由于用户是未知的，该方法防止组织在营销活动中使用收集的匿名数据或用于个性化用户体验。
   
2. 数据删除—删除数据并使其处于可恢复状态。这与数据擦除不同，数据擦除是指永久删除数据，使其无法恢复。删除数据时，操作系统（OS）会删除指向文件结构中数据的指针。即使在Windows操作系统中使用Shift+Delete命令或在macOS中使用command+Shift+Delete命令，也可以使用数据恢复软件恢复数据。这同样适用于删除系统回收站的内容。因此，数据删除会给组织带来风险，因为删除的数据仍然可以恢复。
   
3. 数据加密擦除（针对加密数据）—删除数据加密密钥。如果没有密钥，不可能解密三种数据（即静止数据、传输中的数据、使用中的数据）状态中的任何一种数据。如果数据是加密的，为什么要关心发生了什么？因为随着计算能力的增长，加密强度会随着时间的推移而减弱。只要加密服务可以保护数据，加密擦除就是有效的。
   
4. 数据消磁—通过减弱磁场永久擦除磁性介质中的数据，以净化数字介质并完全擦除其内容。数据消磁可以在某些类型的存储设备上执行，但不适用于使用固态驱动器（SSD）的设备，因为SSD不以磁性方式存储数据。
   
5. 数据销毁—完全物理销毁存储磁带、磁盘和/或其他形式的电子媒体。这种方法的唯一后果以失去被摧毁的设备的代价，因为设备将不再可用。

组织可以根据其业务需求和存储的数据的重要性选择处置选项。数据销毁的最有效方法是在执行物理销毁之前消磁，因为消磁会使存储介质致敏，因此在重新组装被销毁的设备时没有风险。
数据处置的重要性

想象一下，一个组织的数据库中存储了许多个人数据集，但这些数据已经不再使用，对组织没有任何价值。该组织被迫继续投入精力和资源（例如数据存储空间、人员、网络安全措施和设备）存储和保护数据。这增加了间接成本，并进一步使数据分类复杂化。一直以来，未使用的数据保留在系统中就会暴露在不必要的潜在风险中。正确处理未使用的数据有助于确保这种情况不会成为现实。

组织除了可能因不遵守数据处置法规而面临的法律处罚和罚款外，当遭遇数据泄露时会丢失数据，甚至可能被导致泄露方公布。为了维护公众信任，该组织必须处理该事件，并通知数据遭到窃取的数据主体。

结语

通常，当一个组织意识到它拥有不再需要的数据时，因为员工没有每天访问这些数据，可能导致忽视数据保护措施，使数据容易遭到泄露。

某些法规要求组织强制执行删除数据的留存策略。为了遵守这些规定，企业必须认真对待数据处置，并数据履行主体在撤回对组织使用和处理其数据的同意后删除其个人信息的权利。

除合规性外，了解数据处置的重要性可以帮助组织保护个人数据不因数据泄露而泄露，从而防止组织的声誉受损，并节省补救措施和/或额外存储空间的成本。