На протяжении многих лет DoD 5220.22-M был одним из самых узнаваемых названий в сфере безопасного стирания данных. Методы многопроходной перезаписи, связанные с этим стандартом, широко внедрялись в программное обеспечение для удаления данных и стали привычным способом подтвердить, что данные были перезаписаны, а не просто удалены.
Этот подход был практичным для технологий хранения, доминировавших в то время, особенно для магнитных жестких дисков. Но системы хранения изменились. Смартфоны, SSD, планшеты и другие современные устройства в значительной степени используют флеш-память, шифрование и хранилища под управлением контроллера, поэтому традиционная многопроходная перезапись хуже подходит в качестве универсального метода.
Так что же такое DoD 5220.22-M, почему этот стандарт был важен и актуален ли он сегодня?
Краткий ответ
DoD 5220.22-M исторически связан с методами многопроходной перезаписи данных, применявшимися для удаления информации с магнитных носителей. Он стал важным, поскольку предлагал структурированный и воспроизводимый подход к стиранию данных и получил широкое признание в ИТ-процессах и процессах информационной безопасности. Однако модель, основанная на перезаписи, не полностью учитывает особенности современной флеш-памяти. Сегодня практика санации носителей все чаще опирается на технологически ориентированные рекомендации, такие как NIST SP 800-88.
Ключевые выводы
- DoD 5220.22-M стал одним из самых известных ориентиров в области безопасного стирания данных.
- Его репутация сформировалась вокруг заданных схем перезаписи и проверки результата.
- Этот подход хорошо подходил для традиционных магнитных жестких дисков.
- Многопроходная перезапись имеет существенные ограничения при работе с флеш-памятью, SSD и современными мобильными устройствами.
- Современные рекомендации по санации уделяют больше внимания типу носителя, риску, подходящим методам санации и валидации.
- NIST SP 800-88 представляет более современный подход к санации носителей.
DoD 5220.22-M — это National Industrial Security Program Operating Manual, или NISPOM, выпущенное Министерством обороны США.
Само руководство охватывало гораздо более широкий круг вопросов, чем стирание данных. Оно устанавливало требования к защите секретной информации, с которой работали государственные подрядчики и другие организации, участвующие в National Industrial Security Program.
Со временем название DoD 5220.22-M стало тесно ассоциироваться с определенными процедурами санации данных, основанными на перезаписи накопителя заранее заданными битовыми шаблонами.
Эта ассоциация стала настолько распространенной, что выражение «DoD wipe» превратилось в общеупотребимый отраслевой термин, отделившись от более широкого назначения исходного руководства.
Как работал метод стирания данных DoD?
Основной принцип стирания в стиле DoD заключается в перезаписи существующей информации новыми данными, чтобы исходное содержимое больше нельзя было восстановить при обычном доступе к носителю.
В часто упоминаемой реализации используется несколько проходов перезаписи с различными битовыми шаблонами, после чего выполняется проверка.
Например, программное обеспечение, реализующее метод в стиле DoD, могло перезаписывать накопитель следующим образом:
-
Заданным двоичным значением.
-
Дополняющим двоичным значением.
-
Случайными или заранее заданными данными.
-
Проверкой завершенной перезаписи.
В коммерческих инструментах для стирания также получили распространение семипроходные варианты.
Точная реализация могла различаться в зависимости от продукта, и это одна из причин, по которой выражение «стандарт DoD» со временем стало трактоваться шире, чем исходная государственная документация.
Сегодня сам NIST приводит DoD 5220.22-M как пример исторической практики стирания жестких дисков путем нескольких проходов перезаписи с использованием определенных двоичных шаблонов.
Почему DoD 5220.22-M был важен?
Стирание в стиле DoD стало популярным, потому что решало реальную проблему информационной безопасности.
Удаление файла не обязательно означает удаление содержащихся в нем данных. Во многих системах хранения удаление лишь удаляет или изменяет метаданные, которые указывают операционной системе, где находится файл. Сама информация может оставаться доступной для восстановления до тех пор, пока соответствующая область накопителя не будет перезаписана.
Стирание в стиле DoD предложило структурированный ответ на эту проблему.
Он создал воспроизводимый процесс
Вместо того чтобы полагаться на обычное удаление или форматирование, организации могли применять определенную процедуру перезаписи.
Это помогло превратить удаление данных в формализованный процесс информационной безопасности.
Для компаний, управляющих большим количеством накопителей, наличие воспроизводимого метода было особенно ценно, поскольку процедуру можно было реализовать программно и применять единообразно.
Он включал проверку
Процесс перезаписи становился полезнее, если можно было проверить его завершение.
Проверка помогала подтвердить, что операция стирания выполнилась ожидаемым образом, вместо того чтобы просто предполагать успешное удаление данных.
Этот принцип остается актуальным и сегодня, хотя современные системы санации по-другому подходят к проверке и валидации.
Он позволял повторно использовать накопители
Физическое уничтожение может защитить данные, но одновременно уничтожает ценность самого носителя.
Санация на основе перезаписи предлагала другой вариант: удалить информацию, сохранив накопитель пригодным для дальнейшего использования.
Для ИТ-подразделений, компаний по управлению выбывающими активами, реселлеров и других организаций это поддерживало повторное использование оборудования вместо его немедленного уничтожения.
Его было легко понять
Логика была интуитивной.
Если на накопителе хранилась конфиденциальная информация, многократная запись новых данных в те же области казалась более надежным способом убедиться, что прежняя информация исчезла.
Эта простота помогла стиранию по DoD стать одним из самых известных терминов в области удаления данных.
Было ли семипроходное стирание DoD лучше трехпроходного?
Популярность многопроходного стирания также породила представление о том, что большее количество проходов автоматически означает более высокий уровень безопасности.
Три прохода стали широко ассоциироваться со стиранием по DoD, а некоторые инструменты предлагали семь проходов или даже больше.
Для магнитных накопителей санация на основе перезаписи имела четкое техническое обоснование. Однако увеличение числа проходов также увеличивало время обработки.
Что еще важнее, современные рекомендации больше не рассматривают большое количество проходов перезаписи как главный показатель эффективной санации.
NIST SP 800-88 Rev. 2 прямо указывает, что многопроходная перезапись не требуется для метода санации Clear, а фиксированные требования к нескольким проходам, связанные с DoD 5220.22-M, называет устаревшими.
Вопрос уже не сводится к тому, сколько раз данные перезаписываются. Гораздо важнее стали технология хранения и то, как она управляет данными.
Каковы ограничения DoD 5220.22-M?
Стирание в стиле DoD было разработано в эпоху, когда магнитные жесткие диски были доминирующим видом многоразовых цифровых носителей.
Современные устройства работают иначе.
Поэтому главное ограничение состоит не в том, что перезапись бесполезна. Оно заключается в том, что нельзя предполагать, будто фиксированный шаблон перезаписи дает одинаковый результат на всех типах современных накопителей.
Почему стирание DoD хуже подходит для флеш-памяти?
Смартфоны, планшеты, SSD и многие другие современные устройства используют флеш-память NAND.
Флеш-хранилище не предоставляет программному обеспечению прямой доступ к физическим областям памяти так же просто, как традиционные магнитные диски.
Контроллер накопителя может управлять данными с помощью таких механизмов, как:
- выравнивание износа;
- избыточное резервирование;
- резервные блоки;
- управление поврежденными блоками;
- преобразование логических адресов в физические;
- переназначение областей хранения.
Например, выравнивание износа распределяет операции записи между различными физическими ячейками, чтобы снизить чрезмерный износ одной области.
Это означает, что когда программное обеспечение запрашивает перезапись логического адреса, контроллер может записать новую информацию в другую физическую ячейку памяти вместо прямой замены прежних данных.
В результате повторение команды логической перезаписи не обязательно означает, что была перезаписана каждая физическая область, содержащая прежнюю информацию.
Поэтому традиционная модель «больше проходов — выше безопасность» значительно менее полезна для современной флеш-памяти.
Почему это важно для смартфонов?
Эти ограничения особенно актуальны для вторичного рынка мобильных устройств.
Современные смартфоны используют интегрированную флеш-память, а не магнитные жесткие диски. Кроме того, они в значительной степени полагаются на шифрование и специфические для устройств архитектуры безопасности.
Компании, работающие с подержанными устройствами, могут обрабатывать сотни или тысячи таких аппаратов в рамках программ trade-in, buyback, refurbishment, оптовой торговли или переработки.
Повторная перезапись только потому, что исторически она ассоциировалась с безопасным стиранием, может создавать несколько проблем:
- лишнее время обработки;
- дополнительные операции записи во флеш-память;
- ограниченную уверенность в том, что недоступные области хранилища были обработаны;
- зависимость от метода, который может не отражать реальный способ управления данными на устройстве.
Поэтому цель должна заключаться в выборе метода санации, соответствующего архитектуре хранилища, а не в применении одной и той же устаревшей процедуры ко всем устройствам.
Актуален ли DoD 5220.22-M сегодня?
DoD 5220.22-M по-прежнему актуален как часть истории профессионального стирания данных.
Он помог сформировать несколько принципов, которые остаются важными:
- удаление файлов — не то же самое, что санация носителя;
- стирание данных должно выполняться по определенному процессу;
- результат процесса должен проверяться;
- носитель должен быть санирован перед повторным использованием или передачей;
- организациям необходимы единообразные процедуры обращения с конфиденциальной информацией.
Изменилось техническое исполнение.
Современные технологии хранения требуют большего, чем фиксированная последовательность шаблонов перезаписи.
Даже NIST теперь прямо называет многопроходный подход DoD устаревшей моделью при описании того, как должна выполняться санация методом Clear.
Таким образом, стирание по DoD по-прежнему полезно для понимания развития практик безопасного удаления данных, но его не следует рассматривать как универсальный современный стандарт для любого устройства.
Почему организации переходят на NIST SP 800-88?
Современные рекомендации по санации носителей меньше сосредоточены на фиксированных шаблонах перезаписи и больше — на выборе метода, соответствующего носителю, риску и предполагаемой дальнейшей судьбе устройства.
NIST SP 800-88 — один из основных документов, отражающих этот подход.
Текущая версия NIST SP 800-88 Rev. 2 была опубликована в сентябре 2025 года и заменила Rev. 1. Она ориентирована на построение программы санации носителей с учетом подходящих методов санации, мер контроля, чувствительности данных, повторного использования носителей и валидации.
NIST выделяет три основных метода санации:
- Clear;
- Purge;
- Destroy.
В соответствующих случаях он также признает такие методы, как перезапись, block erase, cryptographic erase и специализированные команды санации накопителей.
Этот подход отражает важное изменение.
Вместо вопроса:
«Сколько проходов перезаписи нужно использовать?»
Более полезными становятся вопросы:
- Какой тип накопителя подвергается санации?
- Насколько конфиденциальна информация?
- Будет ли устройство использоваться повторно?
- Какой метод санации подходит для этого типа накопителя?
- Завершился ли процесс успешно?
- Можно ли валидировать результат?
Это делает рекомендации в стиле NIST гораздо более применимыми к разнообразию современных технологий хранения.
Для подробного объяснения Clear, Purge, Destroy, cryptographic erase и последних рекомендаций NIST см. наш отдельный материал о NIST SP 800-88 и санации носителей.
Что переход от DoD к NIST означает для компаний, работающих с подержанными устройствами?
Для компаний, работающих с подержанными устройствами, это изменение носит практический, а не теоретический характер.
Цель безопасности в целом осталась прежней: данные предыдущего владельца не должны оставаться доступными, когда устройство переходит в следующий жизненный цикл.
Изменился способ достижения этой цели.
Современный процесс стирания данных должен учитывать:
- тип устройства и накопителя;
- подходящий метод стирания или санации;
- успешно ли завершился процесс;
- требуются ли дополнительные действия после сбоя;
- как фиксируется результат;
- как запись о стирании связывается с конкретным устройством.
Это особенно важно, когда устройства проходят через несколько операционных этапов.
Типичный процесс может включать:
Прием устройства → Диагностика → Стирание данных → Проверка → Грейдинг → Инвентаризация → Перепродажа
При больших объемах ценность заключается в том, чтобы сделать каждый этап воспроизводимым и прослеживаемым.
Стирание данных в современной обработке устройств
NSYS Data Erasure разработан для компаний, обрабатывающих подержанные мобильные устройства, и помогает интегрировать стирание данных в более широкий процесс управления устройствами.
Вместо того чтобы рассматривать стирание как изолированную ручную операцию, компании могут связать результат с обрабатываемым устройством и сохранять записи на протяжении всего жизненного цикла устройства.
Это отражает более широкое развитие самой санации данных.
Стирание в стиле DoD помогло закрепить идею о том, что конфиденциальные данные должны системно удаляться перед повторным использованием носителя. Современные стандарты развивают этот принцип, адаптируя процесс к новым технологиям хранения.
Часто задаваемые вопросы
Что означает DoD 5220.22-M?
DoD 5220.22-M относится к National Industrial Security Program Operating Manual Министерства обороны США. Позднее это название стало прочно ассоциироваться с методами многопроходной перезаписи, используемыми программным обеспечением для стирания данных.
Является ли DoD 5220.22-M актуальным стандартом стирания данных?
Он сохраняет историческое значение, и варианты стирания в стиле DoD по-прежнему доступны в некоторых инструментах. Однако фиксированная многопроходная перезапись больше не считается универсальным современным подходом к санации носителей, особенно флеш-памяти.
Сколько проходов используется в DoD 5220.22-M?
Стирание DoD обычно ассоциируется с трехпроходными методами, хотя семипроходные варианты получили широкое распространение в коммерческом ПО. Точная реализация может различаться, поэтому само по себе количество проходов не должно использоваться как показатель качества современной санации.
Семипроходное стирание лучше трехпроходного?
Не обязательно. Дополнительные проходы увеличивают время обработки, а современные рекомендации по санации не предполагают, что большее количество проходов обеспечивает лучшую защиту для любой технологии хранения. NIST SP 800-88 Rev. 2 прямо указывает, что многопроходная перезапись не требуется для санации методом Clear.
Что пришло на смену DoD 5220.22-M?
Единой прямой замены для всех ситуаций нет. Современные организации обычно используют технологически ориентированные рекомендации по санации носителей, такие как NIST SP 800-88, где процесс выбирается с учетом типа накопителя, чувствительности данных, требований к повторному использованию и подходящих методов санации.
DoD 5220.22-M был важен, но стирание данных эволюционировало
DoD 5220.22-M стал влиятельным, потому что помог превратить стирание данных в определенный и воспроизводимый процесс информационной безопасности. Для магнитных накопителей методы на основе перезаписи были практичными, понятными и совместимыми с повторным использованием носителей.
Современные системы хранения изменили предпосылки этого подхода.
Флеш-память, контроллеры SSD, шифрование, выравнивание износа и другие технологии означают, что фиксированную многопроходную перезапись больше нельзя считать универсальным показателем безопасного стирания.
Принципы, лежащие в основе стирания DoD, остаются актуальными. Изменилось их техническое воплощение.
Для компаний, работающих с современными устройствами, следующий шаг — понимать принципы санации носителей, а не просто выбирать максимально доступное количество проходов перезаписи. Наш материал о NIST SP 800-88 подробнее объясняет современный подход.
