O paradoxo do apagamento seguro em SSDs sob a ótica da LGPD

A conformidade com a Lei Geral de Proteção de Dados (LGPD) impõe desafios que transcendem a esfera jurídica e colidem frontalmente com a arquitetura de hardware moderna. Enquanto o Artigo 18 da legislação garante ao titular o direito à "eliminação dos dados pessoais", a engenharia por trás dos dispositivos de armazenamento de estado sólido (SSDs) foi desenhada com um objetivo diametralmente oposto: preservar a integridade dos dados e prolongar a vida útil da mídia a qualquer custo.

Para auditores e gestores de infraestrutura, essa dicotomia cria um risco latente. O procedimento padrão de "formatação" ou "deleção" que serviu à indústria por décadas na era dos discos rígidos (HDDs) é, no contexto da memória NAND Flash, uma ilusão de conformidade. Sem a compreensão profunda da camada física, sua organização pode estar retendo dados sensíveis que acredita terem sido destruídos, expondo a operação a sanções administrativas e incidentes de vazamento pós-descarte.

Resumo em 30 segundos

O Conflito: A LGPD exige exclusão definitiva, mas os algoritmos de wear leveling dos SSDs espalham dados pelo disco para evitar desgaste, impedindo a sobregravação direta.

A Falha: Métodos tradicionais como zero-fill ou formatação do SO não garantem a sanitização em SSDs, pois o controlador pode esconder dados antigos em áreas de overprovisioning.

A Solução: O único método lógico 100% seguro e auditável para SSDs corporativos é o Cripto-apagamento (Crypto-erase) ou a destruição física granulada.

A camada de tradução e a persistência involuntária

A raiz do problema reside na Flash Translation Layer (FTL). Diferente dos HDDs, onde o sistema operacional endereça um setor físico específico (LBA) e o cabeçote grava exatamente naquele ponto, os SSDs operam com uma camada de abstração complexa.

Quando o sistema operacional envia um comando para "sobrescrever" um arquivo contendo dados pessoais, o controlador do SSD não apaga o bloco original imediatamente. Devido à natureza destrutiva das operações de escrita na memória NAND (que degradam o óxido do transistor), o controlador utiliza algoritmos de Wear Leveling (nivelamento de desgaste).

O que ocorre na prática técnica:

O SO pede para alterar o dado no Endereço Lógico A.
O controlador grava o novo dado em um Endereço Físico B (que estava vazio).
O controlador atualiza a tabela de mapeamento: "Endereço Lógico A agora aponta para Físico B".
O Endereço Físico A (com o dado antigo e sensível) permanece intacto, apenas marcado como "inválido" para uso futuro, mas totalmente recuperável via extração física do chip ou ferramentas forenses de baixo nível.

Figura: Diagrama esquemático demonstrando como a FTL redireciona gravações para novos blocos físicos, preservando os dados originais em estado latente.

O risco do overprovisioning

Além do nivelamento de desgaste, SSDs corporativos (Enterprise NVMe/SAS) possuem uma área reservada chamada Overprovisioning — espaço extra de armazenamento inacessível ao usuário (frequentemente 7% a 28% da capacidade total). Dados movidos para essa área durante processos de manutenção interna (Garbage Collection) ficam fora do alcance de ferramentas de wiping tradicionais baseadas em software, criando um "bunker" de dados fantasmas que viola o princípio de eliminação da LGPD.

A ineficácia da sobregravação tradicional

No cenário de discos magnéticos (HDDs), a prática de overwriting (escrever zeros ou padrões aleatórios sobre o disco inteiro) era o padrão ouro, vide normas antigas do Departamento de Defesa dos EUA (DoD 5220.22-M). Aplicar essa técnica em SSDs é um erro técnico grave por dois motivos:

Ineficácia de Cobertura: Como explicado acima, a FTL pode impedir que o software de limpeza acesse todos os blocos físicos, especialmente aqueles marcados como "ruins" ou reservados.
Degradação de Hardware: Realizar múltiplas passagens de escrita em um SSD consome ciclos de P/E (Program/Erase) desnecessariamente, reduzindo a vida útil do equipamento sem garantir a sanitização.

⚠️ Perigo: Ferramentas de "Destruição de Arquivos" (File Shredders) que prometem apagar arquivos individuais sobrescrevendo-os 35 vezes são inúteis em SSDs. Elas apenas aceleram o desgaste do disco e espalham cópias do dado por diferentes blocos físicos devido ao wear leveling.

Cripto-apagamento: o padrão de conformidade viável

Para ambientes corporativos que utilizam Self-Encrypting Drives (SEDs) — padrão em storage arrays modernos e servidores enterprise —, a solução técnica aceita por normas como o NIST SP 800-88 Rev. 1 é o Cripto-apagamento (Crypto-erase).

Este método não tenta apagar os dados bit a bit. Em vez disso, ele ataca a chave de leitura. Em um SED, todos os dados são gravados criptografados (geralmente AES-256) por padrão, utilizando uma Media Encryption Key (MEK) interna.

O processo de sanitização consiste em enviar um comando ao controlador para trocar ou apagar a MEK.

Tempo de execução: Milissegundos.
Resultado: Todos os dados no drive, incluindo áreas de overprovisioning e blocos realocados, tornam-se criptograficamente inacessíveis. O que resta é ruído digital indecifrável.

Comparativo de métodos de sanitização

Característica	Sobregravação (Wiping)	Cripto-apagamento (SED)	Destruição Física
Eficácia em SSD	Baixa (risco de resíduos)	Alta (se implementado corretamente)	Total
Tempo de Execução	Horas (depende da capacidade)	Imediato (< 1 seg)	Variável (logística)
Reutilização do Hardware	Sim	Sim	Não
Conformidade LGPD	Risco Médio/Alto	Alta (Estado da Arte)	Alta
Custo Operacional	Alto (tempo de máquina)	Baixo	Alto (perda de ativo)

Protocolos de descarte físico e documentação

Quando o hardware chega ao fim de sua vida útil (EOL) ou apresenta falha que impede o acesso lógico (impossibilitando o Cripto-apagamento), a única saída para mitigar o risco legal é a destruição física.

Entretanto, a destruição de SSDs exige parâmetros diferentes dos HDDs.

Degaussing (Desmagnetização): É inútil em SSDs. Como a memória Flash armazena dados através de cargas elétricas em transistores de porta flutuante, e não magnetismo, passar um desmagnetizador em um SSD não apaga os dados.
Trituração (Shredding): A granulometria deve ser muito fina. Em um HDD, entortar o prato é suficiente. Em um SSD, um único chip NAND de 1cm² pode conter 1TB de dados de clientes. A norma DIN 66399 recomenda partículas minúsculas (ex: < 10mm²) para garantir que os chips de memória sejam fisicamente pulverizados.

💡 Dica Pro: Ao contratar empresas de descarte de TI (ITAD), exija um Certificado de Destruição que especifique o número de série de cada drive e o método utilizado. Para fins de auditoria da ANPD, esse documento é a prova de que a "impossibilidade técnica" de recuperação foi atingida.

Recomendação estratégica

A conformidade com a LGPD em infraestruturas de armazenamento baseadas em Flash exige uma atualização das políticas de segurança da informação. Abandonem scripts de formatação legados. A recomendação é a implementação mandatória de discos com criptografia nativa (SED) em todos os níveis da organização, permitindo o uso do Crypto-erase como protocolo padrão de reuso ou devolução de equipamentos (RMA).

Para ativos danificados, a destruição física certificada é a única barreira aceitável entre os dados da sua empresa e uma análise forense hostil. A lei não exige o impossível, mas exige que você utilize o estado da arte técnica para garantir a privacidade. Em SSDs, isso significa criptografia ou pulverização.

Referências & Leitura Complementar

NIST SP 800-88 Rev. 1: Guidelines for Media Sanitization (O padrão global para limpeza de dados).
ISO/IEC 27040: Storage security (Diretrizes de segurança específicas para armazenamento).
IEEE 2883-2022: Standard for Sanitizing Storage (Norma técnica recente focada em novos métodos de sanitização para NVMe e outras tecnologias).

Perguntas Frequentes (FAQ)

Por que a formatação padrão não garante a exclusão de dados em SSDs?

Devido ao wear leveling, o controlador do SSD redireciona novas gravações para células menos usadas, deixando os dados originais intactos em blocos físicos inacessíveis ao sistema operacional, mas recuperáveis via forense.

O que é cripto-apagamento (crypto-erase) e ele atende à LGPD?

É o processo de deletar a chave de criptografia que protege os dados no disco (SED). Sem a chave, os dados tornam-se ruído irrecuperável, sendo aceito como método de sanitização compatível com a LGPD e normas como NIST SP 800-88.

O comando TRIM apaga os dados definitivamente?

Não imediatamente. O TRIM apenas sinaliza ao controlador quais blocos não são mais necessários. A limpeza física real (Garbage Collection) ocorre em tempo indeterminado, criando uma janela de risco de conformidade.