NIST SP 800-88 Rev. 1
NIST 800-88 Veri Silme Yazılımı
Clear, Purge ve Destroy seviyelerini tam destek; HDD, SSD ve NVMe için donanım + yazılım sanitize. HIPAA, GDPR, KVKK uyumu için kabul edilen referans standart.
Sorun
NIST 800-88 hakkında üç yaygın yanlış anlama
NIST SP 800-88 Rev. 1 ABD federal standardı olarak HIPAA, GDPR ve KVKK tarafından kabul edilse de yöntem seçimi ve doğrulama gereklilikleri sıkça yanlış uygulanır. Aşağıdaki üç yaygın hata, denetim başarısızlığının ana nedenidir.
Tek Geçiş Yetersiz Miti
"Modern verileri silmek için 7 ya da 35 geçiş gerekir" iddiası, yıllardır akademik literatürde çürütüldü. NIST 800-88 modern HDD'ler için tek geçiş + doğrulama yeterli kabul eder. Eski kurum politikaları multi-pass kafası karışıklığı yaratır.
SSD'de Yazılım Silme Purge Değildir
SSD'lerde wear-leveling ve over-provisioning, yazılım üzerine yazma kaç geçiş olursa olsun yedek hücrelere ulaşmaz. NIST 800-88 SSD için Purge'ı NVMe Sanitize veya Cryptographic Erase ile zorunlu kılar — yazılım fallback Clear seviyesinde kalır.
Sertifikasız Silme Geçersiz
NIST 800-88 §5.1 audit log ve doğrulama kaydını gerektirir. "Yazılımı çalıştırdık" beyanı denetim için yetersizdir; her cihaz için cihaz seri, metod, geçiş sayısı ve doğrulama sonucu içeren sertifika zorunludur.
NIST 800-88 Seviyeleri
Üç sanitize seviyesi, doğru cihaza doğru yöntem
Cihazın tüm adreslenebilir alanlarına önceden tanımlı bir desen (genellikle 0'lar) yazılır. İşletim sistemi seviyesinde geri kazanım imkânsızdır. Standart ofis kullanımı, eski dizüstü ve dosya sunucu disklerinin elden çıkarılması için yeterli.
NVMe Sanitize, ATA Secure Erase veya Cryptographic Erase ile cihaz kontrolcüsüne doğrudan komut iletilir; over-provisioning bölgeleri ve gizli hücreler dahil tüm bellek temizlenir. Hassas finansal/sağlık/devlet verileri için zorunlu seviye.
Cihaz yeniden kullanılamaz hale getirilir. Disk shredder, degausser veya endüstriyel termal proses gerekir. PIWIPE bu seviyeyi yazılım olarak uygulamaz; ancak Destroy öncesi veriyi sanitize edip sertifikalandırarak fiziksel imha kayıt zinciri için temel oluşturur.
NIST 800-88 + Tek Bir Sertifika = Çoklu Uyum
Uyum çerçeveleri NIST 800-88 etrafında birleşir.
Cihaz Tipine Göre Yöntem
NIST önerisi ve PIWIPE'ın uyguladığı yöntem
NIST SP 800-88 Tablo A-1 ila A-8 referans alınarak; PIWIPE her cihaz için doğru sanitize yöntemini otomatik seçer.
Her durumda PIWIPE doğrulama (verify) sonucunu sertifikaya yazar. Doğrulama başarısızsa cihaz Failed olarak işaretlenir ve sertifika üretilmez.
Sektörel Senaryolar
NIST 800-88 federal-grade kuruluşlarda
NIST standardını ITAD, finans, sağlık, savunma alt yüklenicisi ve üniversite araştırma akışlarında pratik kullanım örnekleri.
Federal Sözleşmeli ITAD
GSA Schedule, FedRAMP veya federal sözleşmelerde NIST 800-88 zorunlu. PIWIPE her cihaz için Clear/Purge sertifikası üretir; ITAD raporlamasında federal müşteriye doğrudan delil.
Finans Kuruluşu
GLBA, PCI DSS ve SOX, NIST 800-88'i kabul eder. Bankalar ATM PC'leri, çağrı merkezi laptopları ve yedek diskler için aynı standartla sanitize ve cloud arşivleme.
Sağlık Zinciri
HHS HIPAA guidance NIST 800-88'i öner. Çoklu hastane zincirleri tek konsoldan tüm konumların envanterini görüp standardize Purge sertifikalarını oluşturur. HIPAA detayı.
Savunma Alt Yüklenicisi
CMMC ve DFARS NIST 800-88 sanitize gereksinimi taşır. PIWIPE'ın DoD 5220.22-M seçeneği eski politikalar için ek katman; tek sertifika her iki gereksinimi de karşılar.
Üniversite Araştırma
IRB onayı altında insan denek verisi toplayan akademik araştırma, projeyi sonlandırırken NIST 800-88 ile imha kayıtlarını saklamalı. PIWIPE proje etiketi ile cihaz gruplama ve toplu rapor.
Üretim & OT Ortamı
Endüstriyel kontrol PC'leri, SCADA tarihçesi ve PLC programlama istasyonları üretim sırrı içerebilir. PIWIPE NIST 800-88 ile hat sonunda standart sanitize; vendor değişiminde temiz devir.
Uyum Kontrol Listesi
NIST 800-88 uygulama kontrol listesi
NIST SP 800-88 Rev. 1 §3-§5 temelinde 9 maddelik kontrol listesi. PIWIPE'ın doğrudan karşıladığı maddeler (✓), kuruluşunuzun yazılı politikasını gerektirenler (◐).
- ✓Veri Sınıflandırması — Confidentiality kategorisi (Low/Mod/High); seçim Clear vs Purge'ı belirler. (◐)
- ✓Cihaz Tipine Göre Yöntem Seçimi — PIWIPE NIST Tablo A-1..A-8 mantığına göre otomatik seçim.
- ✓Pre-Wipe Disk Sağlık Kontrolü — S.M.A.R.T. okuma, bad sektör tespiti; sertifikaya yazılır.
- ✓Sanitize Yürütme + Verify — Yöntem uygulanır, ardından random-sample veya full-sector verification.
- ✓Sertifika Üretimi (§5.1) — Cihaz, metod, tarih, operatör, hash, doğrulama; PIWIPE varsayılan.
- ✓Failure Handling Akışı — Sanitize başarısızsa hardware Sanitize → ATA Secure Erase → Software fallback sırası.
- ✓Audit Log Tutma — Cloud konsol süresiz; CSV export ile dışarı taşınabilir.
- ✓Operatör Yetkilendirme — NIST §4 trained personnel önerir; PIWIPE rol bazlı erişim kontrolü. (◐)
- ✓Periyodik Re-Validation — NIST §6 yıllık prosedür gözden geçirme; PIWIPE update notes uyumlulukla birlikte gelir.
Sıkça Sorulanlar
NIST 800-88 & Veri Silme
Audit Trail Sahipliği
Sertifikalar kuruluşunuzun kontrolünde — chain-of-custody bütünlüğü
NIST 800-88 §5.1 ve NIST SP 800-53 AC-4 (information flow enforcement) audit kayıtlarının kontrolünü "veri sorumlusu kuruluş" elinde tutmasını gerektirir. Bir 3rd-party cloud sağlayıcı sertifikalarınızı barındırıyorsa, sağlayıcının veri kaybı, fiyat artışı veya servis sonlandırması doğrudan sizi etkiler — denetim, dava ve federal/ihale gereksinimlerinde "kanıt zinciri" sağlayıcıya bağımlı hale gelir.
PIWIPE her sertifikayı belirlediğiniz FTP/SFTP sunucusuna otomatik yazar — bu sunucu federal data center'ınız, FedRAMP-Moderate cloud'unuz (AWS GovCloud, Azure Government) veya kendi on-prem dosya sunucunuz olabilir. PIWIPE cloud konsolu vendor-down olsa bile sertifika arşiviniz size aittir, taşınabilir ve değişmezdir. SHA-256 hash ile bağımsız bütünlük doğrulaması her sertifika dosyasında zaten yerleşik. Karşılaştırma sayfası →