VPS niet meer nodig, hoe veilig te wissen?

[roawser]

Onze ISO27001 auditor maakte een opmerking aangaande control A.11.2.5 die neerkomt op: als je een VPS verwijdert, hoe weet je dan dat alle gegevens in die machine ook echt definitief gewist zijn?

Wij zitten bij een grote Nederlandse hostingprovider. Als je een VPS niet meer nodig hebt, kun je op een [Verwijder]-knopje klikken in het dashboard van die provider en je VPS is er dan op een gegeven moment niet meer. Maar wat er echt mee gebeurt, geen idee. Vandaar de opmerking.

Heeft het zin om in zulke gevallen op die gevirtualiseerde machine de database handmatig te verwijderen, de schijf vanuit het OS te overschrijven met nullen en dat soort (tijdrovende) acties vóórdat de machine opgezegd wordt?
Het kleine aantal vps-en maakt handmatige acties niet bij voorbaat onmogelijk, en gespecialiseerde software is te duur. Ik heb de hosting provider nog niet om toelichting gevraagd, ik zou eerst willen weten wat we zelf kunnen doen maar alles wat we verzinnen voelt nogal knullig aan.

[samo]

Is jouw hosting-partij ISO27001 gecertificeerd? Zo ja, dan horen zij daar procedures voor te hebben, en kan je het daarmee afvinken. Daar kan je bewijs van opvragen of inzien.

[roawser]

Ja, is ISO27001 gecertificeerd maar op de SoA staat natuurlijk niks inhoudelijks beschreven. Vandaar dat ik me afvroeg wat we zelf nog konden doen behalve leunen op het uitbesteden van deze verantwoordelijkheid.

[Marber]

Vraag het je leverancier. (en dit bedoel ik niet sarcastisch)

[F_J_K]

In dit geval zou je inderdaad van de gecertificeerde partij die bevestiging willen horen. Vraag dan meteen naar wat er wanneer gebeurt met de backups van verwijderde servers. (Tip: niet per direct laten verwijderen, dan heb je geen backup als een server per ongeluk wordt verwijderd).

Het is linksom of rechtsom een kwestie van papieren / afspraken / vertrouwen. Als je ze niet vertrouwt te verwijderen na druk op de knop kan je ze ook niet vertrouwen niet af en toe een kopietje te maken.

Als je zeker wilt zijn kan je eerst -binnen- de VPS de data verwijderen.