Qué es el DoD 5220.22-M
El National Industrial Security Program Operating Manual (NISPOM) del Departamento de Defensa de los Estados Unidos incluyó durante décadas el estándar de borrado 5220.22-M como procedimiento para la sanitización de medios de almacenamiento magnético. Aunque el DoD ha revisado sus propios procedimientos internos, el estándar se convirtió en la referencia técnica de facto para el sector privado a nivel mundial.
No se trata de una ley ni de una obligación legal directa para empresas privadas, sino de un estándar técnico reconocido que establece un proceso verificable y reproducible de borrado.
Cómo funciona
Variante de 3 pasadas (DoD 5220.22-M estándar)
- Pasada 1 (0x00): sobreescritura de todos los sectores con ceros binarios
- Pasada 2 (0xFF): sobreescritura con unos binarios (todos los bits a 1)
- Pasada 3 (aleatorio): sobreescritura con un patrón pseudoaleatorio, seguida de verificación
Variante de 7 pasadas (DoD 5220.22-M ECE)
Versión extendida con 7 pasadas alternando patrones, utilizada históricamente para datos clasificados. Su utilidad práctica adicional sobre 3 pasadas es debatida por investigadores de seguridad.
Por qué surgieron estándares más modernos
El NIST (Instituto Nacional de Estándares y Tecnología de EE.UU.) publicó la guía 800-88 (“Guidelines for Media Sanitization”), que define tres niveles de sanitización:
- Clear: sobreescritura lógica adecuada para la mayoría de los contextos empresariales
- Purge: métodos más robustos (Secure Erase para SSDs, degaussing para HDD) para datos sensibles
- Destroy: destrucción física del medio
El NIST 800-88 también establece que, para la mayoría de los medios modernos (incluyendo SSDs y discos de alta densidad), una sola pasada de sobreescritura verificada es técnicamente equivalente a múltiples pasadas en términos de irrecuperabilidad práctica. Las múltiples pasadas tienen más valor para contextos de datos altamente clasificados o soportes con características específicas.
Qué estándar usar según el contexto
| Contexto | Estándar recomendado |
|---|---|
| Equipos de oficina con datos comerciales normales | NIST 800-88 Clear (1 pasada verificada) |
| Datos personales bajo RGPD o ley local | NIST 800-88 Clear con certificado |
| Datos sensibles: salud, finanzas, legal | NIST 800-88 Purge (Secure Erase para SSD, DoD para HDD) |
| Datos de máxima sensibilidad o clasificados | NIST 800-88 Destroy (destrucción física) |
Lo más importante: el certificado
El estándar aplicado —sea DoD o NIST— es solo una parte del proceso. Lo que tiene valor regulatorio y legal es que el proceso esté documentado y certificado: número de serie del dispositivo, estándar aplicado, resultado verificado, fecha y responsable técnico.
Un borrado ejecutado con el mejor estándar del mundo pero sin documentación no puede demostrarse en una auditoría. Un borrado documentado y certificado con un estándar apropiado para el contexto tiene pleno valor regulatorio.
