Když jsem před deseti lety nastupoval do redakce hospodářského deníku, nikdo neřešil, co se stane s firemními daty po skončení smlouvy s hostingem. Dnes je to jinak. Každá druhá firma, kterou zpovídám, řeší, jak se zbavit starých webových stránek, databází nebo zákaznických účtů. A často dělá zásadní chyby. Nedávno jsem mluvil s majitelem logistické společnosti z Brna. Po ukončení provozu starého e-shopu jen smazal pár souborů z FTP. O rok později mu konkurent našel kompletní databázi objednávek se jmény klientů na veřejně přístupném serveru. Tahle situace není výjimečná. A proto firmy čím dál častěji sahají po službách specializovaných firem, jako je https://vanishinfocz.com, která se zaměřuje na nenápadné a právně čisté mazání digitálních otisků.
Problém není v tom data smazat, ale najít kde všude jsou
Většina českých firem má data roztroušena na pěti až sedmi různých místech. Firemní web na jednom hostingu, e-shop na druhém, blog na třetím. K tomu cloudové úložiště, CRM systém, sociální sítě a staré zálohy na discích, o kterých už nikdo neví. Když se firma rozhodne skončit s online aktivitou, běžně udělá to, že zruší doménu a přestane platit hosting. Jenže data zůstanou na serveru poskytovatele. A pokud poskytovatel neprovede fyzické vymazání, jsou dohledatelná roky. Jedna pražská auditorská firma mi v rozhovoru přiznala, že při auditu bezpečnosti našla u klienta exporty databází z roku 2008 na veřejném FTP serveru. Prostě se na ně zapomnělo.
Jak se legálně odstranit z internetu a vyhnout se podezření
Samotné smazání souborů nestačí. Google a ostatní vyhledávače si ukládají cache a staré verze stránek do svých archívů. I když smažete web, jeho fragmenty mohou viset ve vyhledávání měsíce. Profesionální služby proto dělají víc než jen mažou. Musí podat oficiální požadavek na Google Webmaster Tools na odstranění cachovaných verzí. Musí kontaktovat archivní služby jako Wayback Machine. A hlavně musí zajistit, aby smazání proběhlo přes SQL příkazy, ne jen přes administraci WordPressu. Jeden správce sítě z ostravské IT firmy mi popsal, jak po smazání WordPressu zůstaly v databázi nedotčené tabulky s uživatelskými údaji. Běžný hostingový panel je neukáže. Musíte vědět, kam koukat.
Kdo dnes v Česku nejčastěji využívá cílené mazání
- Podnikatelé končící s e-shopy, kteří chtějí ochránit databáze zákazníků před konkurencí.
- Lékaři a advokáti, kteří měnili webové stránky a potřebují smazat staré profily obsahující citlivé údaje.
- Firmy, které prodělaly únik dat a potřebují dokázat regulátorovi, že nevyužívaná data fyzicky smazaly.
Proč standardní smazání souborů nefunguje jako důkaz
Pokud přijde kontrola z Úřadu pro ochranu osobních údajů, nestačí říct, že jste soubory smazali. Potřebujete auditní stopu. Musíte doložit, kdy a jakým nástrojem k vymazání došlo. V jedné kauze, kterou jsem pokrýval, firma ukázala printscreen z administrace. Úřad to odmítl jako nedostatečné. Musela dodat výpis z logů serveru potvrzující fyzické smazání na úrovni bloků disku. Tomu se říká secure erase a běžný webhosting ho neumožňuje. Většina poskytovatelů jen označí data jako smazaná, ale fyzicky je na disku nechá až do chvíle, kdy je přepsána novými daty. To může trvat i několik let.
Čemu se vyhnout při objednávání podobných služeb
- Nenechte se nalákat na sliby kompletního smazání za pár hodin. Skutečné vymazání včetně archivů vyhledávačů trvá dny až týdny.
- Nevěřte firmám, které požadují přístupová hesla k vašim účtům bez písemné smlouvy. Legální služby vždy sepisují mandátní smlouvu.
- Vyhýbejte se řešením, která slibují smazání dat z třetích stran bez oficiální žádosti. Bez doložitelné komunikace s provozovatelem serveru to není právně vymahatelné.
Jak vypadá proces mazání v praxi podle manažera jedné brněnské IT firmy
Loni jsme dělali rozhovor s člověkem, který pro development firmu řešil odstranění deseti let starého firemního blogu. Říkal, že první den jen mapoval, kde všude blogové příspěvky existují. Našel je na hlavním serveru, na záložním serveru, v databázi, v RSS feedech, v Google Cache, ve Wayback Machine, v PDF exportech z roku 2015 a dokonce v referencích na stránkách partnerů. Každý z těchto výskytů vyžadoval jiný postup. Smazání z hlavního serveru trvalo deset minut. Kontaktování Wayback Machine trvalo tři týdny, než archiv odstranil staré verze. A reference u partnerů musela firma řešit sama emailem. Bez systematického přístupu by na polovinu míst zapomněli.
Firmy si často neuvědomují, že digitální stopa není jen webová stránka. Jsou to metadata, staré verze souborů, kopie v chytrých telefonech zaměstnanců, exporty z CRM, které někdo nechal na sdíleném disku. Jeden příběh zůstává v mé paměti. Malá cestovka z Prahy ukončila provoz portálu pro turisty. Všechno smazali. O dva roky později jim přišla výzva od právníka klienta, který našel na veřejném GitHub repozitáři jejich starý konfigurační soubor s přístupovými údaji k databázi. Nikdo z firmy nevěděl, že jeden juniorní vývojář nahrál celý projekt na GitHub a zapomněl ho smazat. Ten soubor tam visel 800 dní.
