Smazat neznamená skrýt

Ukončení digitální služby vyžaduje víc než jen odstranit obrázek z rozvržení webu. Když se provozovatel webu rozhodne přestat měřit návštěvnost, následné mazání musí zajistit, že historická data budou z databází trvale odstraněna.

Rozdíl mezi skrytím rozhraní a skutečným zničením uložených záznamů je zásadním aspektem technické ochrany dat. Skutečné smazání nevratně přeruší spojení mezi identitou webu a nashromážděnou číselnou historií.

Odstranění značky nic nemaže

Odstranění HTML kódu z rozvržení stránky jen zastaví další počítání. Záznamy na serveru – o minulých špičkách návštěvnosti, zeměpisném rozložení a odkazujících adresách – zůstávají v databázi nedotčené, dokud se nespustí výslovný příkaz ke smazání. Zodpovědná měřicí služba nabízí jasný a jednoznačný způsob, jak toto úplné vyčištění spustit.

Po spuštění musí systém vymazat všechny související tabulky a odstranit názvy domén, zaznamenané součty i nastavení. Po procesu by neměly zůstat žádné osiřelé zbytky dat, které by šlo později zrekonstruovat nebo analyzovat.

Seznam tabulek je delší, než se zvenku zdá. Počítadlo jakéhokoli stáří obsahuje denní součty, hodinové součty, součty podle zemí, odkazující adresy a řádek s nastavením, a smazání, které jednu z nich vynechá, zanechá záznam, který dál ukazuje na web, na který se už nikdo nedostane.

Kopie, která přežije smazání

Technická realita správy serverů však přináší podstatnou komplikaci: automatické zálohy. Na ochranu před selháním hardwaru nebo útoky se databáze pravidelně kopírují a ukládají do zabezpečených archivů mimo provoz.

Když se aktivní záznam z běžícího systému odstraní, jeho historický přízrak v těchto zálohách nevyhnutelně přetrvává. Upravovat komprimované, šifrované snímky databáze kvůli vyjmutí jediného záznamu je technicky neproveditelné a provozně nebezpečné.

Dva kroky a čekací doba

Běžná praxe tento rozpor řeší pevnými cykly uchovávání. Zálohy se obvykle uchovávají po přesně stanovenou dobu – například třicet nebo šedesát dní – a pak je systematicky přepíšou novější snímky.

Úplné odstranění je proto dvoukrokový proces. Okamžité smazání odstraní data z běžícího produkčního prostředí, takže k nim už nelze přistupovat ani je používat.

Úplné zničení pak následuje automaticky, jakmile průběžný cyklus záloh přirozeně vyprší a odstraní poslední šifrované kopie. Porozumění této časové ose je nezbytné pro přesný popis životního cyklu dat v jakékoli administrativní dokumentaci.

Proto má poctivá odpověď na otázku, zda je něco pryč, dvě části a datum. Z běžícího systému je to pryč dnes; úplně pryč je to, až vyprší poslední záloha, která to obsahuje. Cokoli kratšího je slib, který nelze dodržet.