A törlés nem elrejtés
Egy digitális szolgáltatás megszüntetéséhez több kell annál, mint hogy egy képet eltávolítunk a weboldal elrendezéséből. Ha egy weboldal üzemeltetője úgy dönt, hogy abbahagyja a forgalom mérését, az ezt követő törlési folyamatnak biztosítania kell, hogy a korábbi adatok véglegesen eltűnjenek a mögöttes adatbázisokból.
A felület elrejtése és a tárolt adatok tényleges megsemmisítése közötti különbség a műszaki adatvédelem kulcsfontosságú kérdése. Egy valódi törlési eljárás visszavonhatatlanul elvágja a kapcsolatot a weboldal azonosítója és a felhalmozott számtörténet között.
A címke eltávolítása semmit sem töröl
Ha a HTML-kódrészletet eltávolítjuk az oldal elrendezéséből, az csak a jövőbeli számlálást állítja le. A szerveroldali adatok – a korábbi forgalmi csúcsok, a földrajzi eloszlás és a hivatkozó címek – érintetlenül megmaradnak az adatbázisban, hacsak nem adnak ki kifejezett törlési parancsot. Egy felelős mérőszolgáltatás világos, egyértelmű módot kínál a teljes törlés elindítására.
Elindítása után a rendszernek ki kell ürítenie az összes kapcsolódó táblát, eltávolítva a domainneveket, a rögzített összesítéseket és a beállításokat. A folyamat nem hagyhat hátra olyan árva adattöredékeket, amelyek később helyreállíthatók vagy elemezhetők lennének.
A táblák listája hosszabb, mint amilyennek kívülről látszik. Egy már egy ideje működő számláló napi összesítéseket, óránkénti összesítéseket, országonkénti számokat, hivatkozó címeket és egy beállítási sort tárol, és az a törlés, amely ezek közül akár egyet is kihagy, olyan adatot hagy hátra, amely még mindig egy olyan weboldalra mutat, amelyet már senki sem ér el.
A másolat, amely túléli a törlést
A szerverüzemeltetés műszaki valósága azonban jelentős bonyodalmat hoz: az automatikus biztonsági mentéseket. A hardverhibák és a rosszindulatú támadások elleni védelem érdekében az adatbázisokat rendszeresen lemásolják, és biztonságos offline archívumokban tárolják.
Amikor egy aktív rekordot törölnek az élő rendszerből, annak múltbeli szelleme elkerülhetetlenül tovább él ezekben a mentési fájlokban. A tömörített, titkosított adatbázis-pillanatképek módosítása egyetlen konkrét rekord kivágása céljából műszakilag kivitelezhetetlen, és üzemeltetési szempontból veszélyes.
Két lépés és egy várakozási idő
Az iparági gyakorlat ezt az ellentmondást rögzített megőrzési ciklusokkal oldja fel. A biztonsági mentéseket jellemzően szigorúan meghatározott ideig – például harminc vagy hatvan napig – őrzik meg, mielőtt az újabb pillanatképek rendszeresen felülírják őket.
A teljes megsemmisítés tehát kétlépéses folyamat. Az azonnali törlés eltávolítja az adatokat az élő éles környezetből, így azok többé nem érhetők el és nem használhatók fel.
A végleges megsemmisítés ezután automatikusan következik be, amikor a folyamatosan forgó mentési ciklus lejár, és az utolsó titkosított másolatok is törlődnek. Ennek az ütemezésnek az ismerete elengedhetetlen ahhoz, hogy az adatok életciklusára vonatkozó szabályokat bármely adminisztratív dokumentációban pontosan le lehessen írni.
Ezért arra a kérdésre, hogy eltűnt-e, az őszinte válasz két részből és egy dátumból áll. A futó rendszerből ma eltűnt; teljesen akkor tűnik el, amikor lejár az utolsó biztonsági mentés, amely még tartalmazza. Minden ennél rövidebb válasz olyan ígéret, amelyet nem lehet betartani.