Verwijderen is niet verbergen
Een digitale dienst beëindigen vraagt om meer dan een plaatje uit een weblay-out halen. Besluit een sitebeheerder het verkeer niet meer te meten, dan moet het verwijderen dat daarop volgt ervoor zorgen dat de historische gegevens blijvend uit de onderliggende databases verdwijnen.
Het onderscheid tussen een weergave verbergen en de bewaarde gegevens werkelijk vernietigen is een wezenlijk deel van technische gegevensbescherming. Een echte verwijderprocedure verbreekt onherroepelijk de band tussen de identiteit van de website en de opgebouwde getalsgeschiedenis.
De tag weghalen wist niets
Het stukje HTML uit de pagina-indeling halen stopt alleen het tellen in de toekomst. De gegevens aan de serverkant — met verkeerspieken uit het verleden, geografische spreiding en verwijzende adressen — blijven in de database staan tenzij er uitdrukkelijk een verwijderopdracht wordt uitgevoerd. Een verantwoordelijke meetdienst biedt een duidelijke, ondubbelzinnige manier om die volledige opruiming in gang te zetten.
Eenmaal in gang gezet moet het systeem alle bijbehorende tabellen legen en de domeinnamen, de vastgelegde totalen en de instellingen weghalen. Het proces hoort geen verweesde brokstukken achter te laten die later gereconstrueerd of geanalyseerd zouden kunnen worden.
De lijst met tabellen is langer dan hij van buiten lijkt. Een teller van enige leeftijd bevat dagtotalen, uurtotalen, landentellingen, verwijzende adressen en een regel met instellingen, en een verwijdering die er een van mist, laat een gegeven achter dat nog naar een site wijst die niemand kan bereiken.
De kopie die de verwijdering overleeft
De technische werkelijkheid van serverbeheer brengt echter een flinke complicatie mee: automatische reservekopieën. Om tegen hardwarestoringen of kwaadwillige aanvallen te beschermen, worden databases geregeld gekopieerd en in beveiligde offlinearchieven bewaard.
Wordt een actief gegeven uit het levende systeem gewist, dan blijft de historische schaduw ervan onvermijdelijk in die reservebestanden bestaan. Gecomprimeerde, versleutelde databasemomentopnamen aanpassen om één bepaald gegeven eruit te snijden, is technisch onhaalbaar en in het gebruik gevaarlijk.
Twee stappen, en een wachttijd
De gangbare praktijk in de branche lost die tegenstelling op met vaste bewaarcycli. Reservekopieën worden doorgaans een strikt afgebakende periode bewaard — bijvoorbeeld dertig of zestig dagen — voordat ze stelselmatig door nieuwere momentopnamen overschreven worden.
Volledige uitroeiing is dus een proces van twee stappen. De onmiddellijke verwijdering haalt de gegevens uit de levende productieomgeving, zodat ze niet meer bereikt of gebruikt kunnen worden.
De volledige vernietiging volgt daarna vanzelf naarmate de roulerende reservecyclus verloopt en de laatste versleutelde kopieën verdwijnen. Die tijdlijn begrijpen is noodzakelijk om levenscyclusbeleid voor gegevens in elke beheerdocumentatie nauwkeurig te beschrijven.
En daarom heeft een eerlijk antwoord op de vraag of het weg is twee delen en een datum. Vandaag weg uit het draaiende systeem; helemaal weg wanneer de laatste reservekopie die het bevat verloopt. Alles wat korter is dan dat, is een belofte die niet na te komen valt.