Brisanje nije skrivanje

Ukidanje digitalne usluge zahteva više od puke uklanjanja grafike iz rasporeda stranice. Kada vlasnik sajta odluči da prestane da meri saobraćaj, naknadni postupak brisanja mora da obezbedi da istorijski podaci budu trajno uklonjeni iz baza podataka u pozadini.

Razlika između skrivanja interfejsa i stvarnog uništavanja sačuvanih zapisa ključni je vid tehničke zaštite podataka. Pravi postupak brisanja nepovratno prekida vezu između identiteta sajta i prikupljene brojčane istorije.

Uklanjanje oznake ne briše ništa

Uklanjanje HTML isečka iz rasporeda stranice samo zaustavlja buduće brojanje. Zapisi na strani servera — o ranijim vrhuncima saobraćaja, geografskoj raspodeli i adresama upućivanja — ostaju netaknuti u bazi osim ako se izričito ne izvrši naredba za brisanje. Odgovorna usluga merenja nudi jasan, nedvosmislen mehanizam za pokretanje ovog potpunog čišćenja.

Kada se aktivira, sistem mora da obriše sve povezane tabele, uključujući nazive domena, zabeležene zbirove i podešavanja. Postupak ne sme da ostavi nijedan zaostali fragment podataka koji bi se kasnije mogao rekonstruisati ili analizirati.

Spisak tabela duži je nego što izgleda spolja. Brojač bilo koje starosti drži dnevne zbirove, časovne zbirove, zbirove po zemljama, adrese upućivanja i red podešavanja, a brisanje koje promaši samo jedno od toga ostavlja zapis koji i dalje upućuje na sajt do kojeg niko ne može da dođe.

Kopija koja nadživi brisanje

Tehnička stvarnost administracije servera, međutim, uvodi značajnu komplikaciju: automatske rezervne kopije. Radi zaštite od kvarova hardvera ili zlonamernih napada, baze podataka se rutinski dupliraju i čuvaju u bezbednim arhivama van mreže.

Kada se aktivan zapis ukloni iz živog sistema, njegov istorijski duh neizbežno opstaje u tim rezervnim datotekama. Izmena komprimovanih, šifrovanih snimaka baze radi uklanjanja jednog određenog zapisa tehnički je neizvodljiva i operativno opasna.

Dva koraka i period čekanja

Standardna praksa u industriji rešava ovu protivrečnost fiksnim ciklusima zadržavanja. Rezervne kopije se obično čuvaju strogo definisan period — na primer trideset ili šezdeset dana — pre nego što ih sistematski prepišu novije kopije.

Zato je potpuno uklanjanje proces u dva koraka. Neposredno brisanje uklanja podatke iz živog produkcionog okruženja i obezbeđuje da im se više ne može pristupiti niti da se koriste.

Potpuno uništenje zatim sledi automatski kada klizni ciklus rezervnih kopija istekne i poslednje šifrovane kopije budu uklonjene. Razumevanje ovog vremenskog toka neophodno je za tačno opisivanje politika životnog ciklusa podataka u svakoj administrativnoj dokumentaciji.

Zato iskren odgovor na pitanje da li je nešto nestalo ima dva dela i jedan datum. Nestalo iz sistema u radu danas; nestalo potpuno kada istekne poslednja rezervna kopija koja to sadrži. Sve kraće od toga je obećanje koje se ne može održati.