Un certificado de destrucción de datos no tiene fecha de caducidad propia: ni la norma de referencia en Estados Unidos ni los marcos de cumplimiento más habituales le fijan una vigencia. Lo que cambia con el tiempo es su utilidad. Un certificado es válido, a efectos prácticos, mientras pueda demostrar ante un auditor qué activos concretos se sanitizaron o destruyeron, con qué método, quién lo hizo y cuándo. Y debe conservarse durante el plazo que marque la regulación que le aplique a su organización.
Esta guía es para equipos de TI, responsables de cumplimiento y administradores de activos que ya contratan (o van a contratar) la retirada de equipos y necesitan saber si el papel que reciben les protege de verdad.
En resumen
- El certificado no “caduca”: su validez depende de que sea verificable, es decir, que identifique cada dispositivo por número de serie, el método y la persona responsable.
- Conserve el certificado al menos el plazo de la normativa más larga que le aplique; como referencia de auditoría se suele hablar de 6 a 7 años (HIPAA y SOX).
- Un certificado por lote, sin números de serie, es el que más a menudo falla en una auditoría.
- SOC 2, CJIS, NERC CIP y FISMA no piden el mismo papel: piden evidencia de que el control funciona, y el certificado es una parte de ella.
- Si el proceso falla o se interrumpe, el expediente debe reflejar la excepción, la acción correctiva y la cadena de custodia actualizada.
Tabla de contenidos
- Qué demuestra realmente un certificado de destrucción
- ¿Cuánto tiempo es válido? El plazo que importa es el de conservación
- Qué debe incluir para que resista una auditoría
- Cómo comprobar que su certificado es auténtico
- Plan de contingencia: qué hacer si el proceso falla o se interrumpe
- Qué piden los marcos de cumplimiento más habituales en EE. UU.
- Nuestra perspectiva
- Cómo lo hacemos en Usedcartridge
- Lista de comprobación antes de firmar la recepción
- Preguntas frecuentes
- Fuentes
Qué demuestra realmente un certificado de destrucción
Un certificado es la evidencia de que se realizó un proceso de sanitización o destrucción sobre activos concretos y de que alguien lo verificó. La guía NIST SP 800-88 Rev. 2, publicada en septiembre de 2025, plantea la sanitización como un programa dentro de la organización, basado en la sensibilidad de la información, y no como un acto aislado. El certificado es el registro de que ese programa se aplicó a un activo en un momento dado.
De ahí se desprende algo importante: el certificado no demuestra que sus datos estén “seguros para siempre”. Demuestra que en esa fecha se tomó una medida adecuada. Por eso su valor es probatorio, no temporal.
Si quiere profundizar en qué acredita cada tipo de documento, tenemos una guía sobre qué acredita un certificado de destrucción de datos y cómo revisarlo.
Qué no demuestra
- No demuestra la destrucción de activos que no aparecen listados en él.
- No demuestra que el método fuera el adecuado para el tipo de medio (un borrado por software sobre un SSD no es lo mismo que una trituración).
- No demuestra nada si no se puede comprobar quién lo emitió ni cuándo.
¿Cuánto tiempo es válido? El plazo que importa es el de conservación
La pregunta “¿cuánto dura la validez?” suele mezclar dos cosas. La primera es la vigencia del documento, que no existe como tal. La segunda es cuánto tiempo debe guardarlo usted para poder exhibirlo.
En la práctica, las auditorías y los periodos regulatorios como HIPAA (6 años) y SOX (7 años) llevan a muchas organizaciones a conservar los certificados entre 6 y 7 años. Una regla sencilla: guárdelo durante el plazo más largo de todas las normas que le apliquen, y nunca menos que el ciclo de auditoría de su sector.
Una tabla orientativa para decidir:
| Situación | Qué conservar | Criterio de plazo |
|---|---|---|
| Entidad sanitaria o aseguradora | Certificado, inventario por serie, acuerdo con el proveedor | Plazo HIPAA, como mínimo |
| Empresa cotizada o proveedora de una cotizada | Certificado y registro de cadena de custodia | Plazo SOX, como mínimo |
| Empresa con informe SOC 2 Tipo II | Certificados de todo el periodo auditado | Todo el periodo de observación más el ciclo siguiente |
| Contratista federal | Registros de sanitización y de custodia | Lo que fije el contrato y el marco aplicable |
Si dos plazos chocan, gana el más largo. Y conviene guardar el certificado junto con el inventario del que procede, porque un certificado huérfano pierde buena parte de su peso.
Qué debe incluir para que resista una auditoría
El error más repetido es aceptar un certificado genérico del tipo “se destruyeron 40 equipos”. Para que sea auditable, NIST SP 800-88 Rev. 2 apunta a registrar, como mínimo, para cada medio:
- Fabricante, modelo y número de serie.
- Tipo de medio (disco giratorio, SSD, cinta, móvil, etc.).
- Método de sanitización: clear, purge o destroy.
- Técnica y herramienta utilizada.
- Método de verificación y su resultado (aprobado o fallido).
- Nombre, firma y fecha de quien realizó o validó el proceso.
Añada a eso lo que usted debería exigir contractualmente: fecha y lugar de la destrucción, el estándar aplicado (por ejemplo, NIST 800-88) y la referencia a la cadena de custodia. Hemos desarrollado ejemplos de redacción en nuestra guía de certificados de destrucción auditables.
Señales de que un certificado es débil
- Una sola línea por lote, sin series individuales.
- No indica el método ni el estándar.
- No hay nombre ni firma de una persona responsable.
- La fecha es anterior a la recogida o no coincide con la cadena de custodia.
- Nadie puede explicarle cómo se verificó el resultado.
Cómo comprobar que su certificado es auténtico
La pregunta “¿cómo veo si mi certificado es válido?” tiene una respuesta en tres pasos.
- Cotéjelo con su propio inventario. Cada número de serie del certificado debe coincidir con la lista que usted entregó al proveedor. Si faltan equipos o sobran, hay un problema de trazabilidad, no de papeleo.
- Revise la cadena de custodia. Fecha de recogida, quién transportó, dónde se almacenó y cuándo se destruyó deben ser coherentes entre sí.
- Use el identificador del certificado. Algunos proveedores incorporan un código único o un QR que permite consultar en línea el registro de cada borrado (método, fecha, resultado). Si el suyo lo ofrece, úselo; si no, pida por escrito una confirmación del proveedor.
Para los discos que sigan en uso o que usted quiera destruir de forma visible, la destrucción de datos in situ permite que su equipo presencie el proceso y firme el registro en el momento. Es la verificación más sólida que existe, porque no depende de confiar en un transporte intermedio.
Plan de contingencia: qué hacer si el proceso falla o se interrumpe
Pocas organizaciones lo documentan, y es una de las preguntas que más se repiten. Según NIST SP 800-88 Rev. 2, cuando un proceso falla o se interrumpe el plan debe contemplar tres cosas:
- Registro del fallo en un informe de excepciones, sin maquillarlo.
- Acción correctiva: repetir el proceso con un método más seguro o aplicar uno distinto (por ejemplo, pasar de un borrado por software a la destrucción física).
- Cadena de custodia actualizada para que refleje el estado real del activo en cada momento.
Un ejemplo concreto: un disco no responde durante el borrado. No se anota “borrado” y se sigue. Se anota el fallo, el disco se aparta en custodia controlada, se destruye físicamente y el certificado final recoge ambos pasos. Un auditor valora más un expediente con una excepción bien resuelta que uno perfecto que no se puede creer.
Los SSD merecen atención especial, porque un método válido en un disco mecánico puede no serlo en memoria flash. Lo explicamos en destrucción de SSD segura.
Qué piden los marcos de cumplimiento más habituales en EE. UU.
No existe una ley federal única de destrucción de datos. Hay un mosaico de normas sectoriales y estatales, y casi todas convergen en la misma idea: sanitizar o destruir antes de reutilizar o desechar, y poder demostrarlo.
SOC 2
SOC 2 es una atestación, no una certificación, y no impone un catálogo de controles: su organización diseña los controles y el auditor los prueba frente a los criterios. El criterio de referencia es el CC6.5, que exige dejar de proteger un activo solo después de que se haya reducido la capacidad de leer o recuperar sus datos. En un informe Tipo II, el auditor busca consistencia a lo largo de todo el periodo: certificados, cadena de custodia y supervisión del proveedor, no un único documento suelto.
CJIS
Para quien maneje información de justicia criminal, el modelo de política de medios publicado por el FBI indica que el medio electrónico debe destruirse (cortarlo, triturarlo) y que la agencia debe conservar documentación escrita de los pasos de sanitización o destrucción. También señala que la destrucción debe ser presenciada o supervisada por personal autorizado.
NERC CIP
El informe técnico de CIP-011-3 explica que las entidades cubiertas deben impedir la recuperación no autorizada de información sensible del sistema eléctrico (BCSI), registrar las acciones de sanitización y documentar el custodio si el activo sale del perímetro antes de actuar. Además, ese documento no considera la simple disposición como método de sanitización aceptable, salvo que se apliquen técnicas adicionales, como cifrado robusto en medios SAN.
FISMA, HIPAA, PCI DSS y CMMC
En el entorno federal, FISMA y los controles asociados se apoyan en la familia NIST 800-88 para la sanitización de medios. Si trabaja con el Departamento de Defensa, revise CMMC y eliminación de medios. En el sector salud, el contrato con el proveedor y la cobertura HIPAA son parte del expediente: lo vemos en destrucción de datos en hospitales. Y si procesa tarjetas, tiene una lista rápida en eliminación de datos con PCI DSS v4 y NIST SP 800-88.
La regla práctica: no pregunte “¿qué certificado exige mi norma?”, pregunte “¿qué evidencia necesitaría yo para convencer a un auditor de que este activo fue destruido?”. Si el certificado responde a eso, casi siempre sirve para todos los marcos a la vez. Para armar un proceso único, le puede servir el resumen operativo de NIST 800-88.
Nuestra perspectiva
En nuestro trabajo con departamentos de TI vemos siempre el mismo patrón: el certificado se archiva el día que llega y nadie lo mira hasta que llega la auditoría, justo cuando ya no se puede corregir nada. Por eso insistimos en revisarlo en la entrega, con el inventario delante, mientras el equipo aún está en el almacén.
También creemos que el método importa menos que la trazabilidad. Un disco triturado sin registro individual vale menos, ante un auditor, que un disco borrado y verificado con su serie, su técnico y su resultado. Por eso preferimos procesos transparentes y adaptados a cada cliente, con destrucción presenciada cuando el volumen lo justifica.
Y una regla simple para elegir proveedor: si no puede explicarle de forma sencilla cómo se genera cada línea del certificado, el certificado no vale lo que cuesta.
— Keith
Cómo lo hacemos en Usedcartridge
Si su organización retira equipos y necesita un certificado que resista una revisión, ofrecemos destrucción de datos en discos duros con certificación y, para volúmenes grandes, destrucción in situ sin coste. La recogida para empresas es gratuita y, cuando hay componentes recuperables, pagamos por ellos de inmediato. También puede combinarlo con la recuperación de activos de TI para que el mismo expediente cubra el borrado y la reventa. Pida un presupuesto gratuito desde nuestra página principal.
Lista de comprobación antes de firmar la recepción
- Tiene el inventario por serie que entregó al proveedor.
- El certificado lista cada número de serie, sin lotes genéricos.
- Aparecen método, técnica, herramienta y resultado de verificación.
- Figura el nombre y la firma de la persona responsable, con fecha.
- La cadena de custodia es coherente con las fechas del certificado.
- Las excepciones, si las hubo, están registradas con su acción correctiva.
- Archivó certificado e inventario juntos, con un plazo de conservación definido.
Para no repetir fallos comunes, repase también los errores al eliminar datos electrónicos.
Preguntas frecuentes
¿Cuánto tiempo de validez tiene un certificado de destrucción de datos?
No tiene una vigencia propia: no caduca. Lo que sí debe respetar es el plazo de conservación de la normativa que le aplique, que en la práctica suele situarse entre 6 y 7 años (HIPAA y SOX). Si tiene varios marcos, aplique el plazo más largo.
¿Cómo puedo saber si mi certificado es válido?
Compruebe que cada número de serie coincide con su inventario, que el método y el estándar están indicados, que hay un responsable identificado y que las fechas encajan con la cadena de custodia. Si el proveedor ofrece un código único o QR, úselo para consultar el registro en línea.
¿Sirve un certificado sin números de serie?
Puede servir como constancia general, pero ante una auditoría formal tiene poco peso, porque no permite relacionar la destrucción con activos concretos. Pida siempre un certificado por dispositivo o con un anexo de series.
¿Qué evidencia necesito para SOC 2?
Un paquete coherente a lo largo de todo el periodo auditado: inventario con series, método de destrucción, fecha y lugar, cadena de custodia, verificación y certificados. El auditor evalúa si su control funciona de forma consistente, no solo si existe un documento.
Fuentes
- NIST SP 800-88 Rev. 2, Guidelines for Media Sanitization
- NERC CIP-011-3, informe de fundamento técnico
- FBI CJIS, modelo de política de protección de medios
- SOC 2 CC6.5: disposición de activos