Sí: CMMC exige que todo medio que contenga información no clasificada controlada (CUI) se sanee o destruya antes de eliminarlo o reutilizarlo, y la organización debe poder probarlo con registros auditables y certificados. El control que lo establece es MP.L2-3.8.3, y la referencia técnica para elegir el método correcto es NIST SP 800-88. Si tienes medios pendientes de tratar, actúa antes de seguir leyendo:
- Retén cualquier disco, cinta o USB con CUI que estuviera destinado a reutilización o desecho hasta confirmar el método de sanitización adecuado.
- Haz un inventario rápido con número de serie, tipo de medio y ubicación actual.
- Agenda la destrucción o el borrado con un proveedor que emita certificado y registro de cadena de custodia.
Esto no es papeleo opcional. Un auditor de evaluación CMMC pedirá evidencia física y documental de que el medio ya no existe o ya no contiene datos legibles, no solo tu palabra de que “se destruyeron”.
Puntos clave
| Punto | Detalles |
|---|---|
| Sanitizar antes de reutilizar | MP.L2-3.8.3 obliga a eliminar CUI de forma verificable antes de reutilizar o desechar cualquier medio. |
| Método según tipo de medio | Los SSD y USB requieren borrado criptográfico o destrucción física; la sobrescritura simple no basta. |
| Certificado con datos completos | Exige número de serie, método, fecha y firma del responsable en cada certificado de destrucción. |
| Cadena de custodia sin huecos | Documenta cada traspaso del medio desde el retiro hasta la destrucción final. |
| Servicio certificado como respaldo | UsedCartridge ofrece recogida, destrucción in situ y certificados que cubren la evidencia que exige un auditor CMMC. |
Tabla de contenidos
- Qué exige CMMC en la familia Media Protection y su relación con NIST SP 800-88
- Métodos de sanitización y destrucción según el tipo de medio
- Qué documentación demuestra el cumplimiento ante un auditor
- Controles operativos entre el retiro del medio y su destrucción final
- Cómo construir la política y prepararse para la auditoría
- Fuentes
Qué exige CMMC en la familia Media Protection y su relación con NIST SP 800-88
La familia Media Protection (MP) de CMMC regula cómo se protege, marca, almacena y finalmente se elimina cualquier medio que haya alojado CUI. No se limita a discos duros: incluye cintas, memorias USB, dispositivos ópticos y papel impreso con datos sensibles, tal como recoge la guía de controles MP.
Los controles que más peso tienen en una auditoría son estos:
- MP.L2-3.8.1: proteger los medios del sistema (digitales y físicos) que contienen CUI mientras estén en uso o almacenados.
- MP.L2-3.8.3: sanear o destruir los medios antes de su eliminación o reutilización, de forma que la CUI no sea recuperable.
- Controles complementarios sobre marcado, cifrado en tránsito y restricción de acceso a medios extraíbles.
Aquí conviene distinguir dos objetivos distintos. Sanitizar para reutilizar significa borrar el contenido de forma verificable pero conservar el dispositivo funcional, útil cuando planeas redistribuir equipos internamente. Destruir implica que el medio deja de existir como tal, la única opción válida cuando el hardware no soporta un borrado fiable o cuando la política de la organización exige eliminación total.
Dato clave: las guías HIPAA de HHS confirman que una entidad regulada solo puede reutilizar o desechar equipos con ePHI después de eliminar esa información mediante métodos como clearing, purging o destrucción física, remitiendo directamente a NIST SP 800-88 como estándar de referencia. Un auditor CMMC espera ver esa misma lógica aplicada, con política escrita y registro de evidencias que respalde cada decisión.
Métodos de sanitización y destrucción según el tipo de medio
No existe un método único que sirva para todos los soportes. La elección depende del tipo de medio, si planeas reutilizarlo y qué tan sensible fue el CUI almacenado.
- Discos duros mecánicos (HDD): la sobrescritura de varias pasadas funciona para reutilización interna de bajo riesgo. Para eliminación definitiva o CUI de alta sensibilidad, el purgado magnético o el degaussing certificado son más fiables, y la destrucción física (trituración o perforación) cierra cualquier duda.
- Unidades de estado sólido (SSD): aquí la sobrescritura tradicional puede fallar, porque el controlador interno reubica los datos y deja bloques “huérfanos” inaccesibles al sistema operativo pero técnicamente recuperables. El borrado criptográfico es rápido y eficaz cuando el fabricante lo soporta de forma verificable; si no, la destrucción física sigue siendo la opción más segura, según recoge la documentación técnica sobre protección de medios.
- Cintas magnéticas: degaussing con equipo certificado para el tipo de cinta, seguido de destrucción física si el volumen de CUI lo justifica.
- Memorias USB y tarjetas flash: mismo problema que los SSD por su controlador interno. Se recomienda destrucción física siempre que el coste del dispositivo no compense el riesgo de un borrado incompleto.
- Medios ópticos (CD, DVD, Blu-ray): la destrucción física mediante trituradora específica es prácticamente la única opción práctica, dado que no admiten sobrescritura.
- Papel y documentos impresos: trituración certificada, pulping o incineración controlada, con el mismo nivel de exigencia documental que un disco duro. La guía sobre destrucción de CUI en papel insiste en que el soporte físico no reduce el rigor exigido.
Consejo profesional: si tu organización maneja un volumen mixto de SSD y HDD antiguos, no asumas que “borrar” significa lo mismo para ambos. Clasifica primero por tipo de medio y luego decide el método; mezclar criterios es el error más común que detectan los evaluadores.
Qué documentación demuestra el cumplimiento ante un auditor
Un certificado de destrucción sin datos verificables no vale nada frente a un evaluador. El documento debe permitir trazar cada activo, no solo declarar que “se destruyeron varios discos”.
Los campos mínimos que debe incluir cualquier Certificate of Destruction son:
- Número de serie o identificador único del activo.
- ID de inventario interno vinculado al sistema de gestión de activos.
- Método de sanitización o destrucción aplicado (purgado, degaussing, trituración, etc.).
- Fecha exacta del proceso y ubicación donde se realizó.
- Nombre y firma del responsable o técnico que ejecutó la operación.
Junto al certificado externo, la organización necesita sus propios registros internos: inventario previo con fotografías del estado del medio, logs del sistema de gestión de activos y una cadena de firmas que documente quién tuvo el medio en cada etapa.
En auditorías CMMC, los evaluadores buscan correlación directa entre el activo registrado en el inventario y la evidencia de destrucción: mismo número de serie, misma fecha, misma cadena de custodia. Sin esa correlación exacta, el certificado no prueba que el activo que realmente contenía CUI fue tratado, aunque la destrucción en sí haya sido real.
Conserva esta documentación en formato legible durante el periodo que exija tu contrato o programa de auditoría, normalmente varios años. Un archivo en PDF con búsqueda por número de serie ahorra horas cuando llega la revisión.
Controles operativos entre el retiro del medio y su destrucción final
El mayor riesgo no ocurre en el momento de destruir, sino en el tiempo que el medio pasa esperando su turno. Un disco con CUI olvidado en un cajón durante semanas es una brecha potencial, aunque termine destruido correctamente.
- Inventario y etiquetado inmediato: cada medio retirado debe recibir una etiqueta física y un registro digital en el momento del retiro, no días después. La lista de datos sensibles a considerar ayuda a clasificar qué activos requieren este tratamiento prioritario.
- Almacenamiento temporal controlado: los medios pendientes de destrucción deben guardarse en un espacio con acceso restringido y registro de entrada y salida, igual que cualquier otro activo con CUI.
- Cadena de custodia documentada: cada traspaso, desde quien retira el equipo hasta quien lo entrega al servicio de destrucción, necesita firma y sello temporal.
- Transporte con manifiesto: si el medio sale de las instalaciones hacia un proveedor externo, el transporte debe ir acompañado de un manifiesto que liste cada activo por número de serie.
- Calendario de destrucciones por volumen: agrupar destrucciones en ciclos regulares (mensual o trimestral, según el volumen) reduce el tiempo de exposición frente a hacerlo de forma reactiva.
Los medios extraíbles como USB y discos externos merecen atención especial: representan el mayor riesgo de exfiltración precisamente porque son fáciles de sacar de las instalaciones sin control, algo que señalan los especialistas en cumplimiento de protección de medios.
Cómo construir la política y prepararse para la auditoría
Una política de eliminación de medios debe contar con roles claros y un calendario real de verificación para ser efectiva.
La política escrita debe incluir, como mínimo:
- Alcance: qué tipos de medios cubre (digitales, físicos, extraíbles) y qué se considera CUI en tu organización.
- Métodos aprobados por tipo de medio, alineados con NIST SP 800-88.
- Roles asignados: quién autoriza la destrucción, quién ejecuta el inventario y quién retiene los certificados.
- Frecuencia de revisión de la política y de auditorías internas.
Asigna responsabilidades concretas, no genéricas. Un responsable de activos TI que gestiona el inventario, un oficial de seguridad que aprueba métodos y un custodio de documentación que archiva certificados son tres roles distintos aunque coincidan en una organización pequeña.
Antes de una auditoría real, ejecuta un simulacro con checklist: revisa que cada medio destruido en los últimos meses tenga certificado, que el inventario coincida con los registros de destrucción y que la cadena de custodia no tenga huecos. La guía práctica sobre disposición responsable de tecnología ofrece un punto de partida útil para estructurar este checklist inicial.
Consejo profesional: programa pruebas periódicas cada trimestre, no solo antes de la auditoría anual. Un evaluador nota la diferencia entre un programa que funciona todo el año y uno que se maquilla en las últimas semanas.
Compatibilidad con HIPAA y otras normas federales
Si tu organización maneja también información de salud protegida (ePHI), las reglas de HIPAA bajo el 45 CFR exigen el mismo principio: eliminar la información antes de reutilizar o desechar el equipo, con métodos equivalentes a los de NIST SP 800-88.
- Los contratos con el Departamento de Defensa suelen añadir cláusulas de la Federal Acquisition Regulation, como la 52.204-21, que imponen controles de seguridad adicionales sobre información contractual.
- Alinear la política CMMC con marcos como ISO 27001 o SOC 2 reduce trabajo duplicado: si ya documentas eliminación de activos para una certificación ISO, extiende esos mismos registros a CMMC en vez de crear un proceso paralelo.
Cómo respalda UsedCartridge un proceso verificable
Muchos equipos de seguridad no tienen la capacidad interna para degaussing certificado o trituración física a escala, y ahí es donde un servicio externo especializado cierra la brecha entre la política escrita y la ejecución real.
- Destrucción in situ con equipo certificado, útil cuando la política exige que el medio nunca salga de las instalaciones sin ser destruido.
- Certificado de destrucción con número de serie, fecha y método, listo para archivar como evidencia de auditoría, siguiendo el mismo estándar descrito en la guía sobre destrucción en sitio de hardware.
- Recogida logística con cadena de custodia documentada desde el retiro hasta la destrucción final.
Dato clave: el punto de fallo más frecuente detectado en auditorías no es un mal método de destrucción, sino la ausencia de certificado que vincule el activo específico con el proceso ejecutado.
Decide entre proceso interno o externo según tu volumen: si destruyes menos de una decena de medios al mes, un servicio certificado suele salir más barato y más seguro que mantener equipo de degaussing infrautilizado.
Errores frecuentes y prioridades reales para un equipo de seguridad
El error que más veces he visto repetirse en revisiones de cumplimiento no es un método de destrucción débil: es la falta de evidencia documental que conecte el activo con el proceso. Se destruye correctamente, pero nadie puede probarlo seis meses después.
La prioridad inmediata no es comprar una trituradora mejor. Es cerrar los huecos en cadena de custodia y controlar los medios extraíbles, que son los que más fácilmente se pierden entre el retiro y la destrucción.
Si solo puedes hacer una cosa esta semana, haz una auditoría interna de los medios pendientes y fija ya una fecha de destrucción con certificado.
— Keith
Cómo pedir a UsedCartridge una destrucción certificada y recogida segura
Si tu organización necesita cerrar ya esta brecha, el paso práctico es solicitar una recogida certificada en lugar de improvisar el proceso con recursos internos limitados.
UsedCartridge es la alternativa a montar tu propio programa de degaussing o trituración interna: recogida programada, destrucción in situ cuando la política lo exige y certificado con número de serie listo para tu archivo de auditoría, sin invertir en equipo que usarás pocas veces al mes. Al pedir presupuesto, especifica el volumen aproximado de medios, los tipos (HDD, SSD, cintas, papel) y si necesitas destrucción in situ o certificado remoto. Consulta los detalles del servicio de destrucción de datos y solicita tu cotización con esa información para recibir un plan ajustado a tu calendario de cumplimiento.
Fuentes
- NIST SP 800-171 / NIST guidance (SP references)
- HHS — May a covered entity reuse or dispose of computers or other electronic media that store electronic protected information?
- CMMC Media Protection (MP) requirements — greypike resource
Este artículo es información general y no sustituye el consejo de un abogado cualificado. Consulte a un profesional del derecho cualificado sobre su caso particular antes de actuar según este contenido.