Formatear no borra información de manera equivalente a un borrado seguro certificado. En especial, un formateo rápido elimina o reconstruye estructuras lógicas del sistema de archivos como tablas, índices y referencias, pero no necesariamente sobrescribe los datos que permanecen almacenados en el medio.
Para una organización, la diferencia crítica no es si el usuario puede “ver” los archivos, sino si un tercero puede recuperarlos. Una estrategia empresarial de borrado seguro de datos debe actuar sobre el medio de almacenamiento con un método adecuado para HDD, SSD o NVMe, verificar el resultado y producir evidencia auditable. Esa es la diferencia entre simplemente eliminar archivos y ejecutar una verdadera sanitización de discos duros y unidades de estado sólido conforme a estándares como NIST SP 800-88 e IEEE 2883.
La pregunta correcta para un CISO no es “¿El archivo desapareció de la computadora?”, sino
“¿Podemos demostrar ante un auditor que la información es irrecuperable
y qué ocurrió con cada activo?”
Durante años, muchas empresas han tratado el formateo de una computadora como sinónimo de eliminación de información. Desde la perspectiva del usuario final puede parecer lógico: el sistema operativo desaparece, las carpetas ya no están disponibles y el equipo puede reinstalarse.
Desde la perspectiva de ciberseguridad y auditoría, esa conclusión es insuficiente.
Para entender por qué formatear no borra información de forma confiable, primero es necesario distinguir cómo funcionan los principales medios corporativos.
HDD: discos duros magnéticos
Un HDD almacena información magnetizando regiones físicas sobre platos rotatorios. El sistema operativo accede a esos datos a través de sectores lógicos. Cuando un archivo es eliminado, en muchas situaciones no se realiza inmediatamente una operación destinada a sobrescribir cada sector que contenía su información. Lo que cambia inicialmente es la estructura lógica que permitía al sistema operativo localizarlo.
En NTFS, por ejemplo, existe una Master File Table (MFT). Microsoft explica que existe al menos una entrada de la MFT para cada archivo y que esta almacena o referencia información como tamaño, marcas de tiempo, permisos y contenido. Cuando un archivo se elimina, su entrada puede marcarse como disponible para reutilización.
Esto es conceptualmente muy distinto a asegurar que los datos originales hayan sido sanitizados.
Un SSD no funciona como un HDD tradicional.
Utiliza memoria NAND Flash y un controlador que administra internamente dónde se escriben los datos mediante mecanismos como:
Por esa razón, intentar borrar un SSD únicamente mediante múltiples escrituras efectuadas por el sistema operativo no necesariamente ofrece el mismo grado de control sobre todas las celdas físicas que tenía una estrategia clásica de sobrescritura sobre un HDD.
Las soluciones empresariales modernas deben seleccionar métodos compatibles con el tipo de almacenamiento y, cuando corresponde, aprovechar comandos a nivel de firmware. Blancco, por ejemplo, documenta métodos específicos para SSD y NVMe y compatibilidad con estándares como NIST e IEEE 2883.
Aquí es importante hacer una precisión técnica, no todos los tipos de formato son iguales.
Microsoft documenta que el comando format /Q, es decir, un formateo rápido, elimina la tabla de archivos y el directorio raíz de un volumen previamente formateado, pero no realiza una exploración sector por sector.
Un formateo completo moderno puede escribir sobre los sectores accesibles del volumen. Incluso existen parámetros específicos del comando format para sobrescritura. Eso significa que afirmar que ningún tipo de formato escribe datos sería técnicamente incorrecto.
Pero aquí se encuentra el punto crítico para un área de Compliance:
Un formateo de propósito general no equivale a un borrado seguro de información, como proceso empresarial de sanitización certificado, verificado, trazable y adaptado al dispositivo.
Un procedimiento de baja corporativa necesita responder cuestiones que un simple formato no responde:
Enviar un archivo a la papelera y posteriormente vaciarla tampoco debe considerarse sanitización.
En términos simplificados, el sistema operativo deja de presentar el archivo como un objeto activo y libera sus estructuras para reutilización. Hasta que el espacio correspondiente haya sido reutilizado y dependiendo del medio, el sistema de archivos y la tecnología involucrada, todavía pueden existir datos recuperables.
Por eso existen herramientas especializadas de Data Recovery y análisis forense capaces de buscar:
Un escenario corporativo real
Imagine una laptop de un Director Financiero que será reemplazada.
El equipo de cómputo contiene o ha contenido:
TI reinstala Windows y envía el equipo de cómputo a un tercero para reventa, visualmente el equipo está “limpio”; pero desde el punto de vista de gestión de riesgos, sin embargo, la pregunta permanece:
¿Puede el cliente o el responsable del activo demostrar
que la información anterior quedó realmente sanitizada?
Si la respuesta depende de “el técnico la formateó”, existe una brecha de control.
La destrucción certificada de datos en México ya no debe analizarse únicamente como una práctica técnica. Forma parte de la gestión integral del riesgo asociado al tratamiento de datos personales.
Una actualización indispensable sobre el INAI
Durante muchos años, búsquedas como “cumplimiento LFPDPPP INAI” fueron correctas porque el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales era la autoridad referente, sin embargo; el marco institucional cambió.
El 20 de marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, abrogando la ley de 2010. La legislación vigente identifica a la Secretaría Anticorrupción y Buen Gobierno como autoridad competente en esta materia; posteriormente asumió las funciones de protección de datos personales que correspondían al INAI. La versión vigente de la LFPDPPP incorpora además reformas publicadas en noviembre de 2025.
La responsabilidad no termina cuando termina el uso del equipo
La LFPDPPP establece obligaciones que son particularmente relevantes para la disposición de activos.
El artículo 10 establece que, cuando los datos han dejado de ser necesarios para las finalidades que motivaron su tratamiento y concluyen los periodos correspondientes de conservación, deben ser suprimidos, previo bloqueo cuando corresponda. Los artículos 18 a 20 establecen obligaciones relacionadas con medidas administrativas, técnicas y físicas de seguridad, vulneraciones y confidencialidad. Esto tiene una consecuencia práctica:
La protección del dato no termina porque una laptop salga del inventario de activos.
Si el almacenamiento todavía contiene información recuperable, el riesgo permanece.
Baja del activo ≠ baja del riesgo
En numerosas organizaciones existen procedimientos maduros para:
Pero al final del ciclo de vida se ejecuta algo como:
“formatear → guardar en bodega → vender/devolver”.
Precisamente ahí aparece una posible brecha entre IT Asset Management, Cybersecurity y Privacy.
La LFPDPPP vigente considera infracciones diversas conductas relacionadas con el manejo de datos personales, incluyendo vulnerar la seguridad de bases de datos, locales, programas o equipos cuando resulte imputable al responsable. La ley contempla multas expresadas en Unidades de Medida y Actualización: determinados supuestos pueden alcanzar de 100 a 160,000 UMA y otros de 200 a 320,000 UMA; existen además incrementos bajo ciertas condiciones y para datos sensibles.
Esto no significa que cada computadora mal formateada genere automáticamente una sanción.
Significa algo más importante para un CISO: la organización debe poder demostrar que implementó controles razonables y verificables para proteger la información durante todo su ciclo de vida.
Un certificado de borrado no sustituye una evaluación jurídica, tampoco convierte automáticamente a una empresa en “cumplida” con la LFPDPPP, ISO 27001 o SOC 2. Su importancia es probatoria y operativa.
Permite demostrar:
Soluciones como Blancco y Overti documentan que sus certificados pueden incluir datos del activo, método y nivel de sanitización, fechas, resultados, números de serie, identificadores, estado de la operación, versión del software, UUID del reporte y firma digital.
En una auditoría, esa evidencia tiene mucho más valor que una hoja de Excel cuyo único campo diga:
“Laptop 5824 — formateada — OK”.
Si su proceso de baja de computadoras corporativas no produce evidencia verificable por cada dispositivo, el problema no es solamente tecnológico: es un problema de gobierno.
Un proceso profesional de borrado seguro de información no debe basarse en “costumbre del área de soporte”. Debe vincularse con un estándar y con el nivel de riesgo de la información.
NIST SP 800-88: Clear, Purge y Destroy
NIST define la sanitización de medios como el proceso destinado a hacer que el acceso a los datos objetivo resulte inviable para un determinado nivel de esfuerzo. Históricamente, NIST SP 800-88 Rev. 1 se convirtió en una de las referencias más utilizadas internacionalmente para media sanitization.
Sin embargo, existe una actualización importante: NIST SP 800-88 Rev. 2 fue publicada en septiembre de 2025 y sustituyó formalmente a Rev. 1. Por ello, organizaciones que todavía tengan en sus políticas “norma NIST 800-88 Rev. 1” deberían evaluar su actualización documental a la revisión vigente. El modelo tradicionalmente reconocido alrededor de NIST diferencia tres grandes niveles conceptuales:
Clear Busca impedir la recuperación mediante interfaces normales y técnicas de recuperación estándar. Puede incluir operaciones lógicas de sobrescritura apropiadas para determinados medios. Es un nivel útil cuando el análisis de riesgo establece que el medio seguirá dentro de un entorno suficientemente controlado.
Purge Busca ofrecer un nivel superior de protección frente a técnicas de recuperación más avanzadas y puede apoyarse en comandos específicos del dispositivo o borrado criptográfico correctamente implementado. Para SSD y NVMe, comprender las capacidades del firmware y del almacenamiento es particularmente relevante.
Destroy Se utiliza cuando el medio debe quedar físicamente inutilizable y la recuperación de datos debe hacerse impracticable. Puede implicar procesos de destrucción física aprobados. La decisión entre Clear, Purge y Destroy no debería basarse en una regla universal de “tres pasadas” o “siete pasadas”. Debe partir de:
Tipo de medio + sensibilidad del dato + escenario de disposición + tecnología del dispositivo + política corporativa.
DoD 5220.22-M: importante históricamente, pero ya no debe tratarse como referencia moderna principal
El famoso método DoD 5220.22-M sigue apareciendo en solicitudes de clientes, RFP, políticas internas y herramientas de borrado. Su importancia histórica es indiscutible. Pero existe una precisión relevante: el documento DoD 5220.22-M fue sustituido en el esquema estadounidense correspondiente por 32 CFR Part 117, y DCSA documenta su cancelación.
Por ello, pedir simplemente “borrado DoD” porque una política corporativa de 2012 lo indica puede significar que la política necesita modernizarse. Un programa contemporáneo debería prestar mayor atención a NIST SP 800-88 Rev. 2 e IEEE 2883 y seleccionar procedimientos adecuados al dispositivo.
IEEE 2883-2022 representa una referencia especialmente importante en ambientes modernos porque especifica métodos para sanitizar almacenamiento lógico y físico e incluye orientación tecnológica para distintos tipos de almacenamiento.
Su importancia aumenta conforme las empresas migran de HDD tradicionales hacia:
En estos escenarios, asumir que una sobrescritura tradicional sirve de manera idéntica para cualquier dispositivo es una simplificación peligrosa.
Porque un programa empresarial requiere cinco componentes simultáneos:
Una utilidad gratuita puede sobrescribir algunos sectores, un script puede ejecutar comandos, un técnico puede realizar un format. Pero ¿Pueden demostrar, para 2,500 laptops distribuidas entre 18 ciudades, exactamente qué ocurrió con cada unidad?
Ahí aparece la diferencia entre una herramienta aislada y una plataforma de borrado seguro de datos B2B.
¿Por qué Blancco?
Blancco reporta haber sido probado, certificado, aprobado o recomendado por más de 15 organismos y organizaciones internacionales. Entre sus referencias se encuentran certificaciones o aprobaciones asociadas con organismos como NATO, Common Criteria, ANSSI y ADISA; su página de certificaciones documenta las aprobaciones específicas por producto y versión.
Blancco Drive Eraser soporta estándares como NIST, IEEE 2883 y métodos DoD para organizaciones que todavía los requieran por política contractual.
En México, PrymeNet ofrece servicios y consultoría especializada alrededor de esta tecnología y documenta capacidades de borrado para equipos, servidores, máquinas virtuales, archivos y carpetas, así como administración centralizada.
Conozca la solución Blancco con PrymeNet
|
Criterio |
Formateo tradicional / Quick Format |
Destrucción física |
Sanitización certificada con Blancco |
|
Mecanismo técnico |
Modifica o reconstruye estructuras lógicas del sistema de archivos. Un Quick Format elimina la tabla de archivos/directorio raíz, pero no constituye por sí mismo una sanitización certificada. |
Tritura, perfora, aplasta, desmagnetiza o inutiliza físicamente el medio según la tecnología y el procedimiento. |
Aplica métodos de sanitización seleccionados según tipo de dispositivo y estándar; puede utilizar sobrescritura, comandos firmware o métodos específicos para SSD/NVMe. |
|
Protección ante recuperación forense |
Baja o incierta en formatos rápidos; depende completamente del procedimiento utilizado. |
Alta cuando el método, tecnología y granulometría/procedimiento son apropiados, aunque una destrucción deficiente puede dejar fragmentos recuperables. |
Alta cuando el método seleccionado es apropiado y la verificación final es satisfactoria. |
|
Verificación automática |
Normalmente no existe como proceso empresarial independiente. |
La verificación suele centrarse en confirmar la destrucción del activo; demostrar ausencia lógica de datos puede ser más difícil. |
Sí. La sanitización incorpora verificación y generación de evidencia. |
|
HDD |
Puede dejar información recuperable, particularmente con formateo rápido. |
Posible y efectivo con procedimiento adecuado. |
Compatible con métodos estandarizados y verificables. |
|
SSD / NVMe |
No es suficiente asumir que las operaciones aplicadas a HDD producen el mismo resultado por wear leveling, firmware y arquitectura Flash. |
Es posible destruir el dispositivo, pero se pierde completamente su valor. |
Métodos específicos para SSD/NVMe y comandos adecuados al dispositivo. |
|
Reutilización del hardware |
Sí, pero existe riesgo residual si el proceso no sanitizó correctamente. |
No. |
Sí. El activo puede reasignarse, venderse, donarse o devolverse si supera el proceso establecido. |
|
Economía circular / ESG |
Permite reutilización, pero sin garantías suficientes de seguridad. |
Genera pérdida del activo y acelera la generación de residuos electrónicos. |
Favorece reutilización segura, extensión de vida útil y recuperación de valor. |
|
Certificado de borrado auditable |
Normalmente no. |
Puede existir certificado de destrucción, aunque su naturaleza es distinta a un reporte técnico de sanitización lógica. |
Sí; Blancco genera evidencia y certificados con firma digital y datos específicos del activo y proceso. |
|
Trazabilidad por número de serie |
Manual o inexistente. |
Depende del proveedor de destrucción. |
Automatizable y centralizable. |
|
Valor de rescate |
Se conserva, pero existe exposición si se entrega el equipo con datos residuales. |
Prácticamente cero respecto al dispositivo destruido. |
Se conserva o maximiza, al permitir reventa, reasignación o devolución segura. |
|
Devolución de leasing / arrendamiento TI |
Riesgo elevado si el arrendador recibe almacenamiento recuperable. |
Puede violar las condiciones de devolución porque el activo queda destruido. |
Especialmente adecuado: sanitiza la información sin destruir el equipo. |
|
LFPDPPP |
Por sí solo no demuestra que se hayan implementado controles suficientes. |
Puede formar parte de una estrategia válida cuando corresponde destruir el medio. |
Produce evidencia técnica útil para demostrar controles de protección y disposición; ningún software sustituye por sí mismo el análisis integral de cumplimiento. |
|
Auditoría ISO 27001 / SOC 2 |
Evidencia débil si únicamente se documenta “formateado”. |
Puede aportar evidencia cuando el procedimiento se encuentra controlado y documentado. |
Evidencia granular, centralizada y auditable para respaldar controles de disposición y sanitización. |
|
Escalabilidad |
Fácil de ejecutar pero difícil de gobernar y documentar masivamente. |
Logísticamente costosa en grandes flotillas distribuidas. |
Diseñada para automatización, ejecución masiva, escenarios locales y remotos. |
|
Costo total del ciclo de vida |
Bajo costo aparente, alto riesgo residual. |
Alto costo indirecto por pérdida del activo y logística. |
Combina reducción de riesgo con recuperación del valor residual del hardware. |
Destruir físicamente siempre
no significa necesariamente gestionar mejor el riesgo
La opción correcta depende del escenario.
Cuando un activo todavía tiene valor económico y puede reutilizarse, una sanitización certificada puede ofrecer simultáneamente seguridad, trazabilidad y sostenibilidad.
Una empresa con 5,000 endpoints puede renovar entre cientos y miles de dispositivos cada año; cada baja implica potencialmente datos de:
El control adecuado debería vincular:
Asset ID → usuario anterior → dispositivo → unidad de almacenamiento → método aplicado → resultado → certificado → destino final.
Si una empresa únicamente registra “equipo dado de baja”, existe una ruptura en la cadena de trazabilidad.
La devolución de arrendamiento TI es uno de los escenarios donde la destrucción física generalmente resulta poco práctica, la computadora no pertenece necesariamente al usuario corporativo y debe devolverse funcionalmente, destruir el SSD podría provocar penalizaciones contractuales, devolverlo intacto sin sanitización podría provocar una fuga de información.
La solución es separar dos conceptos:
propiedad del hardware y propiedad/responsabilidad sobre los datos.
El activo se devuelve.
Los datos no.
Un proceso de Blancco borrado seguro de información permite sanitizar el almacenamiento, documentar el resultado y preservar el equipo para devolución.
Reasignación interna
El riesgo también existe cuando la laptop nunca sale de la empresa.
Supongamos que un equipo utilizado por Finanzas se reasigna a Operaciones.
El usuario nuevo no debería tener posibilidad de recuperar:
Una reinstalación estándar puede ser operacionalmente suficiente para comenzar a utilizar la máquina, pero las organizaciones con mayores requerimientos de seguridad deberían establecer políticas de sanitización según el perfil anterior y futuro del activo.
Garantías y reemplazos de discos
Otro punto frecuentemente ignorado son los RMA.
Un disco presenta errores.
El fabricante solicita devolverlo para hacer válida la garantía.
Precisamente porque el disco falla, el equipo de TI puede tener dificultades para borrar todos sus datos.
El procedimiento corporativo debe determinar:
No debería existir una regla que diga “si no arranca, se envía al fabricante”.
Data Centers y servidores
En un Data Center, el problema se multiplica.
Existen:
Una migración de infraestructura no termina cuando la aplicación funciona en el nuevo entorno.
Termina cuando el entorno anterior ha sido adecuadamente tratado conforme a la política de retención y disposición.
Blancco ofrece soluciones orientadas a servidores, LUN, máquinas virtuales y almacenamiento de Data Center, incluyendo capacidades de ejecución a escala. Existen casos documentados de eliminación simultánea sobre miles de servidores.
PrymeNet plantea el borrado seguro de datos B2B como un proceso de seguridad y cumplimiento, no únicamente como la ejecución de una licencia. La combinación de servicios especializados y tecnología Blancco permite diseñar procedimientos adaptados al ciclo de vida del activo.
Dispositivos y escenarios soportados
Dependiendo de la solución y arquitectura seleccionadas, el ecosistema Blancco contempla sanitización para:
Blancco File Eraser, por ejemplo, permite eliminar permanentemente archivos, carpetas, espacio libre, temporales y caché, y puede integrarse con infraestructura empresarial utilizando Active Directory.
PrymeNet también contempla políticas integrales y escenarios administrados mediante Active Directory dentro de su oferta de servicios.
1. Discovery y diagnóstico Antes de borrar se define qué se va a proteger PrymeNet puede trabajar con TI y Seguridad para identificar:
La regla técnica depende del escenario, un SSD NVMe de un director no necesariamente debería tratarse igual que un HDD que será reasignado dentro de un laboratorio.
2. Definición de la política de sanitización Se determina:
Esto convierte al borrado en un control reproducible.
3. Ejecución Dependiendo del proyecto puede realizarse:
Blancco documenta capacidades de borrado remoto para equipos en oficina, Data Centers y home office, permitiendo incluso que personal no técnico ejecute un procedimiento controlado mientras la organización mantiene evidencia del resultado.
4. Verificación Este paso separa una intención de un resultado, no basta con iniciar el proceso; debe confirmarse si concluyó correctamente. Los equipos que presentan errores deben separarse del flujo normal y recibir un tratamiento definido por la política.
5. Generación del certificado Blancco documenta certificados que pueden incluir:
Management Console: del borrado aislado al gobierno centralizado
En organizaciones grandes, el valor no está solamente en borrar, está en gobernar miles de borrados. Una plataforma de administración permite centralizar certificados, facilitar búsquedas, reducir manejo manual y preparar evidencia para auditoría. Blancco documenta almacenamiento centralizado, procesamiento en lote, firmas digitales y capacidades de integración con otros sistemas empresariales.
Imagine que Auditoría Interna pregunta:
“Muéstreme evidencia de las 742 laptops retiradas durante Q2.”
Con un proceso informal, comienza una investigación entre correos, archivos Excel y proveedores, con una estructura centralizada, la organización consulta los registros correspondientes, esa diferencia constituye madurez de control.
Borrado remoto para Home Office
El trabajo híbrido introdujo una nueva problemática: ¿Cómo dar de baja de forma segura una laptop que se encuentra a 800 kilómetros del corporativo? Transportarla primero y borrarla después significa mover físicamente datos sensibles. La arquitectura de borrado remoto permite invertir el orden:
primero sanitizar → después transportar.
Blancco describe mecanismos mediante los cuales los procesos pueden distribuirse a equipos remotos utilizando herramientas corporativas como Active Directory o soluciones de administración de endpoints.
El papel de PrymeNet
La tecnología es solamente una parte, en PrymeNet podemos acompañarte en:
El objetivo debería ser que la sanitización deje de depender del criterio individual del técnico y se convierta en una política empresarial.
Si hoy su evidencia de disposición consiste en una bitácora manual, un correo del proveedor o una columna denominada “formateado”, existe una oportunidad clara para fortalecer el control.
El equipo puede evaluar junto con TI, Ciberseguridad y Compliance qué nivel de sanitización necesita cada tipo de activo antes de su reasignación, venta, reciclaje o devolución.
La baja de un dispositivo no es un proceso administrativo menor, es la última etapa de su ciclo de seguridad. Una empresa puede invertir durante cuatro años en firewall, EDR, Zero Trust, DLP, MFA, SOC, SIEM y capacitación, y posteriormente exponer información confidencial simplemente porque una laptop salió de la organización después de un formateo insuficientemente controlado.
El punto central es simple:
Eliminar no es lo mismo que hacer un borrado seguro de informacion; formatear no es solamente ejecutar un comando; y ejecutar un comando no equivale a demostrar cumplimiento.
Las organizaciones maduras necesitan un proceso que combine:
política + tecnología + verificación + trazabilidad + evidencia.
En México, la nueva LFPDPPP exige mantener medidas administrativas, técnicas y físicas para proteger los datos personales y contempla su supresión cuando dejan de ser necesarios conforme a los plazos aplicables. La autoridad federal vigente para datos personales en posesión de particulares es actualmente la Secretaría Anticorrupción y Buen Gobierno.
A nivel internacional, NIST SP 800-88 Rev. 2 —que sustituyó a Rev. 1 en septiembre de 2025— e IEEE 2883 ofrecen marcos actualizados para abordar la sanitización de medios modernos.
Y mediante tecnología Blancco, PrymeNet puede ayudar a convertir la baja de computadoras corporativas, sanitización de discos duros, devolución de arrendamiento TI y desmantelamiento de infraestructura de Data Center en procesos controlados, verificables y auditables.
¿Sus computadoras dadas de baja realmente eliminaron toda su información?
No debería depender de una suposición.
Compruébelo. Certifíquelo. Documéntelo.
También puede conocer la tecnología de Borrado Seguro Blancco disponible con PrymeNet.
PrymeNet + Blancco: transforme la eliminación de datos de una tarea operativa en evidencia de ciberseguridad, cumplimiento y certeza empresarial.