Sembra che tu sia già a conoscenza della prima parte di questa domanda. Per la maggior parte degli scopi dovrebbe essere inclusa qualsiasi memoria non volatile che potrebbe contenere i dati che consideri sensibili (unità a stato solido, dischi rigidi, EPROM, chiavi USB ecc.) Ma la memoria volatile non dovrebbe. Questi dispositivi di archiviazione potrebbero essere in stampanti, fax, router, switch, qualsiasi piattaforma di calcolo.
Un prerequisito chiave è la comprensione di ciò che consideri sensibile, ad esempio la configurazione di un router potrebbe dover essere protetta per evitare un indebolimento della sicurezza della rete, oppure i dispositivi che memorizzano dati personali o dell'account potrebbero essere sottoposti a DPA nel Regno Unito o GLB o HIPAA in gli Stati Uniti. Una regola empirica generale consiste nel considerare la politica di classificazione dei dati dell'organizzazione come una guida e distruggere l'archiviazione dei dati che rientra nei requisiti di protezione dei dati.
La domanda interna / esterna potrebbe ridurci alla sensibilità dei dati. Recentemente ho partecipato a un'eccellente presentazione sulla distruzione dei dati nelle forze armate, in cui l'outsourcing completo non era un'opzione, e la completa distruzione era un requisito, quindi è stato approvato l'uso di macinacaffè che potevano portare interi dischi rigidi in polvere. Per molte organizzazioni che utilizzano la crittografia del disco rigido, un provider che esegue più sovrascritture nella misura in cui il ripristino non è fattibile può essere sufficiente. Ciò dipenderà dal livello di sensibilità e dal tipo di agente che potrebbe tentare di recuperare i dati. Se un utente malintenzionato ha un microscopio a scansione elettronica, potrebbe essere in grado di recuperare dati utili da un disco del disco rigido che è stato suddiviso in pezzi, ma è probabile che ciò accada solo se i dati sono di altissimo valore.
In entrambi i casi, è essenziale la segnalazione verificabile della distruzione, in modo che tu possa provare di aver ricevuto tutti i dispositivi e di averli distrutti, insieme al meccanismo di distruzione e ai dettagli finali sullo smaltimento.