Destrucción de discos duros y datos en Tijuana

Qué es la destrucción certificada de datos (y qué no lo es)

La destrucción certificada de datos es el proceso de eliminar de forma irreversible la información contenida en los medios de almacenamiento de tu empresa —discos duros, SSD, servidores, cintas, teléfonos— dejando evidencia documental de cada paso: qué medio se procesó, con qué método, cuándo y quién fue el responsable. El resultado no es solo un disco limpio; es un expediente que puedes poner sobre la mesa cuando un auditor, un cliente o tu casa matriz pregunte "¿qué pasó con la información de esos equipos?".

Lo que no es destrucción certificada: formatear el disco, borrar los archivos, restablecer el equipo de fábrica o "mandarlo a la basura". Un formateo rápido solo elimina el índice de los archivos —la información sigue ahí y puede recuperarse con herramientas disponibles públicamente. Cada equipo que tu empresa dona, vende o desecha sin sanitizar correctamente es una fuga de datos en potencia.

Si tu empresa está en Tijuana o la frontera y necesita destrucción de discos duros con certificado, en esta guía te explicamos los métodos, la guía NIST 800-88, qué debe incluir un certificado válido y cómo es el proceso completo.

El riesgo real: qué cuesta un disco mal borrado

Cuando una empresa da de baja equipo de cómputo, la atención suele irse al fierro: cuánto vale, quién se lo lleva, dónde se recicla. Pero el mayor riesgo no está en el equipo, sino en lo que contiene: contratos, nóminas, datos personales de clientes y empleados, información financiera, propiedad intelectual, credenciales de acceso. Un solo disco que sale por la puerta sin sanitizar puede terminar en un mercado de segunda mano con toda esa información intacta.

En México, además, las empresas que tratan datos personales están obligadas por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) a establecer medidas de seguridad que eviten el uso o acceso no autorizado a esa información — y esa obligación no termina cuando el equipo se apaga por última vez: la disposición final de los medios de almacenamiento es parte del ciclo de vida del dato. La destrucción certificada es la manera de cerrar ese ciclo con evidencia.

Y el incumplimiento no es menor: la LFPDPPP contempla multas que pueden alcanzar cientos de miles de UMAs —hasta 320,000, y el doble tratándose de datos personales sensibles como los de salud o financieros—, además del daño reputacional y la pérdida de confianza de clientes y casa matriz. Frente a eso, documentar la destrucción de cada disco es una medida de protección barata. Este es, además, el punto que muchos proveedores pasan por alto: se apoyan solo en el estándar técnico estadounidense (NIST 800-88) y no en el marco legal mexicano que realmente obliga a tu empresa.

El estándar NIST 800-88: Clear, Purge y Destroy

La referencia mundial para la sanitización de medios es la publicación especial NIST 800-88 ("Guidelines for Media Sanitization") del Instituto Nacional de Estándares y Tecnología de Estados Unidos. Es el estándar que citan las políticas de seguridad de la mayoría de los corporativos —incluidas las casas matrices de las empresas de nearshoring de la frontera— y define tres niveles de sanitización:

• Clear (borrado lógico). Sobrescritura de la información con técnicas estándar de lectura/escritura. Protege contra la recuperación con herramientas de software convencionales. Adecuado cuando el equipo permanece bajo control de la organización.
• Purge (purga profunda). Técnicas más profundas —como el borrado criptográfico o comandos de sanitización propios del dispositivo— que hacen la recuperación inviable incluso con técnicas de laboratorio. Es el nivel que suele citarse cuando un medio va a seguir en uso, aunque nosotros no lo aplicamos.
• Destroy (destrucción física). El medio se destruye de forma que sea inservible y la información irrecuperable. Es la vía cuando el medio está dañado, es obsoleto o la política de seguridad exige su eliminación física.

En Tianlu trabajamos en la categoría Destroy: destrucción física con métodos alineados a la guía NIST 800-88, para todos los medios y sin excepciones. Los otros dos niveles los explicamos porque un auditor los va a mencionar — pero nuestra política no depende de verificar un borrado modelo por modelo, sino de que el medio deje de existir.

Nosotros destruimos el disco, no lo borramos

Conviene decirlo de entrada porque nos diferencia y porque evita malentendidos: en Tianlu el medio de almacenamiento siempre se destruye físicamente. No hacemos borrado que conserve el disco para volver a usarlo.

Eso no significa que pierdas el equipo. Al contrario, y esta es la parte que suele sorprender:

• El disco se destruye, la máquina es tuya. Extraemos y destruimos el medio de almacenamiento; el resto del equipo se queda contigo. Si quieres reasignarlo internamente, donarlo o venderlo, puedes hacerlo — ese valor de reventa es tuyo, completo, no pasa por nosotros.
• Si prefieres deshacerte de todo, te lo compramos. Cuando no quieres lidiar con el equipo, lo valuamos por composición de material y lo reciclamos bajo el marco NOM-161. Nosotros no revendemos nada: todo lo que compramos entra a recuperación de material.
• Por qué destruir y no borrar. Un borrado verificado exige comprobar modelo por modelo que el método funcionó, y en SSD y NVMe esa verificación es notoriamente frágil. La destrucción física no admite discusión: el medio deja de existir, y eso es lo que un auditor puede comprobar sin depender de la palabra de nadie.

Cómo se destruye físicamente un disco duro (y por qué el SSD es distinto)

Cuando la decisión es destruir el disco duro —no borrarlo—, existen varias técnicas, y la correcta depende del tipo de medio. No es lo mismo un disco mecánico (HDD), que guarda la información en platos magnéticos, que una unidad de estado sólido (SSD), que la almacena en chips de memoria flash:

• Trituración (shredding). El medio se fragmenta en partículas. Es el método más definitivo y sirve para HDD y SSD, siempre que el tamaño de partícula sea lo bastante fino para los chips de memoria de un SSD.
• Perforación y deformación. Se atraviesa o dobla el plato del disco para inutilizarlo. Es rápida para HDD dañados o sin valor, pero puede dejar fragmentos legibles si no se combina con trituración; para SSD es poco fiable por sí sola.
• Desmagnetización (degauss) — no la ofrecemos. Un campo magnético intenso borra un HDD y lo deja inservible. La mencionamos porque vas a encontrarla comparando proveedores y porque tiene una trampa: no funciona en SSD ni en memorias flash, que no guardan los datos magnéticamente. Nosotros resolvemos esos casos con borrado verificado o destrucción física.

Esta diferencia importa: destruir un SSD como si fuera un HDD —por ejemplo, solo desmagnetizándolo— deja la información intacta. Por eso, antes de destruir, identificamos el tipo de medio y aplicamos la técnica que de verdad lo inutiliza, y lo documentamos por número de serie en el certificado.

Nuestro proceso de destrucción de datos, paso a paso

El proceso está diseñado para que la trazabilidad no se rompa en ningún punto: desde que el medio sale de tu empresa hasta que recibes el certificado, cada paso queda documentado.

1. 1

   Levantamiento y alcance

   Nos indicas qué medios necesitas destruir (discos, SSD, servidores, cintas, móviles), el volumen y tus requisitos de auditoría. Todo medio se destruye físicamente; lo que definimos juntos es la logística —en tu sitio con testigo o en la planta— y te cotizamos sin compromiso.

2. 2

   Recolección con cadena de custodia

   Recogemos los equipos en tus instalaciones y cada medio queda registrado por número de serie desde que sale de tu empresa. La cadena de custodia documenta quién tuvo el material en cada momento.

3. 3

   Destrucción física

   Destruimos físicamente cada medio hasta dejarlo inservible, conforme a la categoría Destroy de la guía NIST 800-88. Nunca borramos un disco para conservarlo: la destrucción es la única vía que no depende de verificar modelo por modelo.

4. 4

   Verificación

   Cada medio se verifica tras el proceso: que la destrucción física sea total y el medio haya quedado inservible. Ningún dispositivo pasa a reciclaje sin esta verificación.

5. 5

   Certificado y evidencia

   Recibes un certificado de destrucción por cada medio, con número de serie, método aplicado, fecha y responsable, junto con la cadena de custodia. Es la evidencia que respalda tu cumplimiento ante auditorías.

Qué medios de almacenamiento sanitizamos

La información sensible no vive solo en los discos de las computadoras. Estos son los medios que procesamos con mayor frecuencia — si el tuyo no aparece, pregúntanos:

• Discos duros mecánicos (HDD)
• Unidades de estado sólido (SSD y NVMe)
• Servidores y arreglos de almacenamiento
• Laptops y computadoras de escritorio
• Teléfonos y tablets corporativos
• Memorias USB y tarjetas de memoria
• Cintas de respaldo (LTO y similares)
• Discos de cajeros automáticos y equipo de sucursal bancaria
• Multifuncionales e impresoras con disco interno
• Equipo de red con configuración sensible
• Puntos de venta y kioscos con almacenamiento

Ojo con los equipos "que no parecen tener datos": multifuncionales de oficina con disco interno, conmutadores con configuraciones y credenciales, puntos de venta. Son los que más se escapan de las políticas de sanitización y también los cubrimos.

Destrucción presenciada: en tus instalaciones o en la planta de Rosarito

Si tu política de seguridad exige que alguien de tu empresa vea destruir cada disco, el servicio lo contempla: tu testigo presencia la destrucción, cuenta los medios contra su propio inventario y firma el acta, y su nombre queda registrado en el certificado. Es la modalidad que suelen pedir bancos y aseguradoras para el equipo de sucursal, los call centers con discos de cientos de posiciones y los hospitales que dan de baja equipo con expediente clínico.

La destrucción presenciada puede hacerse en la planta de Playas de Rosarito —con visita coordinada— o en tu sitio. En cómo es una destrucción presenciada, paso a paso contamos cómo transcurre ese día, quién firma en cada punto y qué necesitas preparar.

Cadena de custodia paso a paso: quién firma en cada punto

Entre que el disco sale de tu edificio y deja de existir hay un trayecto, y cada tramo tiene un responsable con nombre y firma. Así se ve la cadena completa:

• En tu sitio: se levanta el inventario por número de serie y tu responsable firma el acta de recolección junto con el nuestro. Desde ese momento cada medio está contado.
• En el traslado: el material viaja directo a la planta, sin escalas; el registro de custodia documenta quién lo transportó y cuándo.
• En la recepción de planta: el lote se coteja contra el acta de origen. Cualquier diferencia se reporta antes de procesar, no después.
• En la destrucción: el operador registra método, fecha y hora por medio; si hay testigo tuyo, firma en este punto.
• Al cierre: recibes el certificado por número de serie y la constancia de disposición final del material resultante. El expediente queda completo de punta a punta.

Qué necesitamos para cotizar una destrucción de datos

Con cuatro datos armamos una propuesta precisa el mismo día:

• Cuántos medios y de qué tipo — aproximado basta: discos sueltos, equipos completos con disco dentro, servidores, cintas, celulares.
• Dónde están: un solo sitio o varios, y en qué ciudad. Si los discos ya están retirados y juntos, dilo: simplifica la logística.
• Si necesitas presenciar la destrucción — con testigo en tu sitio o visitando la planta.
• Qué exige tu auditoría: certificado por serie, cadena de custodia, constancia de disposición final, documentación para casa matriz. Si tu política pide alguna evidencia adicional, indícalo desde el inicio para confirmarla en la propuesta.

El certificado de destrucción: tu evidencia de cumplimiento

El entregable central del servicio es el certificado de destrucción de datos. Para que tenga valor real ante una auditoría, debe identificar de forma inequívoca cada medio procesado. El nuestro incluye, por cada dispositivo:

• Razón social del cliente y del gestor, para que quede claro quién entregó el medio y quién ejecutó la destrucción.
• Inventario del medio: marca, modelo, capacidad y número de serie, para que la evidencia sea rastreable equipo por equipo y no un "lote genérico".
• Método y estándar aplicado: destrucción física, con métodos alineados a la guía NIST 800-88.
• Nivel de sanitización según NIST 800-88: Clear, Purge o Destroy. Es el dato que un auditor busca primero.
• Fecha y lugar de ejecución, que fijan el momento y el sitio en que la información dejó de existir.
• Nombre y firma del responsable de la ejecución, cerrando la cadena de responsabilidad.
• Testigo, cuando tu política de seguridad exige que alguien de tu empresa presencie el proceso.
• Folio y destino final del medio, que enlaza el certificado con la constancia de disposición y cierra la trazabilidad.

Un certificado al que le falten el número de serie, el nivel de sanitización o el destino final es un papel que no resiste una auditoría: acredita que algo pasó, pero no qué le pasó a cuál equipo. Si estás comparando proveedores, pide ver un certificado de muestra antes de decidir.

Si estás comparando con otro proveedor, ojo con una distinción que confunde expedientes: un certificado de borrado documenta una sanitización lógica sobre un medio que sigue existiendo, mientras que el de destrucción acredita que el medio dejó de existir. No son intercambiables, y el nuestro siempre es el segundo.

Junto con la cadena de custodia —el registro de quién tuvo el material desde que salió de tus instalaciones—, el certificado forma el expediente que respalda tu cumplimiento en auditorías internas, de clientes, de tu casa matriz o de la autoridad.

Errores comunes al dar de baja medios con información

• Confiar en el formateo. Formatear no borra: elimina el índice, no la información. Los datos siguen siendo recuperables.
• Guardar los discos "por si acaso". Cajones y bodegas llenos de discos viejos son un inventario de fugas en potencia, sin control de acceso ni responsable claro.
• Donar o revender sin sanitizar. Una de las causas más frecuentes de exposición de datos: el equipo sale con la información de la empresa a un tercero desconocido.
• Destruir sin evidencia. Martillar un disco no genera certificado. Sin documentación por número de serie, no hay forma de demostrar el cumplimiento después.
• Olvidar los medios "invisibles". Impresoras con disco, teléfonos corporativos, USB y cintas de respaldo suelen quedar fuera de las políticas de baja — y también contienen datos.

Sectores donde la destrucción de datos es crítica

Todas las empresas manejan información que no debe salir por la puerta, pero en algunos sectores el riesgo —regulatorio y reputacional— es mayor: banca y servicios financieros, salud, gobierno, manufactura y maquiladoras con propiedad intelectual de sus clientes, y cualquier filial cuya casa matriz exija evidencia de sanitización conforme a estándar. Atendemos, entre otros, a estos sectores:

Destrucción de datos en la frontera Tijuana–San Diego

Para las empresas de la zona fronteriza, destruir los datos localmente tiene una ventaja doble. Las compañías estadounidenses con operación de nearshoring en Tijuana, Mexicali, Ensenada, Rosarito o Tecate no necesitan cruzar sus equipos de regreso a Estados Unidos para sanitizarlos: nosotros lo hacemos de este lado, en un proceso bilingüe, con certificados válidos como evidencia en ambos lados de la frontera. Menos transporte, menos riesgo aduanal y menos tiempo con discos llenos de información dando vueltas. Cómo encaja en un programa corporativo completo: ITAD transfronterizo.

Después de los datos: reciclaje y recuperación de valor

La destrucción de datos es un eslabón de un proceso más grande: la disposición completa del activo. Con el medio ya destruido, el equipo funcional se queda contigo y puedes reasignarlo, donarlo o venderlo —ese valor es íntegramente tuyo—, el resto sale de tu sitio con nuestra recolección documentada y lo que ya no sirve se recicla conforme a la NOM-161-SEMARNAT con su propia constancia. Si tu proyecto abarca el ciclo completo —retiro, datos, reciclaje y valor— revisa nuestro servicio integral de disposición de activos de TI (ITAD) y la guía de reciclaje electrónico.

Por qué certificar la destrucción con Tianlu

• Métodos alineados a NIST 800-88. Borrado seguro conforme a la referencia que exigen los corporativos, o destrucción física cuando el caso lo requiere.
• Certificado por número de serie. Evidencia rastreable equipo por equipo: método, fecha y responsable.
• Cadena de custodia documentada. Trazabilidad desde que el medio sale de tu empresa, sin puntos ciegos.
• Cierre de ciclo conforme a la NOM-161. Los medios destruidos se reciclan con cumplimiento mexicano documentado, no desaparecen en un terreno baldío.
• Enfoque 100% B2B y bilingüe. Procesos y documentación pensados para empresas, maquiladoras e instituciones de la frontera, en español e inglés.
• Operación propia en Baja California. Atendemos directamente a la industria de la región, sin intermediarios.

Cómo empezar

Para cotizarte rápido solo necesitamos una idea del proyecto:

• Qué medios necesitas sanitizar y en qué cantidad aproximada (por ejemplo: 120 discos de laptops, 8 servidores, una caja de teléfonos corporativos).
• El destino previsto del equipo: reúso o reventa (borrado) o baja definitiva (destrucción).
• Tus requisitos de evidencia: certificado por serie, cadena de custodia, formatos que pida tu auditor o casa matriz.

Con eso te respondemos con el método recomendado, el esquema logístico y la cotización. Escríbenos por WhatsApp o desde la página de contacto y cerramos el ciclo de vida de tus datos con evidencia.