Oude laptops wissen duurt in het renewal centre van HPE nog vijf minuten. Wat de verwerking tegenhoudt, zijn BIOS-wachtwoorden en remote management die de IT-afdeling vergat uit te schakelen.
Meer dan tien procent van de laptops die in het Technology Renewal Centre van HPE Financial Services in Erskine binnenkomen, laten de operator niet in het BIOS. David Coyle, Global Engineering Manager bij HPE Financial Services, noemt het een van de grootste problemen van de sector: “Klanten hebben hun eigen decommissioningproces nog altijd niet op punt.” Grote bedrijven vergrendelen het BIOS om te verhinderen dat gebruikers USB-poorten activeren. Als het toestel na drie jaar terugkomt, moet Erskine die vergrendeling weer ongedaan maken, zodat de volgende eigenaar vrije toegang krijgt.
De tweede blokkade is volgens Coyle groter en groeit sinds covid: remote management. “De meeste zakelijke laptops worden vandaag op afstand beheerd door hun organisatie. Dat kan je niet saneren. Daarvoor moet je terug naar de klant.” Hij noemt Microsoft Autopilot en Absolute als voorbeelden, en zegt dat dit “niet alleen voor ons, maar voor de hele sector” de moeilijkste stap is geworden.
Wissen in vijf minuten
Het wissen van oude laptops is in tien jaar van uren naar minuten gegaan. Erskine verwerkt bijna uitsluitend SSD’s, en die saneren zichzelf via hun firmware: cryptografische sleutels vernietigen, blokken wissen of intern overschrijven. Het hele proces duurt volgens Coyle ongeveer vijf minuten, en het grootste deel daarvan is de verificatie dat het wissen gelukt is. Bij magnetische schijven moest elke sector overschreven worden, en elk jaar werden de schijven groter. Dat kostte drie à vier uur per toestel.
Erskine gebruikt commerciële sanitisatiesoftware, gekoppeld aan het ERP-systeem, en volgt daarmee de twee standaarden die de sector volgens Coyle vandaag domineren, die van NIST en die van IEEE. In januari 2020 zag Le Monde Informatique in Erskine nog schijven die één, drie of zeven keer overschreven werden, afhankelijk van het contract, met anderhalf tot vier uur per pc.
De workplace-lijn haalt zo 1.500 tot 2.000 toestellen per dag in acht werkcellen. Een laptop blijft daarbij een laptop; onderdelen haalt Erskine er niet uit. Alleen als een schijf de sanitisatie niet doorstaat, wordt ze verwijderd. Ze krijgt dan een eigen assetnummer dat gekoppeld blijft aan het toestel waar ze uitkwam, en gaat naar de recyclage.
Oude laptops en de AVG
Zowel het leasecontract als het ITAD-contract verplichten de klant om zijn toestellen te saneren en uit beheer te halen voor ze vertrekken. Tijdens de rondleiding stelde Jackie Rafferty, Head of European Operations bij HPE Financial Services, de vraag zelf: “Doen klanten dat? Nee.” Het materiaal komt dus met klantendata toe. Coyle: “Of je nu verwerkingsverantwoordelijke bent of verwerker, je kan het niet weggeven in een contract. Jij als bedrijf bent eigenaar van de AVG.”
Daar dient de beveiliging voor: een omheining van 2,2 meter, veertig 360-gradencamera’s, infrarood- en trillingsalarmen, gescreend personeel en gescheiden netwerken. Op de vraag of besmette toestellen een risico vormen, antwoordde Coyle dat het risico kleiner is omdat de meeste toestellen uit lease of uit langlopende contracten komen, “maar het is niet weg”.
Fysieke vernietiging raadt Rafferty af als standaardkeuze. De Britse overheidsnorm versnippert schijven tot zes millimeter, voor gevoelige data tot twee. “Dat willen we niet doen. We willen klanten leren om de sanitisatie te vertrouwen, ons een revenue share te geven en dat asset terug in gebruik te brengen.”
Wat de IT-afdeling vooraf doet
Van de meer dan 300.000 workplace-toestellen die Erskine vorig jaar verwerkte, werd 97 procent herverkocht. Wat de lijn vertraagt, zijn de toestellen die niemand meer binnenlaat. Erskine stuurt die terug naar de klant, die dan iemand moet vinden die het BIOS-wachtwoord nog kent of de registratie in Autopilot of Absolute kan verwijderen. Coyle zegt dat die uitleg bij elke nieuwe klant opnieuw begint.
Voor een IT-afdeling hoort het afmelden dus in het afdankproces, voor het toestel in de doos gaat: de registratie uit Windows Autopilot halen in Intune, de Absolute-agent via de console uitschakelen, het BIOS-wachtwoord verwijderen en de toestellen in het eigen beheer markeren als afgevoerd. Hoeveel toestellen door zo’n vergrendeling uiteindelijk bij de recyclage belanden, kon Coyle in Erskine niet zeggen.