强制标准上线：二手手机数据安全“物理级”清除规范解读

12月15日消息，近年来，随着手机、电脑等电子产品更新迭代速度不断加快，有大量旧手机、旧电脑流入回收渠道。

然而，这些电子产品中往往留存着账户信息、隐私数据、工作信息等敏感内容，若未被彻底清除，就可能被不法分子利用，从而带来个人信息泄露乃至财产损失等多种风险隐患。

为了解决消费者的后顾之忧，近日，强制性国家标准《数据安全技术电子产品信息清除技术要求》正式发布，并将于2027年1月1日起正式施行，涉及手机、平板、笔记本电脑、台式机电脑、智能穿戴等多种日常电子设备。

《技术要求》明确了信息清除的范围，它覆盖了设备中存储的所有用户数据。同时，标准规定必须采用“数字覆写”或“块擦除”等技术手段，确保数据能够被“物理级”彻底清除，无法被恢复。

据介绍，我们常用的删除文件或恢复出厂设置等操作，往往只是将数据的访问标记设置为无效，数据实体本身仍可能残留在存储介质中。

技术人员指出，消费者在处理旧电子产品时，通常只会进行“删除文件”、“恢复出厂设置”等常规操作。实际上，通过一些技术手段，就能轻易恢复那些被“删除”的数据。

《技术要求》所定义的“信息清除”，是指对存储介质中保存的数据进行技术处理，使其不可逆且无法被再次访问或恢复，从而实现真正的擦除。

《技术要求》提出了两种核心的技术方法：

一是数据覆写。即向电子产品的存储单元中写入固定或随机的无意义数据，覆盖掉原有的用户数据。对于磁性介质（如传统机械硬盘），要求至少覆写3次，且其中必须包含1次随机数覆写；对于半导体介质（如固态硬盘、手机存储芯片），则要求至少覆写1次。

二是块擦除。这是针对半导体介质的清除方法，通过调用存储介质的特定指令，对物理存储块执行根本性的擦除操作。

标准要求清除的电子产品用户数据范围广泛，主要包括但不限于：

- 用户产生或下载的文本、图片、音频、视频等各类文件；

- 用户的通讯录、通话记录、短信、彩信、日历、备忘录、位置信息、行为记录等数据；

- 用户安装的应用程序；

- 用户安装的以及产品预装的应用程序所产生的应用数据、跨应用共享数据；

- 用户身份相关的安全数据，如账号、口令、生物识别信息、应用证书等；

- 用户绑定的智能卡等外部设备信息，如银行卡、交通卡、门禁卡等相关信息；

- 用户对系统进行设置的信息，如网络设置、权限设置、蓝牙设置、桌面和个性化设置等；

- 电子产品中备份的用户数据；

- 用户使用电子产品过程中产生的缓存数据。