R2v3 vs NAID AAA vs NIST 800-88: Cakupan Setiap Standar

Tim pengadaan Anda menyetujui vendor ITAD baru, yang penawarannya mencakup tiga logo kepatuhan: bersertifikat R2v3, bersertifikat NAID AAA, dan sesuai dengan NIST 800-88.

Semua orang mengenali nama itu dan mengangguk. Presenter mengatakan “slide berikutnya”.

Beberapa bulan kemudian, Anda bertanya apa yang terjadi dengan data pada kumpulan Micron 7450 MAX lama Anda. Tidak ada yang tahu. Vendor mempunyai gambaran kasar tetapi tidak dapat memberikan jawaban konkrit yang Anda butuhkan.

Kepatuhan bukanlah status biner. Anda harus melakukan interogasi di luar logo untuk memastikan standar kepatuhan dan keamanan memenuhi kebutuhan Anda.

Tiga Standar untuk Memecahkan Tiga Masalah Berbeda

Mari kita mulai dengan bahasa Inggris sederhana:

NIST SP 800-88 Adalah Panduan, Bukan Lencana Vendor

NIST SP 800-88 adalah panduan federal untuk sanitasi media. Pada bulan September 2025, NIST menerbitkan SP 800-88 Revisi 2 dan secara eksplisit menyatakan bahwa SP 800-88 menggantikan Revisi 1. NIST menjelaskan publikasi tersebut sebagai panduan untuk membantu organisasi membangun program sanitasi media dengan teknik dan kontrol yang tepat berdasarkan sensitivitas informasi.

Jika vendor mengatakan “kami mematuhi NIST 800-88” dan membiarkannya di sana, Anda masih tidak tahu siapa yang mengauditnya. Anda tidak tahu bagaimana mereka mendokumentasikan pekerjaan tersebut, atau apakah kontrolnya masih bertahan setelah tahap sanitasi.

NAID AAA adalah tentang verifikasi penyedia pemusnahan yang aman

i-SIGMA menjelaskan NAID AAA sebagai verifikasi pihak ketiga yang memungkinkan pelanggan memenuhi kewajiban uji tuntas seputar penyedia pemusnahan data yang aman. Materi yang disampaikan kepada pelanggan menyatakan bahwa sertifikasi tersebut memverifikasi kualifikasi melalui program audit terjadwal dan tidak diumumkan sebelumnya, dan menyusun program tersebut sebagai cara untuk memvalidasi kepatuhan terhadap peraturan dan praktik terbaik keamanan untuk operasi penghancuran.

Itu membuat NAID AAA berguna ketika Anda membutuhkan jawaban atas pertanyaan seperti:

Ini masih merupakan jawaban layanan penghancuran, bukan jawaban penuh arsitektur ITAD.

Jika proyek Anda mencakup penggunaan kembali, penjualan kembali, pengujian dan perbaikan, penyerahan hilir, atau sanitasi logis sebelum pemasaran ulang, NAID AAA tidak secara otomatis menjawab pertanyaan-pertanyaan tersebut hanya karena ia kuat dalam memvalidasi operasi pemusnahan yang aman.

R2v3 Lebih Luas, Dan Cakupannya Tergantung Pada Lampiran

R2v3 adalah standar sertifikasi untuk operasi penggunaan kembali dan daur ulang elektronik. Cakupan yang lebih luas itulah yang menjadi alasan pembeli menyalahgunakannya. Mereka mendengar “sertifikasi R2” dan berasumsi bahwa ini berarti setiap skenario sanitasi, penggunaan kembali, dan hilir data tercakup dengan cara yang sama.

Panduan SERI sendiri menyatakan bahwa R2v3 menyertakan lampiran proses khusus karena tidak semua fasilitas bersertifikat melakukan operasi yang sama.

Ada 7 lampiran, namun tiga di antaranya yang paling penting untuk pembahasan ini:

Lampiran B berlaku untuk fasilitas yang melakukan sanitasi data logis, seperti operasi ITAD, dan untuk fasilitas yang memerlukan tingkat sanitasi fisik yang lebih baik. Hal ini tidak diperlukan untuk metode penghancuran fisik yang ditangani berdasarkan persyaratan inti R2 dan selaras dengan panduan sanitasi media NIST yang dirujuk di sana.

Ada juga kerutan revisi yang tidak boleh diabaikan oleh pembeli. NIST menerbitkan SP 800-88 Revisi 2 pada bulan September 2025, namun materi R2v3 yang diterbitkan SERI masih merujuk Revisi 1 pada jalur persyaratan inti untuk metode penghancuran fisik. Ada perubahan besar pada elemen seperti penghapusan kriptografi dan alat sanitasi, namun inti pedomannya tetap sama.

Itu tidak membuat R2 tidak dapat digunakan. Ini berarti Anda harus bertanya kepada vendor revisi NIST dan rangkaian prosedur mana yang mereka gunakan saat ini alih-alih berasumsi bahwa vendor tersebut menargetkan versi mana pun yang Anda perlukan.

Itu berarti “bersertifikat R2” bukanlah keseluruhan kalimat. Anda memerlukan klarifikasi:

• Lampiran manakah yang termasuk dalam cakupan?
• Apakah Lampiran A tercakup dalam rantai hilir?
• Apakah ada Lampiran B pada sertifikat?
• Apakah Lampiran C termasuk dalam cakupan jika vendor mengembalikan perangkat keras ke dalam produksi?

Jika Anda tidak mempunyai jawaban-jawaban tersebut, maka Anda tidak mempunyai kepastian yang Anda perlukan.

Dimana Pembeli Bisa Salah

Kebingungan pasar biasanya muncul dalam tiga kesalahan yang dapat diprediksi.

Kesalahan 1: Memperlakukan NIST seperti sertifikasi

NIST adalah lapisan panduan metode dan program. Ini memberi tahu Anda apa yang perlu dicapai oleh program sanitasi yang baik. Ini bukan kredensial operasi pihak ketiga.

“Kami mengikuti NIST” menjadi pengganti vendor untuk menjelaskan:

• Revisi mana yang mereka gunakan
• Metode khusus media apa yang mereka terapkan
• Bagaimana mereka memverifikasi hasilnya
• Catatan apa yang mereka simpan
• Siapa yang memeriksa apakah semua itu benar

Kesalahan 2: Dengan asumsi setiap fasilitas R2 memiliki kedalaman sanitasi data yang sama

SERI menyatakan bahwa Lampiran B adalah tempat R2v3 mendefinisikan sanitasi data logis dan sanitasi fisik yang ditingkatkan. Disebutkan juga bahwa Lampiran B direkomendasikan untuk ITAD, pengembalian, dan tukar tambah. Bahkan vendor harus membuat catatan tentang mereka yang menghapus perangkat lunak sebagai bukti sanitasi. SERI juga mengatakan Lampiran B tidak lagi secara langsung bergantung pada standar keamanan data eksternal seperti NAID atau NIST 800-88 karena standar R2 sekarang mengontrol persyaratan tersebut secara internal.

Jika suatu fasilitas hanya melakukan penghancuran fisik berdasarkan persyaratan inti R2, Lampiran B mungkin tidak diperlukan. Jika fasilitas melakukan sanitasi logis, Lampiran B diperlukan. Panduan penerapan SERI menyatakan hal itu secara langsung.

Jadi ketika vendor memberi tahu Anda bahwa mereka bersertifikat R2, jangan berkata, “bagus, apakah kami tercakup?” Pertanyaan selanjutnya adalah “tunjukkan ruang lingkup sertifikat dan lampirannya.” Begitulah cara Anda mendapatkan hal spesifik yang Anda butuhkan.

Dalam ringkasan perubahan R2v3 yang diterbitkan SERI, Lampiran B memerlukan catatan ketertelusuran untuk pengidentifikasi perangkat unik melalui proses sanitasi. Hal ini juga menambah verifikasi yang lebih kuat, persyaratan kompetensi, dan kontrol yang lebih kuat. Dalam ringkasan yang sama, SERI mencatat persyaratan pengawasan video dengan rekaman yang disimpan selama 60 hari untuk area di mana perangkat data diterima, disimpan, atau dilewati.

Itu adalah jawaban yang sangat berbeda dari jawaban umum “kami bersertifikat R2.”

Kesalahan 3: Menggunakan NAID AAA untuk menjawab pertanyaan yang tidak dibuat untuk dijawab

NAID AAA kuat dalam parameternya. i-SIGMA mengatakan pihaknya hadir untuk memverifikasi penyedia pemusnahan melalui audit terjadwal dan tanpa pemberitahuan sebelumnya.

Hal ini masih belum menjadikannya alat yang tepat untuk setiap pertanyaan pengadaan.

Sertifikasi pemusnahan tidak secara otomatis memberi tahu Anda:

• Bagaimana perangkat yang dapat digunakan kembali dikategorikan
• Apakah aset kerja dipindahkan melalui jalur penggunaan kembali yang terkendali
• Bagaimana vendor hilir memenuhi syarat untuk pemrosesan non-destruksi
• Apakah operasi pengujian dan perbaikan divalidasi
• Apakah sanitasi logis untuk dijual kembali termasuk dalam program penggunaan kembali yang lebih luas

Jika proyek Anda hanya bersifat rusak, NAID AAA mungkin menjawab banyak hal. Jika proyek Anda merupakan ITAD mode campuran dengan penjualan kembali, penggunaan kembali, pembongkaran, pelaporan audit, dan keterlibatan mitra hilir, Anda memerlukan lebih dari sekadar kredensial pemusnahan.

Cara yang Benar Untuk Menggunakan Standar-Standar Ini Bersama-sama

“Standar mana yang terbaik?” adalah pertanyaan yang salah untuk ditanyakan. Mereka bekerja bersama-sama, tidak bertentangan satu sama lain. Cara yang benar untuk menginterogasi standar tersebut adalah dengan bertanya: “pertanyaan manakah yang ingin saya jawab?”

Apa yang Harus Ditanyakan Sebelum Menandatangani

Sebelum Anda menyetujui ITAD atau vendor penghancuran, ajukan lima pertanyaan berikut secara berurutan:

1. Revisi NIST: Kontrol Anda yang mana yang berasal dari NIST SP 800-88, dan revisi mana yang Anda gunakan saat ini?
2. Ruang Lingkup NAID AAA: Apakah operasi pemusnahan Anda bersertifikat NAID AAA, dan apa sebenarnya yang tercakup dalam sertifikasi tersebut?
3. Lampiran R2v3: Apakah fasilitas Anda bersertifikat R2v3, dan lampiran apa saja yang terdapat pada sertifikat?
4. Lampiran B Konfirmasi: Jika Anda melakukan sanitasi data logis untuk digunakan kembali atau dijual kembali, apakah Anda bersertifikat Lampiran B?
5. Rantai Hilir: Jika peralatan meninggalkan fasilitas Anda untuk pemrosesan tambahan, bagaimana rantai hilirnya memenuhi syarat dan dilacak?

Pertanyaan-pertanyaan itu melakukan dua hal sekaligus. Mereka memaksa vendor untuk memisahkan panduan, sertifikasi, dan cakupan. Mereka juga mempersulit seseorang untuk mengubur model operasi tipis di bawah tumpukan logo nama sertifikasi.

Kesalahan Pembeli Yang Menciptakan Blind Spot Terbesar

Kesalahannya adalah berasumsi bahwa satu standar yang disebutkan akan meruntuhkan seluruh masalah.

Tidak.

Jika vendor mengatakan mereka selaras dengan R2v3, NAID AAA, dan NIST 800-88. Bagus. Itu bukan lagi garis finis.

Sekarang Anda tahu langkah selanjutnya. Tanyakan kepada mereka:

Vendor yang dapat menjawab pertanyaan-pertanyaan tersebut dengan jelas memahami perbedaannya.