Détruire une donnée : comment, avec quel équipement, par qui ?

Cet article a été rédigé par Christophe Rodrigues, directeur produit et innovation technologique chez Uni-Recycle. 

Formater un disque ou vider la corbeille ne supprime rien : ces opérations ne retirent que la référence au fichier, un peu comme une entrée retirée de la table des matières sans arracher les pages. Les données restent en place jusqu’à leur réécriture ; un logiciel de récupération gratuit en récupère l’essentiel en quelques minutes.

La réponse traditionnelle, la réécriture intégrale de l’ensemble du support, fonctionne bien sur les plateaux magnétiques d’un disque dur classique. Les mémoires flash ont changé la donne.

Un SSD ne se détruit pas comme un disque dur

Un SSD répartit ses écritures pour égaliser l’usure des cellules, et garde une capacité invisible au système d’exploitation. La réécriture ne touche que l’espace visible : des fragments subsistent dans des blocs remappés ou dans cette surcapacité, hors d’atteinte du logiciel mais accessibles à qui sait interroger les puces.

Le démagnétiseur pose le même problème, en pire : il détruit l’organisation magnétique d’un disque à plateaux, mais n’a aucun effet sur une mémoire flash, qui stocke l’information sous forme de charges électriques. Démagnétiser un SSD et vous remettre un certificat, c’est vous remettre un document, rien de plus.

La granulométrie compte aussi. Un broyeur calibré pour des disques durs peut laisser des puces NAND intactes dans un SSD : l’information reste concentrée dans quelques composants de la taille d’un ongle, plutôt qu’étalée sur une surface magnétique. Les exigences les plus strictes descendent à deux millimètres pour le flash.

Ces trois niveaux d’assainissement; effacement simple, purge (commandes internes du contrôleur ou destruction de la clé de chiffrement) et destruction physique; proviennent des référentiels NIST SP 800-88 Rev. 2 et IEEE 2883-2022. Choisir le bon niveau pour le bon support de stockage : l’essentiel du travail.

Ce que l’auditeur regarde, et que vous ne voyez jamais

Entre l’arrivée de vos disques et leur passage dans la machine, il s’écoule des heures, parfois des jours, et les données existent toujours, intégralement, dans des objets qui tiennent dans une poche : un module NVMe M.2, à peine plus grand qu’un bâtonnet de gomme à mâcher, mesure 22 mm sur 80 et contient jusqu’à quatre téraoctets. Une palette d’archives ne passe pas inaperçue dans un entrepôt ; une centaine de SSD dans un bac, si.

Le référentiel exige une zone de sécurité verrouillée, réservée aux supports de stockage en attente, à accès contrôlé et restreint à quelques employés autorisés. Le quai de réception a ses propres exigences : une porte relevée, quelques minutes d’inattention pendant que le chauffeur signe ses papiers… La vulnérabilité la plus classique du métier. La vidéosurveillance couvre ces zones, avec rétention minimale des enregistrements ; un écart d’inventaire se découvre souvent des semaines plus tard.

Le fil conducteur reste le numéro de série : un lot de papier se compte en poids, un parc de disques à la pièce, chaque pièce portant un identifiant unique. Une chaîne de possession solide enregistre ce numéro à la collecte, le suit à chaque transfert de garde et le rapproche après traitement : déjà notre pratique.

Ce que ça change pour vous

Une preuve utilisable. Le certificat qui découle d’une chaîne de possession unitaire n’est pas une attestation générique : c’est un inventaire nominatif indiquant, pour chaque appareil, le fabricant, le modèle, le numéro de série, la méthode appliquée, l’horodatage et le technicien responsable.

Une diligence documentée. Sous la Loi 25, l’entreprise qui détient des renseignements personnels reste responsable de leur protection même lorsqu’un tiers les traite pour elle, papier ou numérique. Le choix du sous-traitant relève de votre diligence : sanctions administratives pécuniaires jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial, sanctions pénales, dans le secteur privé, jusqu’à 25 M$ ou 4 %.

Et c’est votre entreprise, non votre fournisseur, qui s’y expose en premier.

Une réponse rapide en cas d’incident. Un incident de confidentialité à risque de préjudice sérieux doit être déclaré à la Commission d’accès à l’information avec diligence… Encore faut-il savoir précisément quels appareils sont concernés. Sans traçabilité par numéro de série, cette réponse est impossible à produire.

Posez-nous les questions

Demandez-nous quel niveau d’assainissement s’applique à chaque support, et pourquoi. Demandez-nous ce que contient notre certificat de destruction, et demandez-en un exemple avant de signer. Demandez-nous si une partie du transport ou du traitement est confiée à un tiers, et ce que nous exigeons de ce tiers. La dernière question, nous la poserions en premier à votre place : une chaîne de possession vaut ce que vaut son maillon le moins surveillé.