Fichier Supprimé

Sur un système de fichiers classique, un fichier est décrit par des métadonnées : une entrée de répertoire et un enregistrement qui pointe vers les blocs contenant ses données. La suppression ordinaire retire ou marque cet enregistrement et rend les blocs à la liste de l'espace libre. Les blocs eux-mêmes ne sont pas modifiés : le contenu subsiste donc intact comme rémanence des données, jusqu'à ce que le système attribue cet espace à autre chose. Sur un volume peu sollicité, cela peut ne jamais arriver ; sur un volume très actif, cela peut survenir en quelques minutes. « Supprimé » décrit donc la visibilité du fichier, et non la présence de ses données.

Seule la dernière étape, la purge, détruit réellement les données, et seule celle-ci peut être documentée comme une destruction.

1. 1

   Corbeille

   Le fichier est déplacé, non supprimé. Il reste visible et peut être restauré.

2. 2

   Corbeille vidée

   L'entrée de répertoire est retirée. Le contenu subsiste en espace non alloué.

3. 3

   Écrasé

   De nouvelles données sont écrites sur tout ou partie des blocs d'origine. La récupération devient partielle, puis impossible.

4. 4

   Effacé de manière sécurisée

   Le contenu est détruit volontairement : par écrasement, par effacement cryptographique de la clé qui le protège, ou par une commande d'assainissement de l'appareil.

Le contenu survit à ses métadonnées. Les outils de récupération analysent donc l'espace non alloué à la recherche de structures reconnaissables, comme les signatures de fichiers, les en-têtes et les formats connus. Ils reconstituent les fichiers sans aucune information de répertoire, une technique appelée file carving. L'investigation numérique s'appuie sur ce principe : documents supprimés, fragments de messages et images sont des trouvailles courantes. Cette même propriété rend la suppression ordinaire insuffisante lorsqu'un appareil quitte l'organisation, ce qui ouvre la voie au vol de données.

Même un fichier effacé de manière sécurisée peut subsister ailleurs, car les systèmes modernes dupliquent automatiquement le contenu, souvent via des sauvegardes et des services de synchronisation. Une suppression efficace commence donc par un inventaire : il faut savoir où existent les données, et pas seulement comment effacer une instance.

Sur le stockage flash (SSD, eMMC, cartes mémoire), le contrôleur gère l'emplacement des données en interne, par nivellement de l'usure et surprovisionnement. Une écriture demandée par le système n'atteint donc pas forcément les cellules physiques qui contenaient les données d'origine. L'écrasement secteur par secteur est donc peu fiable sur ces supports. Les méthodes reconnues sont la commande d'assainissement ou d'effacement sécurisé de l'appareil, ou l'effacement cryptographique : chiffrer le support dès le départ puis détruire la clé, ce qui rend inexploitable en une seule opération tout le texte chiffré restant. La destruction physique reste l'option ultime pour les supports qu'on ne peut ni vérifier ni considérer comme fiables.

Les cadres de protection des données exigent de ne pas conserver les données plus longtemps que nécessaire. Le RGPD reconnaît aux personnes un droit à l'effacement dans certaines circonstances. Les durées de conservation, les procédures d'effacement vérifiables et la documentation de la mise au rebut des supports aident les organisations à respecter ces obligations. Les ordinateurs portables, disques et téléphones réformés ne doivent pas non plus quitter l'organisation avec des données encore récupérables.