Assainissement des Supports de Stockage

La sanitisation des supports s'applique chaque fois qu'un support de stockage sort du contrôle de son propriétaire. Un ordinateur portable est revendu, un serveur loué est restitué, une clé USB passe d'un projet à l'autre, un disque défectueux retourne chez le fabricant et les bandes de sauvegarde atteignent la fin de leur durée de conservation. Dans chaque cas, le détenteur suivant ne doit pas pouvoir récupérer ce que le précédent y a enregistré.

Le terme couvre bien plus que les ordinateurs, car le stockage se cache dans des appareils que personne ne considère comme des disques : disques internes et externes, clés USB, cartes mémoire et SSD portables, téléphones et tablettes à mémoire flash intégrée, bandes et disques optiques, ainsi que le disque ou module flash interne des imprimantes, scanners et équipements réseau. Chaque support amovible qui change de mains appelle la même décision.

La sanitisation n'est pas un niveau unique de robustesse, mais une échelle. La norme NIST SP 800-88 en nomme les trois échelons, et le bon choix dépend de la sensibilité des données et de la destination du support : retour dans un environnement comparable, passage à un environnement moins fiable, ou sortie définitive de l'organisation. Chaque échelon est une méthode de sanitisation avec ses propres limites.

Quand un système d'exploitation supprime un fichier, il retire l'entrée du système de fichiers qui pointe vers les données et marque l'espace comme libre. Les octets restent sur le support jusqu'à la réutilisation de cet espace, et jusque-là ils peuvent souvent être récupérés avec des outils largement disponibles. Ces résidus s'appellent la rémanence. Un formatage rapide n'est pas plus efficace, car il réécrit l'index et pas forcément la zone de données.

La sanitisation doit aussi atteindre les données que le système actuel ne voit pas : secteurs remappés sur un disque défaillant, zone de surprovisionnement d'un SSD, partitions laissées par d'anciennes installations et espace résiduel en fin de blocs partiellement écrasés. C'est pourquoi elle agit sur le stockage lui-même, et elle est indispensable avant toute remise d'un support.

L'écrasement, technique classique d'effacement, a été conçu pour les disques magnétiques, où l'hôte adresse directement chaque secteur. La mémoire flash remet ce principe en cause. Le nivellement d'usure (wear leveling) et le surprovisionnement permettent au contrôleur d'écrire dans des cellules invisibles pour l'hôte : une passe d'écrasement ne peut donc pas prouver qu'elle a atteint chaque copie physique. Pour les SSD, les clés USB et les téléphones, la sanitisation repose donc sur les commandes natives du périphérique ou sur l'effacement cryptographique, qui détruit la clé de chiffrement au lieu des données.

L'effacement cryptographique est rapide et complet lorsque le support était chiffré dès le premier jour d'utilisation, mais il n'est aussi fiable que la gestion des clés qui l'accompagne. Une clé déposée en séquestre, sauvegardée ou divulguée peut annuler l'effacement. Pour les supports qui ne peuvent pas exécuter de commande de sanitisation et n'ont jamais été chiffrés, la destruction physique reste en général la seule réponse défendable.

Une action de sanitisation qui ne peut pas être prouvée n'a pas eu lieu, aux yeux d'un auditeur. Les programmes matures traitent l'action et son enregistrement comme un seul contrôle. L'opérateur applique la technique, vérifie par échantillonnage que les données ont disparu et établit un certificat. Lorsque la destruction est sous-traitée, la chaîne de custodie et les certificats du prestataire rejoignent ce dossier. La séquence habituelle est la suivante :

1. 1

   Appliquer la technique

   L'opérateur applique au support la méthode de sanitisation choisie.

2. 2

   Contrôler le résultat

   Un échantillon confirme que les données ne peuvent plus être récupérées.

3. 3

   Émettre le certificat

   Le certificat indique le support, la technique, l'outil, l'opérateur, la date et le résultat.

Un certificat ne peut désigner qu'un support que quelqu'un a enregistré. Anexet Inventory tient une fiche pour chaque appareil, avec son type, son fabricant, son numéro de série, son statut et son emplacement, si bien que le numéro de série du certificat correspond à une entrée de l'inventaire. Anexet ne sanitise pas les supports à votre place. Elle fournit l'inventaire sur lequel repose le registre de sanitisation.

La sanitisation est un contrôle du cycle de vie, et non un événement ponctuel. Elle relie l'inventaire des actifs, qui sait quels supports existent et où ils se trouvent, à la classification des données, qui détermine le niveau de sanitisation requis, et au calendrier de conservation, qui fixe la fin de la durée de conservation des données.

Des exigences écrites figurent dans plusieurs référentiels. La norme NIST SP 800-88 traite directement le sujet, la norme ISO/IEC 27001 attend une gestion documentée des supports jusqu'à leur destruction, et les règles sectorielles relatives aux données de cartes de paiement et de santé imposent aussi une élimination contrôlée. Au sein de l'organisation, le propriétaire des données classe, la DSI exécute et la sécurité vérifie. La politique fixe également les règles par défaut des sorties courantes : réutilisation interne, restitution du matériel loué, revente, recyclage et destruction.