Purge (effacement sécurisé)

La purge est la suppression définitive et irréversible des données d'un support de stockage, de sorte que leur récupération soit impossible, même avec les techniques de laboratoire les plus avancées. Les données résiduelles qui subsistent après un effacement ordinaire sont appelées rémanence, et la purge vise précisément à les éliminer.

Au-delà de la purge, il y a la destruction physique, comme le broyage ou l'incinération, qui rend aussi le support inutilisable. La purge laisse en revanche l'appareil en état de fonctionner, ce qui la rend adaptée aux supports appelés à rester en service.

Lorsqu'un utilisateur supprime un fichier, le système d'exploitation retire son nom de l'index du système de fichiers et marque l'espace comme libre. Les octets d'un fichier supprimé restent sur le support jusqu'à ce qu'ils soient écrasés par hasard, et des utilitaires courants peuvent souvent les récupérer d'ici là.

L'effacement (clearing) écrase les données une fois avec un motif fixe, ce qui protège contre une récupération par des logiciels courants. La purge est plus forte, car elle rend la récupération impossible même avec des techniques de laboratoire. Le tableau montre contre quoi chaque niveau protège.

Le cadre de référence est la norme NIST Special Publication 800-88, Guidelines for media sanitization. Elle définit l'échelle clear-purge-destroy et associe à chaque type de support (disques magnétiques, SSD, bandes, mémoires flash, appareils mobiles) les techniques appropriées. Les méthodes de purge reconnues sont :

La purge intervient à des moments précis de la vie d'un support, et non après chaque suppression :

• avant qu'un disque, un ordinateur portable, un téléphone ou une bande ne quitte l'organisation, par exemple lors d'une vente, d'un don, d'un recyclage ou d'un retour de matériel loué
• lorsqu'un support passe dans des environnements de sensibilité différente
• lorsque les données dépassent leur durée de conservation au lieu de rester en place, comme des données obsolètes dont plus personne n'a besoin
• lors de la réponse à incident, lorsque des données ont fui vers un système moins protégé

L'écrasement est peu fiable sur les supports flash. Le wear leveling et le over-provisioning signifient que l'hôte ne peut pas garantir que chaque cellule physique a été réécrite. Pour les SSD, on préfère donc les commandes sanitize natives du disque ou l'effacement cryptographique, lequel n'est pas plus solide que le processus de destruction de la clé qui le sous-tend.

La purge ne couvre qu'un seul support. Les sauvegardes, les instantanés et les copies fantômes peuvent encore contenir les données et doivent recevoir un traitement équivalent. Le terme vaut aussi pour les données logiques, comme les enregistrements retirés d'une base de données, d'une boîte aux lettres ou d'une archive à la fin de leur durée de conservation.

Ici, la difficulté tient à l'exhaustivité, pas à la physique. Un enregistrement supprimé peut subsister dans des réplicas, des journaux de transactions, des index de recherche, des extractions d'entrepôts de données, des rapports en cache et des sauvegardes antérieures. Une purge logique coordonne donc les actions sur toutes les copies. Pour les sauvegardes non modifiables sélectivement, la solution usuelle est l'expiration de la conservation, prévue dans le calendrier de conservation.

La purge logique apparaît aussi dans la console de Anexet DLP. La fenêtre de suppression des incidents retire les incidents plus anciens qu'un nombre de jours défini, ne conserve que les N derniers ou supprime tout ce qui précède une date choisie. L'onglet de stockage des données du Reports Server fixe la durée de conservation des données collectées, ici les 180 derniers jours.

1 / 2

• 
• 

La décision repose sur trois éléments : la sensibilité des données, la réutilisation du support à l'intérieur ou à l'extérieur de l'organisation, et ses capacités techniques. Les erreurs surviennent quand ils sont confondus, par exemple en appliquant une méthode de réutilisation à un appareil destiné à la vente.

1. 1

   Classer les données

   Déterminez d'abord le niveau de sensibilité des données présentes sur le support.

2. 2

   Vérifier le parcours de réutilisation

   Précisez si le support restera dans un environnement de même sensibilité ou s'il quittera l'organisation.

3. 3

   Associer la méthode

   La destruction convient aux supports sensibles qui quittent l'organisation. La commande sanitize native convient à une réutilisation au même niveau, et l'effacement cryptographique aux supports chiffrés dont les clés sont bien gérées.

La vérification compte, car les politiques internes et les auditeurs exigent généralement une preuve que l'assainissement a réussi. C'est pourquoi la rémanence est contrôlée après coup.

La purge étant irréversible, elle exige une autorisation et une trace écrite. Les contrôles types prévoient un approbateur nommément désigné et la vérification qu'aucune mesure de conservation légale ni aucune enquête en cours ne couvre les données. Ils exigent aussi un certificat qui consigne le support ou l'ensemble de données, la méthode, l'opérateur, la date et le résultat de la vérification. Lorsque l'élimination est confiée à un prestataire, sa chaîne de traçabilité et ses certificats de destruction en font partie.