Rémanence des données

Lorsqu’un utilisateur supprime un fichier, le système d’exploitation ne retire généralement que l’entrée du fichier dans l’index et marque l’espace comme libre. Les bits restent sur le support jusqu’à ce que d’autres données les écrasent, ce qui peut ne jamais arriver. D’ici là, un fichier supprimé peut souvent être récupéré avec des outils largement diffusés. Vider la corbeille ou formater rapidement un volume change peu de choses, car les deux opérations agissent sur l’index et non sur les données.

L’écrasement est généralement efficace sur les supports magnétiques, même si de faibles traces peuvent subsister aux bords des pistes. Les supports flash sont plus difficiles à maîtriser : le contrôleur déplace les données entre les cellules, et la commande TRIM signale seulement que des blocs ne sont plus nécessaires, sans garantie. Dans la RAM, le scénario du « cold boot » peut extraire des clés de chiffrement d’une machine en fonctionnement.

La rémanence ne pouvant pas être tenue pour inexistante, des pratiques d’assainissement des supports l’éliminent délibérément. Elles incluent l’écrasement de tout le support lorsqu’il le permet, les commandes secure erase et purge du fabricant intégrées à l’appareil, la démagnétisation et le broyage physique des supports qui quittent l’organisation.

Pour les SSD, l’approche pratique est l’effacement cryptographique : détruire la clé de chiffrement rend le texte chiffré restant irrécupérable. Les référentiels de cycle de vie, comme la NIST SP 800-88, associent la méthode d’assainissement au support et à la sensibilité des données qu’il contenait.

La rémanence transforme chaque ordinateur portable mis au rebut, chaque serveur vendu et chaque disque loué rendu en divulgation potentielle. Des documents confidentiels, des identifiants et des clés ont été retrouvés à maintes reprises sur des supports d’occasion. C’est pourquoi l’assainissement des supports est une exigence de base dans les audits de sécurité et les régimes de protection des données.

La rémanence ne disparaît pas dans le cloud ni dans le stockage virtualisé : elle échappe seulement au client. Lorsqu’un disque virtuel est supprimé, ses blocs retournent à un pool partagé, et leur mise à zéro avant réallocation dépend de la plateforme. Les instantanés, les clones et les volumes à allocation fine multiplient les endroits où un bloc existe. Les locataires chiffrent donc généralement tout dès le départ et considèrent la destruction de la clé comme l’événement d’effacement, car c’est la seule étape qu’ils maîtrisent entièrement. Pour les services gérés, la garantie d’assainissement relève du contrat : ce que le fournisseur s’engage à faire à la libération d’un volume, et les preuves qu’il fournit.

Un assainissement qu’on ne peut pas démontrer ne satisfait pas un auditeur. Les processus de fin de vie matures suivent trois étapes. Le dossier qui en résulte devient aussi la piste de preuves si un appareil est plus tard retrouvé hors de l’organisation avec des données.

1. 1

   Consigner chaque appareil

   Notez le numéro de série, la classification des données, la méthode, l’outil et sa version, l’opérateur et la date.

2. 2

   Vérifier le résultat

   Effectuez une relecture par échantillonnage qui confirme que les zones adressables ne restituent aucune donnée reconnaissable.

3. 3

   Détruire ce qui ne peut être vérifié

   Si la vérification est impossible, par exemple sur un disque qui n’accepte plus de commandes, la destruction physique est la solution documentée.

Chaque appareil a besoin d’une fiche qui subsiste jusqu’à sa mise au rebut. Dans l’inventaire matériel, la fiche de l’appareil conserve le numéro de série, le statut et le responsable, ce qui permet de rattacher chaque machine à son dossier d’élimination. Tenir ce registre fait partie de la gestion des actifs informatiques.

Les erreurs courantes consistent à formater rapidement un volume et à le croire propre, ou à lancer des écrasements multipasses sur un SSD en supposant que toutes les cellules ont été atteintes. On assainit parfois l’ordinateur portable sans penser au téléphone, à la bande de sauvegarde ou au disque de rechange dans un tiroir. La faille la plus dangereuse se situe entre la mise hors service et l’élimination, période pendant laquelle la plupart des appareils disparaissent réellement.