Assainissement des Données (Sanitization)

La suppression ordinaire relève de la comptabilité. Le système d'exploitation retire l'entrée du fichier de l'index et marque l'espace comme disponible, mais les octets restent sur le support jusqu'à ce qu'autre chose les écrase. Ces données résiduelles s'appellent la rémanence. L'assainissement vise les données elles-mêmes et non l'index. Il applique des techniques physiques ou logiques qui ne laissent rien de récupérable, que le support doive être vendu, rendu à un bailleur, déplacé entre des environnements de sensibilité différente ou mis au rebut.

Dans l'usage courant, effacer, nettoyer et supprimer sont employés de façon approximative et souvent comme synonymes. Les référentiels formels procèdent à l'inverse et définissent chaque terme avant de l'utiliser, car la différence entre un formatage rapide et une purge vérifiée est exactement celle qui sépare une fuite de données d'une mise au rebut propre.

Le cadre de référence est la NIST Special Publication 800-88, Guidelines for Media Sanitization. Elle définit trois actions de force croissante :

1. 1

   Clear (effacement)

   Écrase le stockage adressable avec un motif fixe, à l'aide de commandes de lecture et d'écriture standard. Protège contre la récupération par des outils logiciels courants, tant que le support reste dans un environnement contrôlé.

2. 2

   Purge (purge)

   Applique des techniques avancées, comme la démagnétisation, l'effacement par blocs ou l'effacement cryptographique, qui rendent la récupération impraticable. Protège contre des techniques de laboratoire de pointe.

3. 3

   Destroy (destruction)

   Rend le support physiquement inutilisable par broyage, désintégration, pulvérisation ou incinération. Protège contre toute tentative de récupération, au prix du support lui-même.

Trois facteurs déterminent l'échelon : la confidentialité des données du support, le fait que le support reste ou quitte l'organisation, et ce que le support prend techniquement en charge. Le chiffrement change la donne. Sur un disque chiffré bien géré, l'effacement cryptographique, soit la destruction de la clé, procure en quelques secondes une protection de niveau purge. C'est pourquoi le NIST recommande de chiffrer les données dès leur écriture et de considérer la destruction de la clé comme une méthode d'assainissement à part entière. Une technique efficace sur une technologie de stockage peut être inopérante sur une autre :

• Disques et bandes magnétiques : l'écrasement direct est généralement efficace. La démagnétisation supprime totalement les domaines magnétiques et rend le support inutilisable.
• Supports flash (SSD, clés USB) : le nivellement d'usure et le surprovisionnement gardent certaines cellules hors du contrôle de l'hôte. Les commandes d'assainissement natives du disque ou l'effacement cryptographique sont donc préférés.
• Appareils mobiles et embarqués : les fonctions de réinitialisation intégrées varient en efficacité et peuvent ne pas couvrir le stockage amovible. Chaque composant demande un traitement propre.
• Supports optiques : ils ne peuvent pas être écrasés. La destruction est la seule option fiable.
• Disques défaillants ou endommagés : un support qui n'accepte plus de commandes ne peut pas être vérifié. La destruction physique documentée constitue alors la solution de repli.

Le même mot s'emploie aussi pour les enregistrements : assainir une base de données, une boîte aux lettres ou un locataire cloud à l'échéance d'une durée de conservation. La difficulté tient ici à l'exhaustivité, non à la physique. Un enregistrement peut subsister dans des répliques, des journaux de transactions, des index de recherche, des extractions d'entrepôts de données et des sauvegardes réalisées avant l'assainissement. Les sauvegardes qui ne peuvent pas être modifiées sélectivement sont généralement traitées en laissant la conservation expirer. Cela doit être précisé dans le calendrier de conservation, et non laissé implicite.

Le stockage cloud ajoute une dimension contractuelle. Lorsqu'un volume supprimé restitue ses blocs à un pool partagé, la remise à zéro de ces blocs avant réaffectation relève de la plateforme et non du locataire. L'engagement d'assainissement du fournisseur, c'est-à-dire ce qu'il fait à la libération d'un volume et les preuves qu'il fournit, fait donc partie du contrat de service.

Un assainissement qui ne peut pas être démontré ne satisfait pas un auditeur. Les processus de mise au rebut matures consignent, pour chaque appareil, les éléments suivants. Lorsque la mise au rebut est externalisée, la chaîne de traçabilité et les certificats du prestataire complètent le registre. L'inventaire qui en résulte répond à la question posée par les régulateurs après un incident : comment l'organisation sait-elle qu'aucun appareil n'a quitté son contrôle avec des données encore présentes ?

Dans Anexet Inventory, chaque appareil dispose d'une fiche avec son type, son fabricant, son numéro de série, son numéro d'inventaire, son statut et son emplacement. L'inventaire matériel est le point de départ du registre : il indique quel appareil est lequel avant qu'un seul ne quitte les locaux.

La plupart des échecs d'assainissement sont des échecs de processus plutôt que techniques. Ce qui permet de combler ces failles, c'est de traiter l'assainissement comme une étape planifiée du cycle de vie, confiée à un responsable désigné, plutôt que comme une tâche ponctuelle au moment de la mise au rebut. Les défaillances typiques sont les suivantes :

• Formater rapidement un volume et le déclarer assaini.
• Appliquer des écrasements multi-passes sur un SSD dont les cellules retirées conservent les anciennes données.
• Assainir l'ordinateur portable en oubliant le téléphone, les bandes de sauvegarde ou les disques de rechange rangés dans un tiroir.
• Perdre la trace d'un support entre sa mise hors service et sa mise au rebut, l'intervalle où les appareils disparaissent le plus souvent. Un registre de gestion des actifs IT sert précisément à combler cette lacune.

Commencez par les supports qui contiennent les données les plus sensibles et par ceux qui quittent l'organisation, comme les ordinateurs portables en location et les disques restitués. Ajoutez ensuite les sauvegardes et les disques de rechange que l'inventaire n'a jamais recensés.