Méthode d'assainissement des données

L’assainissement est la pratique, dont l’objectif est qu’aucune donnée récupérable ne subsiste lorsqu’un support est réutilisé, réaffecté ou mis au rebut. La méthode d’assainissement est la façon d’atteindre cet objectif sur un appareil donné : le mécanisme concret exécuté par l’opérateur.

La distinction compte. Les méthodes diffèrent par les technologies de stockage auxquelles elles s’appliquent, la solidité de la protection obtenue, la survie du support et la manière de documenter le résultat ensuite.

Les méthodes se répartissent en deux familles. Les méthodes logiques (écrasement, effacement par bloc, effacement cryptographique) agissent sur les données via le logiciel ou le contrôleur de stockage, et le support peut rester réutilisable. Les méthodes physiques (désaimantation et destruction) agissent sur le support lui-même et mettent fin à sa vie utile.

La NIST Special Publication 800-88 classe chaque méthode dans l’un de trois niveaux de résultat. Clear bloque la récupération logicielle courante. Purge bloque les techniques de laboratoire les plus avancées. Destroy retire définitivement le support de l’usage.

Les référentiels officiels et la pratique du secteur retiennent cinq méthodes. Chacune correspond à une catégorie de support et à un niveau de résultat :

Le tableau ne rend pas compte de toutes les différences pratiques, et ce sont souvent elles qui guident une politique de mise au rebut.

Écrasement : un seul passage avec un motif connu suffit pour les disques magnétiques modernes, à condition que le support soit pleinement fonctionnel. Le passage n’atteint ni les secteurs réaffectés ni les espaces que l’hôte n’a jamais adressés. C’est pourquoi l’écrasement relève de clear et non de purge.

Effacement par bloc : le contrôleur du disque exécute lui-même l’opération d’assainissement. Il peut effacer des cellules que le système d’exploitation ne voit jamais, y compris les zones surprovisionnées. La commande doit réussir pour être valable.

Effacement cryptographique : il est quasi instantané, quelle que soit la capacité. Sa fiabilité dépend de la gestion des clés. Une clé mise sous séquestre, sauvegardée ou divulguée peut annuler l’effacement, si bien que l’inventaire des clés compte autant que la commande.

Désaimantation : une seule exposition efface tout le magnétique, y compris le micrologiciel et les données de servocommande, et le support ne refonctionne plus jamais. Elle n’a aucun effet sur les supports flash ou optiques et ne peut donc pas servir de méthode générale.

Destruction physique : c’est la seule option fiable pour les supports qui ne peuvent pas exécuter de commandes, comme les disques défaillants ou les disques optiques. C’est le choix habituel pour les données les plus sensibles. La protection dépend de la taille des particules obtenue par l’équipement.

Choisir une méthode revient à faire correspondre des conditions, pas à classer des niveaux de robustesse. Une politique applicable fixe les conditions, et la méthode en découle :

1. 1

   Technologie du support

   Détermine les méthodes physiquement possibles : écrasement pour les disques magnétiques, effacement par bloc pour la mémoire flash, désaimantation pour les seuls supports magnétiques, destruction pour tous les cas.

2. 2

   Sensibilité des données

   Plus la classification est élevée, plus le niveau de résultat exigé est haut. Des données peu sensibles peuvent se contenter de clear, tandis que les données réglementées exigent en général purge ou destroy.

3. 3

   Destination suivante du support

   Une réutilisation au même niveau de sensibilité autorise clear. Un transfert vers un environnement moins fiable ou une mise au rebut exige purge ou destroy.

4. 4

   État du support

   Un support qui n’accepte plus de commandes ne peut pas être assaini logiquement. Il passe directement à la désaimantation ou à la destruction.

5. 5

   Chiffrement dès la première utilisation

   Sur un disque chiffré bien géré, détruire la clé apporte en quelques secondes une protection de niveau purge. C’est pourquoi il est recommandé de chiffrer les données dès leur écriture.

6. 6

   Contraintes pratiques

   Volume, durée, coût de l’équipement et possibilité de vérifier le résultat. Une méthode rapide dont le résultat ne peut pas être prouvé est, en pratique, plus faible qu’une méthode plus lente qui le peut.

Deux combinaisons couvrent l’essentiel des décisions. Un disque magnétique sain qui reste dans l’organisation est nettoyé au niveau clear par écrasement. Tout support qui la quitte, revendu, restitué à un bailleur ou recyclé, subit un purge ou un destroy selon la classification des données qu’il contenait.

Quelle que soit la méthode, un résultat non vérifié n’est qu’une hypothèse. L’écrasement et l’effacement par bloc se vérifient par échantillonnage du support : aucune donnée reconnaissable ne doit être lisible. L’effacement cryptographique se vérifie en confirmant que la clé a disparu de chaque emplacement où elle était conservée, y compris les sauvegardes et les séquestres. La destruction se vérifie par la taille de particule nominale de l’équipement, ainsi que par des témoins ou des certificats. Un échec de vérification renvoie le support dans la même méthode, ou le fait monter jusqu’à la destruction.

Les programmes matures consignent pour chaque appareil le numéro de série, la classification des données, la méthode et l’outil utilisés, l’opérateur, la date et le résultat de la vérification. Si des disques retirés sont remis en cause des années plus tard, l’organisation peut ainsi démontrer quel support a été assaini et comment, sans s’en remettre à la mémoire.