Le renouvellement d’un parc informatique est traité comme un sujet d’achat et de logistique. Le volet sécurité se résume le plus souvent à une ligne dans le bon de reprise : « effacement des données ». Personne ne vérifie ce que le prestataire entend par là, ni ce qui se trouvait sur les machines.
C’est l’une des rares fuites de données qui se produit sans attaquant, sans intrusion, et sans que l’organisation ne s’en aperçoive jamais.
Pourquoi le formatage ne suffit pas
Supprimer un fichier ne l’efface pas : le système marque l’espace comme réutilisable et retire l’entrée de l’index. Les données restent en place jusqu’à ce qu’autre chose les recouvre — ce qui peut ne jamais arriver. Un formatage rapide fait la même chose à l’échelle du volume.
La récupération ne demande aucune compétence particulière : les outils sont gratuits, documentés, et fonctionnent en quelques minutes. C’est précisément ce que font les acheteurs de matériel d’occasion qui s’intéressent à autre chose qu’au matériel.
Deux subtilités techniques comptent, et elles inversent les réflexes habituels.
Sur un disque à mémoire flash, la réécriture complète est peu fiable. Le contrôleur répartit l’usure sur les cellules et conserve des blocs de réserve que le système d’exploitation ne peut pas adresser. Des fragments survivent à un effacement qui semble complet. La méthode adaptée est la commande d’effacement sécurisé intégrée au support, ou l’effacement cryptographique.
Sur un disque chiffré, détruire la clé suffit. Les données restent physiquement présentes mais deviennent inexploitables. C’est instantané, applicable à grande échelle, et c’est le meilleur argument pour chiffrer les postes dès leur mise en service : cela transforme la fin de vie d’un chantier en une opération de quelques secondes.
Le matériel qu’on oublie
L’inventaire de fin de vie se limite presque toujours aux postes et aux serveurs. Cinq catégories échappent au processus, et elles ne sont pas les moins fournies.
- Les copieurs multifonctions. Ils contiennent un disque qui conserve les documents numérisés, imprimés et télécopiés, parfois sur plusieurs années. Ils sont en location, donc restitués au loueur en fin de contrat — souvent sans que personne n’ait demandé l’effacement, qui est pourtant une option standard chez tous les constructeurs. C’est le cas le plus fréquent et le plus fourni en données sensibles : contrats, bulletins de paie, dossiers du personnel.
- Les équipements réseau. Pare-feu, commutateurs, points d’accès et concentrateurs conservent en configuration les clés partagées, les secrets d’authentification, les plans d’adressage et parfois des identifiants d’administration. Une réinitialisation d’usine ne les efface pas toujours entièrement.
- Les téléphones et tablettes. Y compris les terminaux personnels utilisés pour la messagerie professionnelle, qui sortent du parc sans jamais y être entrés.
- Les supports de sauvegarde. Bandes et disques externes retirés du cycle, stockés dans une armoire puis évacués lors d’un déménagement. Ils contiennent, par construction, la totalité des données de l’organisation.
- Les machines en panne. Elles partent en garantie ou à la benne sans passer par le processus, précisément parce qu’elles ne démarrent plus — donc qu’aucun effacement logiciel n’est possible. C’est le cas où la destruction physique s’impose.
Ce que la réglementation impose
Le RGPD ne prescrit pas de méthode, mais il impose deux choses qui s’appliquent directement.
La durée de conservation d’abord : des données conservées sur un support sorti du parc et jamais effacé restent des données traitées, au-delà de la durée déclarée dans votre registre. L’écart est facile à constater lors d’un contrôle.
La sécurité du traitement ensuite, au titre de l’article 32 : la protection doit être appropriée au risque, ce qui inclut la fin de vie du support. Une donnée correctement protégée pendant cinq ans puis revendue sur une plateforme d’enchères n’a pas été protégée.
Le cas du prestataire mérite attention : la reprise de matériel par un tiers qui procède à l’effacement constitue un traitement pour votre compte. Cela suppose un contrat de sous-traitance, des garanties écrites sur la méthode employée, et un certificat de destruction ou d’effacement par lot. Un bon de reprise mentionnant « données effacées » sans préciser la méthode n’a pas de valeur probante.
Le processus, en quatre points
- Rattacher la sortie du parc à l’inventaire. Un équipement retiré doit être marqué comme tel, avec la méthode appliquée et la date. C’est ce qui permet de répondre, deux ans plus tard, à la question « qu’est devenue cette machine ».
- Chiffrer à la mise en service. C’est la décision qui simplifie tout le reste. Elle se prend à l’entrée, pas à la sortie.
- Traiter le matériel défaillant à part. Il ne peut pas suivre le circuit standard, et c’est celui qui part le plus vite.
- Conserver les preuves. Certificats de destruction, journaux d’effacement, numéros de série. Ce sont les seuls éléments opposables si la question se pose plus tard.
Un test qui prend une heure
Avant de refaire le processus, prenez une machine sortie du parc et pas encore évacuée, et branchez son disque sur un poste d’analyse. Ce que vous y trouverez donnera la mesure du sujet plus efficacement qu’une note de synthèse — et c’est l’argument qui débloque le budget de destruction certifiée.
Sources
- NIST — SP 800-88 Rev. 1, Guidelines for Media Sanitization
- RGPD — articles 5 (limitation de la conservation), 28 (sous-traitance) et 32 (sécurité du traitement)
- ANSSI — recommandations relatives à l’effacement sécurisé et à la fin de vie des supports