Ce que contient réellement un certificat de destruction, et ce qu’il faut vérifier

Un certificat de destruction sur lequel figure une méthode erronée sera tout de même signé, classé, puis oublié. 

Personne ne vérifie la correspondance entre la méthode indiquée et le type de support avant que celui-ci ne soit placé dans un tiroir. C'est là que réside le véritable point faible de la plupart des programmes de destruction de données.

Un certificat est une déclaration écrite d'un fournisseur concernant un processus ; il ne s'agit pas d'une preuve indépendante attestant que ce processus a été correctement mis en œuvre sur vos appareils spécifiques. Il n'existe aucun organisme de certification unique chargé de vérifier le document lui-même, ce qui signifie que le processus interne du fournisseur revêt une importance bien plus grande que l'en-tête ou la signature figurant au bas du document.

En bref : ce qu'il faut savoir sur les certificats de destruction

• Un certificat de destruction est un document écrit établi par le prestataire qui rend compte d'un processus : quelle méthode a été utilisée, quand et où. Il ne prouve pas automatiquement que vos appareils spécifiques ont bien été soumis à ce processus.
• Il n'existe pas d'autorité de certification unique pour le certificat lui-même. N'importe qui peut en délivrer un, ce qui signifie que le processus mis en œuvre par le fournisseur est plus important que l'en-tête du document.
• Les méthodes de destruction physique, telles que le démagnétisation et le broyage, ne permettent pas toutes de vérifier de la même manière que la destruction a bien eu lieu.
• Certaines méthodes ne fonctionnent pas du tout sur certains types de supports.
• La version R2v3 exige des prestataires en aval chargés de l'anonymisation des données qu'ils fournissent des justificatifs attestant de cette anonymisation pour chaque support de données.
• Un certificat de lot regroupant des milliers d'appareils sous un seul numéro de commande ne permet pas de savoir ce qu'il est advenu d'un appareil en particulier au sein de ce lot.
  

Qu'est-ce qu'un certificat de destruction, et que contient-il ? 

Un certificat de destruction est un document délivré par un prestataire attestant que des supports de données ont été effacés de manière sécurisée ou détruits physiquement selon une méthode précisée, à une date indiquée et dans un site désigné. Un certificat complet doit comporter, au minimum, les éléments suivants :

• Identification de l'appareil. Les numéros de série ou les étiquettes d'identification de chaque appareil concerné, et pas seulement le nombre total d'unités.
• Méthode utilisée. La technique de désinfection ou de destruction spécifique, correctement adaptée au type de support.
• Vérification. Confirmation que la destruction a été vérifiée a posteriori, et non pas simplement lancée.
• Résultat par appareil. Réussite, échec, destruction ou exception : ces éléments sont consignés individuellement plutôt que sous la forme d'un résultat global unique pour l'ensemble du lot.
• Date et adresse de l'établissement. La date exacte et le lieu précis où les travaux ont été effectués.
• Identification du prestataire. Le nom et l'adresse du fournisseur, ainsi que toutes les certifications pertinentes, telles que NAID AAA ou R2v3.

N'importe qui disposant d'une imprimante peut créer un certificat de destruction ; vous devrez donc examiner attentivement le contenu de ce certificat et vérifier qu'il ne manque rien. 

Comment lire un certificat de destruction avant de le signer

Avant de classer un certificat, vérifiez-le à l'aide de cette liste. Si plusieurs éléments manquent, il est préférable de demander des explications à votre fournisseur.

Comprendre les différentes méthodes de destruction

Toutes les méthodes de destruction ne se valent pas, et la méthode choisie doit être adaptée au type de matériel informatique.

Par exemple, la démagnétisation perturbe le stockage magnétique. Elle n'a aucun effet sur les disques SSD, car ceux-ci ne stockent pas les données de manière magnétique. 

Le broyage standard est une méthode couramment utilisée pour les disques de stockage, mais il peut laisser des fragments suffisamment volumineux pour permettre une récupération dans le cadre d'une enquête judiciaire. Les nouvelles conseils telle que la norme IEEE 2883 ne considère plus la destruction physique comme la seule preuve par défaut de assainissement sécurisé des données. Elle définit plutôt plusieurs méthodes de nettoyage validées (Clear, Purge et Destruct) et insiste sur l'utilisation de techniques adaptées et vérifiables pour la technologie de stockage concernée.

Pour s'assurer que les supports déchiquetés sont bel et bien irrécupérables, il faut connaître la taille des particules obtenues, et pas seulement le fait qu'un broyeur a été utilisé.

L'effacement logique, c'est-à-dire l'effacement effectué par un logiciel, suit un processus de vérification différent. L'annexe B de la version R2v3 stipule que au moins 5% de supports logiquement effacés, sur lesquels un échantillonnage indépendant doit être effectué pour confirmer que les données ne peuvent pas être récupérées, l'échantillonnage devant être intensifié si des problèmes apparaissent. Un certificat qui se contente de citer un outil d'effacement sans faire aucune référence à l'échantillonnage ou à la vérification n'est tout simplement pas suffisant.

La ligne « method » d'un certificat est l'élément le plus important à vérifier avant de l'accepter, car c'est aussi celui sur lequel un fournisseur peut le plus facilement commettre une erreur sans que personne ne s'en aperçoive.

Certificats groupés ou vérification par actif

Les certificats par lot vous indiquent ce qu'il est advenu d'un envoi par camion. Seule la vérification par actif vous permet de savoir ce qu'il est advenu de chaque appareil. 

Le certificat de lot est plus facile à obtenir, mais la plupart du temps, il ne suffit pas. Imaginez 4 000 disques durs expédiés dans le cadre d’une même commande. Si trois d’entre eux sont mal acheminés, retardés ou mis de côté avant leur traitement, le certificat de lot considère tout de même l’ensemble de la commande comme terminée. Du point de vue opérationnel du fournisseur, l’expédition a été traitée. 

Si l'un de ces trois appareils réapparaissait par la suite, il n'y aurait aucun numéro de série figurant sur le certificat permettant de le vérifier, aucun horodatage par appareil, et aucun moyen de confirmer quels appareils ont réellement été détruits et lesquels ont simplement été considérés comme détruits parce qu'ils faisaient partie de l'envoi.

Un certificat fondé sur une vérification au cas par cas, enregistrant chaque numéro de série avec son horodatage et sa méthode de destruction, comble cette lacune. Sa production est plus coûteuse. C’est également la seule version qui vous fournit des éléments d’enquête si un appareil venait à réapparaître là où il ne devrait pas se trouver.

Demandez à votre fournisseur s'il est en mesure de vous fournir un relevé de destruction par numéro de série pour un appareil spécifique expédié il y a dix-huit mois. S'il ne parvient pas à vous le fournir, il serait utile d'en connaître la raison. 

Évaluez la qualité de votre certificat de destruction

La valeur d'un certificat de destruction dépend entièrement du processus qui le sous-tend, et la plupart des entreprises n'ont jamais connaissance de ce processus. Elles ne voient qu'un document.

La solution réside dans un fournisseur capable de produire, sur simple demande, un rapport de destruction par numéro de série pour n'importe quel appareil, que ce soit plusieurs mois ou plusieurs années après la clôture du dossier. 

Avant la livraison de votre prochain cycle de renouvellement, demandez à votre prestataire ITAD un exemple de certificat indiquant le suivi par numéro de série de chaque appareil et la méthode de destruction associée à chacun d'entre eux.