À une époque où le coût moyen des violations de données est d'environ 8,64 millions de dollars, la désinfection des médias est plus importante que jamais. Les cyberattaques n'ont pas seulement un impact sur le nom de l'entreprise. Les temps d'arrêt et la perte d'accès aux systèmes critiques représentent plus de la moitié du coût de 8,64 millions de dollars.
Les entreprises doivent donc avoir une stratégie pour la manipulation et la désinfection des données en toute sécurité. Il est également important que tout appareil que vous utiliserez dans votre entreprise et qui a été manipulé par un tiers soit soumis à un ensemble de normes strictes afin de s'assurer que les informations confidentielles ne tombent pas entre les mains d'utilisateurs involontaires.
C'est là que la désinfection des supports entre en jeu. La désinfection des supports est le processus qui consiste à supprimer de manière sûre et complète les données du matériel informatique, qu'il s'agisse de dispositifs mobiles ou de clés USB.
À cet égard, le gouvernement américain a fourni le NIST SP 800-88 (Guidelines for Media Sanitization). Ce document est publié par le National Institute for Standards and Technology. Le NIST SP 800-08 contient des procédures et des conseils dynamiques pour l'effacement des données de tous les types de supports de stockage. L'objectif du document est de s'assurer que toute donnée trouvée sur un support de stockage est irrécupérable.
Dans ce guide, nous aborderons l'assainissement des médias et la manière dont les directives NISTP SP 800-88 contribuent à rendre le processus plus facile et plus clair pour les entreprises et autres organisations.
Les directives du NIST 800-88 fournissent des conseils rigoureux et complets aux entreprises et aux entités du gouvernement américain pour s'assurer qu'elles suivent les meilleures pratiques en matière de destruction de données.
Le document NIST 800-88 est l'un des nombreux ensembles de directives pour l'assainissement des actifs porteurs de données. Ces biens comprennent des équipements tels que des serveurs, des ordinateurs portables, des appareils mobiles, des cartes vidéo et graphiques, des clés USB amovibles, etc.
La dernière mise à jour de la norme NIST 800-88 Rev. 1, est l'une des normes d'assainissement des données les plus largement utilisées, demandée ou exigée par le gouvernement fédéral américain. Les normes contenues dans ce document, également appelé NIST Special Publication 800-88, sont déjà largement adoptées par les entreprises privées et les organisations gouvernementales.
L'objectif du NIST 800-88 est de définir les exigences et de fournir des conseils pour la mise en œuvre des techniques de désinfection - effacement, purge et destruction - lorsque le support est destiné à être réutilisé ou éliminé. Le document se concentre sur la désinfection d'une copie électronique, des médias et de la manipulation des documents papier. En outre, le NIST 800-88 spécifie également la responsabilité des organisations et des agences gouvernementales de s'assurer que les données qu'elles ont collectées à des fins commerciales et autres sont stockées et éliminées correctement.
Le National Institute of Standards and Technology (NIST) définit l'assainissement comme "le processus général de suppression des données des supports de stockage, de telle sorte qu'il existe une assurance raisonnable que les données ne peuvent pas être facilement récupérées et reconstruites".
Les entreprises, les agences gouvernementales et d'autres organisations collectent et stockent des quantités massives de données. Ces données comprennent tous les types et toutes les manières d'informations sensibles telles que :
La désinfection des supports fait référence au processus de destruction permanente des données stockées sur les dispositifs de mémoire. Les méthodes de désinfection des supports doivent être utilisées correctement pour garantir qu'aucune donnée ne pourra être récupérée, même avec des outils de récupération de données avancés.
Étant donné que des personnes non autorisées peuvent tenter de reconstituer des données et d'accéder à des informations sensibles à partir de supports qui n'ont pas été correctement désinfectés, la désinfection des supports protège la confidentialité des informations sensibles.
À ce propos, les directives du NIST 800-88 ont également pris en compte le niveau de confidentialité des données manipulées et pas seulement le type de support. C'est pourquoi le document comprend des indications sur les techniques de destruction à utiliser pour atteindre le niveau d'assainissement requis.
Les directives NIST 800-88 protègent la confidentialité des informations sensibles et donnent les techniques de destruction nécessaires pour atteindre le niveau d'assainissement requis. Alors que les organisations appliquent des mesures de cybersécurité, notamment des contrôles d'accès sophistiqués et le cryptage, pour réduire les violations de données et les cyberattaques, les personnes non autorisées cherchent d'autres moyens d'accéder aux informations sensibles. Et l'une des façons dont les informations confidentielles tombent entre de mauvaises mains est la récupération de données résiduelles sur des supports qui ont quitté une organisation sans avoir été suffisamment nettoyés.
La vulnérabilité de la protection des données survient lorsque les appareils changent de mains sans que les données soient correctement nettoyées. Au sein de l'organisation, des données confidentielles peuvent être déplacées d'un environnement de stockage hautement protégé vers un environnement moins protégé. Cela peut se produire lorsqu'aucune mesure de sécurité n'est établie pour vérifier que les données ont été suffisamment expurgées.
À cette fin, la norme du NIST recommande aux organisations de mettre en place des projets d'assainissement des données comme suit :
La rigueur du processus de nettoyage des données est encore plus importante pour les dispositifs de stockage qui quittent les lieux physiques d'une organisation ou qui sont accessibles sans mesures de sécurité. Pour lancer un processus de nettoyage des données, les entreprises et les organisations doivent tenir compte des éléments suivants :
Un extrait de la NIST SP 800-88, Rev.1, "Executive Summary" :"
"L'application de contrôles d'accès sophistiqués et le cryptage contribuent à réduire la probabilité qu'un attaquant puisse accéder directement à des informations sensibles. Par conséquent, les parties qui tentent d'obtenir des informations sensibles peuvent chercher à concentrer leurs efforts sur d'autres moyens d'accès, comme la récupération de données résiduelles sur des supports qui ont quitté une organisation sans avoir été suffisamment nettoyés... ". Par conséquent, l'application de techniques de désinfection efficaces et le suivi des supports de stockage sont des aspects essentiels pour garantir que les données sensibles sont efficacement protégées par une organisation contre toute divulgation non autorisée. La protection de l'information est primordiale."
Plusieurs méthodes peuvent être utilisées pour assainir les données des supports de stockage. Il s'agit notamment de la démagnétisation, de la destruction physique du disque, du cryptage et de l'écrasement, que nous aborderons ci-dessous.
La démagnétisation est une méthode d'assainissement des médias par laquelle les données contenues dans les supports de stockage sont exposées à un puissant champ magnétique. La démagnétisation des disques durs neutralise les données, les rendant irrécupérables.
La démagnétisation peut être un moyen efficace de détruire ou de purger les disques durs, les disquettes et les bandes magnétiques. Mais ils se sont avérés inefficaces sur les dispositifs de stockage flash tels que les SSD (solid state drives). C'est pourquoi les directives NIST 800-88 ont été mises à jour - pour s'assurer que la désinfection des médias évolue en fonction des progrès technologiques des dispositifs de stockage.
Le processus d'écrasement consiste à remplacer les données précédemment stockées par des motifs aléatoires ou spécifiques sur tous les secteurs du disque. Il rend les données stockées sur un disque illisibles, ce qui empêche les violations de données. L'écrasement est très efficace sur les zones des lecteurs magnétiques spécifiquement définies et accessibles à l'utilisateur.
Cependant, l'augmentation de l'utilisation des disques à mémoire flash ou SSD a fait de l'écrasement une méthode d'effacement des données insuffisante. Les disques à mémoire flash sont plus rapides, plus petits et plus résistants aux dommages. Les disques SSD ont également des mécanismes qui minimisent l'usure en utilisant des zones de surapprovisionnement non adressables dans le disque où les données peuvent être laissées. Il est donc plus difficile de détruire ou d'effacer des données sur ces disques.
Bien que le NIST autorise un écrasement minimal en une seule passe pour les disques SSD, les directives préconisent des étapes supplémentaires pour atteindre tous les secteurs. Cela signifie que l'écrasement doit être combiné à des commandes, des technologies ou des outils spécialisés afin d'atteindre les zones cachées du disque. Par exemple, les utilisateurs peuvent utiliser les commandes d'effacement du micrologiciel du disque pour effacer les données sensibles.
Le déchiquetage désigne le processus de destruction physique des disques durs, des smartphones, des ordinateurs portables, des imprimantes et d'autres dispositifs de stockage en petits morceaux à l'aide de grosses déchiqueteuses mécaniques. Il s'agit de la méthode la plus efficace pour assainir les données, car elle les rend irrécupérables. Sauf que la destruction des appareils électroniques est nuisible à l'environnement. Elle est également coûteuse pour les entreprises lorsqu'elles ne sont pas en mesure de réutiliser ou de revendre les supports et les appareils. En outre, le recyclage et la réutilisation des appareils électroniques, plutôt que leur destruction prématurée, permettent de réduire l'empreinte carbone des appareils.
Le chiffrement désigne la méthode consistant à utiliser un logiciel d'effacement cryptographique, intégré ou déployé manuellement, sur l'ensemble des données présentes sur le dispositif de stockage. Pour compléter le processus, la clé qui aurait été utilisée pour décrypter les données est effacée. Cependant, cette méthode peut s'avérer insuffisante, notamment pour les supports contenant des informations hautement confidentielles, car il n'existe aucun moyen de valider que toutes les clés de cryptage ont été effacées.
Le cryptage dépend aussi fortement du fabricant, qui peut rencontrer des problèmes d'exécution. En outre, des erreurs humaines et d'autres problèmes d'équipement, comme des clés cassées, peuvent rendre la méthode de cryptage inefficace.
Les directives NIST 800-88 sont connues pour les catégories de désinfection des supports (effacer, purger et détruire) qui permettent d'effacer les données en fin de vie des dispositifs de stockage.
Clear applique des commandes de lecture/écriture, des techniques et des outils standard, afin de protéger la confidentialité des informations. Il peut être utilisé pour les disquettes, les lecteurs de disques, les disques durs ATA (Advanced Technology Attachment), les lecteurs SCSI et les supports flash (clés USB, cartes mémoire). Clear est un niveau de désinfection des supports qui protège les techniques simples et non invasives de récupération des données ou les outils de récupération des données.
Les techniques d'effacement du NIST sont mieux utilisées pour les dispositifs de stockage qui ne contiennent pas d'informations sensibles, car elles ne concernent pas les données se trouvant dans des zones cachées ou inaccessibles. Mais elle reste efficace pour la plupart des dispositifs. Elle permet également de réduire les déchets puisque les supports de stockage peuvent être réutilisés.
La purge fait référence à la technique physique qui rend les données cibles irrécupérables. Il s'agit d'un processus d'assainissement des supports qui offre un niveau de protection plus élevé. La purge utilise des méthodes de pointe d'écrasement en laboratoire, d'effacement de blocs et de cryptage. Ces techniques sont recommandées lorsqu'il s'agit de données confidentielles.
Les méthodes de purge peuvent être utilisées pour la plupart des types de supports et d'appareils électroniques. Et la démagnétisation est acceptée comme méthode de purge pour les données magnétiques.
La destruction physique est la forme la plus poussée d'assainissement. Il existe plusieurs méthodes pour rendre les supports inutilisables, notamment le déchiquetage, la fonte, la pulvérisation et l'incinération. Ces méthodes peuvent être utilisées pour les disquettes, les disques durs, les disques optiques et les supports flash.
Ce niveau de désinfection des données est recommandé lorsqu'un support ne peut pas être désinfecté par des méthodes de nettoyage ou de purge en raison de son état physique. Il est également utilisé lorsque les utilisateurs veulent s'assurer que les données hautement confidentielles ne seront pas récupérées.
Notez que le NIST ne recommande pas qu'il n'y ait qu'une seule bonne méthode pour la désinfection des données. Il recommande plutôt aux utilisateurs de tenir compte de la confidentialité de l'information et du support lorsqu'ils prennent des décisions en matière de désinfection.
La norme NIST SP 800-88 fournit des lignes directrices, mais il n'existe aucun moyen de déterminer si une organisation les respecte. C'est pourquoi Phonecheck erasure est certifié ADISA.
ADISA (Asset Disposal and Information Security Alliance) offre une certification des normes de pointe pour les entreprises qui fournissent des services d'élimination des actifs informatiques aux fabricants et aux développeurs de solutions d'assainissement des données logicielles et matérielles.
ADISA dispose d'un processus rigoureux de certification qui s'aligne sur les directives du NIST. Les entreprises qui souhaitent faire partie de l'alliance doivent passer par la certification et répondre aux critères de l'organisation pour être certifiées.
Que ce soit pour vous ou pour votre entreprise, n'achetez pas un appareil d'occasion sans un rapport d'historique certifié (Phonecheck ). Achetez-en un aujourd'hui pour le prix d'une tasse de café.
