Effacement logique certifié : normes NIST, certificat de destruction de données — Guide DSI

Chaque année, des milliers d'entreprises cèdent ou jettent du matériel informatique sans effacer correctement les données qu'il contient. Les conséquences peuvent être graves : violation de données personnelles, sanctions RGPD, atteinte à la réputation. Pourtant, les solutions existent et sont accessibles. Ce guide fait le point sur les normes de référence et les obligations qui s'imposent aux DSI.

Le risque des données résiduelles

Un disque dur ou un SSD "formaté" au sens commun du terme — c'est-à-dire via la fonction de formatage standard de Windows ou macOS — ne supprime pas les données. Il se contente de marquer l'espace comme disponible. Les données physiques restent présentes sur le support et sont récupérables par n'importe quel logiciel de forensique en quelques minutes.

Ce risque est loin d'être théorique. Des études régulières montrent que des équipements revendus sur des marchés de seconde main contiennent encore des données sensibles : identifiants d'accès, courriels professionnels, documents contractuels, fichiers RH. En tant que responsable du traitement au sens du RGPD, votre entreprise reste juridiquement responsable de ces données — même après la cession physique du matériel.

Les sanctions RGPD pour violation de données peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, selon le montant le plus élevé. Une fuite de données due à un disque non effacé constitue une violation caractérisée du principe de minimisation et d'intégrité des données (Article 5 du RGPD).

Quelles sont les normes d'effacement certifié reconnues ?

Les trois normes d'effacement certifié qui font référence sont NIST 800-88 (États-Unis), HMG Infosec Standard 5 (Royaume-Uni) et DoD 5220.22-M (Département de la Défense américain, aujourd'hui dépassé). Elles diffèrent par leur niveau de sécurité, leur applicabilité selon le type de support, et les contraintes opérationnelles qu'elles imposent. Pour une entreprise française qui cède un parc, le NIST 800-88 niveau Purge est la référence à exiger d'un prestataire.

NIST 800-88 (Clear, Purge, Destroy)

La norme américaine NIST Special Publication 800-88 est aujourd'hui la référence mondiale pour les entreprises privées et les administrations. Elle distingue trois niveaux d'intervention :

Clear : effacement logiciel standard, suffisant pour les supports destinés à une réutilisation interne en environnement de confiance
Purge : effacement cryptographique ou réécriture multi-passes, adapté aux supports destinés à quitter le périmètre de l'entreprise
Destroy : destruction physique irréversible (déchiquetage, fusion), réservée aux supports contenant des données hautement sensibles ou classifiées

Pour la grande majorité des entreprises, le niveau Purge est le standard approprié avant tout rachat ou recyclage.

HMG Infosec Standard 5

Développé par le National Cyber Security Centre britannique, ce standard est reconnu dans de nombreux pays européens. Il définit deux niveaux :

Baseline : une passe de réécriture aléatoire, acceptée pour la plupart des environnements commerciaux
Enhanced : trois passes (deux aléatoires + une de vérification), recommandé pour les données sensibles ou les secteurs réglementés (santé, finance, défense)

DoD 5220.22-M

Ce standard du Département de la Défense américain, longtemps considéré comme la référence, est aujourd'hui dépassé pour les supports modernes (SSD, Flash). Les fabricants de disques SSD et les autorités de sécurité s'accordent sur le fait que la méthode Purge du NIST 800-88 est plus efficace et mieux adaptée aux architectures de stockage actuelles. La mention DoD sur une offre d'effacement est souvent un indicateur que le prestataire n'a pas mis à jour ses pratiques.

Quels outils d'effacement certifié utiliser ?

Un effacement opposable repose sur un logiciel certifié qui génère automatiquement un certificat horodaté et vérifie le résultat après chaque passe. Tous les outils ne se valent pas : la distinction clé est la présence d'une certification indépendante (Common Criteria, ADISA, NCSC) et la capacité à traiter les SSD modernes via les commandes natives du firmware.

Blancco : référence du marché pour l'effacement logiciel certifié en entreprise. Certifié par plus de quinze organismes (dont le NCSC britannique et Common Criteria). Génère un certificat infalsifiable par numéro de série et gère les commandes natives SSD (Sanitize, Secure Erase). C'est l'outil que nous utilisons pour les parcs professionnels.
DBAN : outil open source historique, gratuit, mais à proscrire pour un usage professionnel. Il ne gère pas correctement les SSD (il écrit sur les cellules visibles sans déclencher le Sanitize firmware), ne produit pas de certificat opposable, et n'est plus maintenu activement. Son usage sur un parc d'entreprise est une fausse économie qui ne tiendra pas devant un auditeur.
Outils intégrés au firmware (ATA Secure Erase, NVMe Format avec Secure Erase) : efficaces sur les SSD car ils s'appuient sur le contrôleur du disque, mais ils n'émettent aucun certificat exploitable et nécessitent une supervision technique. À réserver à un usage interne maîtrisé.

Le critère de décision pour un DSI est simple : si l'outil ne produit pas un certificat nominatif par numéro de série, il ne couvre pas votre responsabilité RGPD.

Effacement logiciel vs destruction physique

Le choix entre effacement logiciel et destruction physique n'est pas seulement une question de niveau de sécurité — c'est aussi une question de valeur économique.

L'effacement logiciel certifié (niveau Purge NIST ou HMG Enhanced) permet de conserver l'intégrité physique du support. Un SSD correctement effacé peut être revendu et atteindre 30 à 60 % de sa valeur d'origine selon l'âge et l'état. C'est l'approche recommandée pour la grande majorité des équipements professionnels sortants.

La destruction physique (déchiquetage, démagnétisation) est irréversible et appropriée pour des cas spécifiques : données classifiées, disques endommagés qu'on ne peut pas effacer logiciellement, ou équipements soumis à des réglementations sectorielles strictes (défense, santé). Elle supprime définitivement toute valeur marchande du support.

La destruction systématique de tous les disques n'est pas une bonne pratique — c'est une erreur économique qui peut coûter plusieurs milliers d'euros par lot sur un parc de taille moyenne.

Le certificat d'effacement

Le certificat d'effacement est le document qui matérialise et prouve l'effacement. Il constitue votre pièce maîtresse en cas d'audit CNIL ou de litige. Un certificat conforme doit mentionner :

Le numéro de série du support
Le type de support (HDD/SSD) et sa capacité
La norme d'effacement appliquée
La date et l'heure de l'opération
Le résultat de la vérification post-effacement
L'identité et les coordonnées du prestataire

L'Article 5.2 du RGPD impose le principe d'accountability : il ne suffit pas d'effacer les données, il faut pouvoir démontrer qu'on l'a fait. Sans certificat nominatif par numéro de série, vous ne pouvez pas prouver la conformité de votre démarche.

Conservez ces certificats pendant au moins cinq ans. En cas d'incident, ils constituent votre défense principale.

Les cas particuliers : SSD chiffrés, RAID, NVMe et TPM

Certaines configurations matérielles exigent une procédure d'effacement adaptée — appliquer une méthode HDD classique à un SSD chiffré ou à une grappe RAID peut laisser des données récupérables malgré une apparence de succès. Voici les quatre cas qui demandent une vigilance particulière.

SSD auto-chiffrants (SED) et disques à chiffrement matériel : l'effacement le plus rapide et le plus sûr est le crypto-erase — la destruction de la clé de chiffrement rend instantanément les données illisibles. Le NIST 800-88 reconnaît explicitement cette méthode au niveau Purge, à condition que le chiffrement ait été actif depuis l'origine.
Grappes RAID : il ne suffit pas d'effacer le volume logique. Chaque disque physique de la grappe doit être désassemblé puis effacé individuellement, car des fragments de données restent répartis sur chaque membre du RAID. Un prestataire sérieux démonte systématiquement les grappes avant traitement.
NVMe : ces SSD haute performance utilisent un jeu de commandes distinct de l'ATA. L'effacement doit passer par la commande NVMe Format avec l'option Secure Erase, gérée nativement par les outils certifiés. Une réécriture logicielle classique n'atteint pas les zones de sur-provisionnement (over-provisioning) du disque.
Puces TPM et secure enclaves : sur les postes récents (Windows 11, Mac Apple Silicon), les clés de chiffrement sont stockées dans une puce dédiée. La réinitialisation du TPM doit faire partie de la procédure pour garantir qu'aucune clé résiduelle ne permette de remonter aux données.

Si votre parc comporte ces configurations — et c'est le cas de la plupart des parcs renouvelés après 2020 — vérifiez que votre prestataire les traite explicitement dans son protocole. C'est un bon test de son sérieux technique.

Comment nous procédons

Chez rachat-parc-informatique.com, chaque support de stockage fait l'objet d'un effacement certifié avant toute opération de test ou de reconditionné. Nous appliquons le niveau Purge de la norme NIST 800-88 pour l'ensemble des SSD et HDD traités.

Un certificat d'effacement nominatif est généré automatiquement pour chaque numéro de série et transmis au client sous forme de rapport consolidé à la clôture du dossier. Ce document liste l'ensemble des supports traités, la norme appliquée, et les résultats de vérification.

Pour les cas nécessitant une destruction physique (données classifiées, supports défectueux), nous effectuons le déchiquetage en conformité avec la norme DIN 66399 et fournissons un certificat de destruction distinct.

Si vous souhaitez connaître la valeur de votre parc tout en garantissant la conformité RGPD de votre démarche, consultez d'abord notre checklist de préparation pour structurer votre inventaire.