Un disque dur peut finalement être effacé ou détruit en toute sécurité. Mais qu’en est-il advenu au cours des heures ou des jours précédents ? Où était-il conservé ? Qui y avait accès ? Et à partir de quel moment le prestataire chargé du traitement a-t-il pris en charge la destruction des données ?
Dans le cadre d’une destruction sécurisée des données, ce n’est pas seulement le résultat final qui compte. Le parcours suivi par un ordinateur portable, un serveur ou un support de données jusqu’à cette étape doit également faire l’objet d’un contrôle rigoureux.
C’est là qu’intervient la chaîne de traçabilité (Chain of Custody).
Qu'est-ce qu'une chaîne de traçabilité ?
Une chaîne de traçabilité désigne le parcours vérifiable suivi par les équipements informatiques et les supports de données au cours de leur traitement.
Le principe est simple : les moments de transfert, les responsabilités et les traitements effectués doivent être clairement consignés.
Cela permet de réduire le risque que les supports de données disparaissent ou soient accessibles à des personnes non autorisées pendant leur stockage, leur transport ou leur traitement.
Une chaîne de traçabilité va donc au-delà de la simple administration. Elle fait partie intégrante d'un processus contrôlé visant à garantir la sécurité des données.
Pourquoi la chaîne de traçabilité est-elle importante ?
On accorde beaucoup d'attention à la technique utilisée pour supprimer définitivement les données. Pourtant, des risques peuvent déjà surgir avant la destruction effective des données.
Prenons l’exemple d’ordinateurs portables entreposés sans surveillance ou d’un carton de disques durs dont on ne sait pas clairement quand et à qui il a été remis. Même si ces supports de données sont ensuite traités correctement, il peut y avoir eu auparavant une période de contrôle insuffisant.
Une bonne chaîne de traçabilité limite ce risque en établissant des accords clairs concernant le transfert, le transport, l’accès, le traitement et la responsabilité.
À quel moment un sous-traitant assume-t-il la responsabilité ?
Toutes les organisations n'ont pas les mêmes exigences en matière de sécurité. C'est pourquoi les procédures ne doivent pas nécessairement toutes se dérouler de la même manière.
Une organisation peut, par exemple, se charger elle-même de la suppression des données avant la remise du matériel. Une autre possibilité consiste à confier à Out of Use la destruction des données après réception du matériel au centre de traitement.
Les organisations qui souhaitent exercer un contrôle accru pendant le transport peuvent opter pour un processus dans lequel Out of Use assume la responsabilité de la destruction des données dès le départ chez le client, par exemple via un transport scellé.
Pour les environnements sensibles, la destruction des données peut également avoir lieu directement sur le site du client. Les supports de données n’ont alors pas besoin de quitter les lieux avant que les données ne soient traitées.
Il est important de convenir clairement à l’avance de la répartition des responsabilités, du moment à partir duquel chacune d’entre elles s’applique et des mesures de sécurité qui s’y rattachent.
La traçabilité doit pouvoir être démontrée
Il est important de mettre en place un processus contrôlé, mais il faut également pouvoir établir clairement, a posteriori, ce qu’il est advenu du matériel.
Un rapport et un certificat de destruction peuvent y contribuer. Lorsque davantage de détails sont nécessaires, les appareils ou supports de données peuvent être indexés. Les numéros de série sont alors associés au rapport, ce qui permet d’identifier chaque appareil ou support de données.
Pour les responsables informatiques, les équipes de sécurité et les délégués à la protection des données (DPO), cela constitue une documentation précieuse sur le traitement effectué.
L'approche à adopter dépend du risque
Une bonne chaîne de traçabilité ne signifie pas que chaque organisation doive automatiquement opter pour les mesures de sécurité les plus strictes.
L'approche appropriée dépend de la sensibilité des données, des procédures internes, du type d'équipement et du niveau de contrôle souhaité. Ce principe s'inscrit également dans la logique de l'approche fondée sur les risques adoptée tant par le RGPD que par les directives actuelles relatives à la suppression sécurisée des données, telles que la norme NIST SP 800-88 Rev. 2.
Out of Use adapte le processus aux exigences de sécurité et aux procédures internes de l’organisation. Cela permet de définir des accords clairs concernant le transfert, le transport, la destruction des données et le rapport.
Vous souhaitez en savoir plus sur l'approche « chaîne de traçabilité » d'Out of Use ? Contactez-nous pour un entretien-conseil sans engagement.