Clés USB, disques externes, bandes : détruire les petits supports
Les ordinateurs sont inventoriés, les serveurs aussi. Mais les clés USB, les disques externes et les anciennes bandes de sauvegarde dorment souvent dans des tiroirs, avec des données parfois très sensibles.
Les supports oubliés des inventaires
Les inventaires informatiques suivent les ordinateurs, les serveurs et les smartphones, parce qu'ils sont immatriculés et gérés par des outils dédiés. Les petits supports, eux, échappent souvent à tout suivi : clés USB distribuées lors d'un salon, disques externes utilisés pour des sauvegardes ponctuelles, cartes mémoire d'appareils photo, cartouches de bandes rangées dans une armoire depuis la dernière migration. Ils s'accumulent dans les tiroirs, les armoires fortes et les locaux techniques.
Pourtant, leur contenu est souvent plus sensible que celui d'un poste de travail : copies de bases de données, exports de paie, archives de messagerie, sauvegardes complètes de serveurs. Un projet de recyclage informatique est l'occasion idéale de les recenser, car c'est souvent la seule fois où quelqu'un ouvre ces tiroirs avec méthode.
- Clés USB et cartes mémoire
- Disques durs et SSD externes
- Bandes et cartouches de sauvegarde
- CD, DVD et disques optiques d'archives
- Anciens disques retirés de postes ou de serveurs
Pourquoi ces petits supports sont à risque
Leur petite taille est leur principal danger. Une clé USB se perd, se glisse dans une poche, part avec un collaborateur qui quitte l'entreprise. Contrairement à un ordinateur, elle n'est presque jamais chiffrée ni rattachée à un utilisateur identifié. Si elle contient des données personnelles, sa perte peut constituer une violation de données au sens du RGPD, que l'entreprise doit évaluer et, selon le risque, notifier à la CNIL.
Les bandes et les disques de sauvegarde posent un autre problème : ils concentrent un volume considérable de données, parfois sur plusieurs années, dans un seul objet. Une bande égarée, c'est potentiellement l'ensemble du système d'information d'une époque qui se retrouve hors de contrôle. Leur fin de vie mérite donc autant d'attention que celle d'un serveur.
Inventorier sans tout ouvrir
Il n'est pas nécessaire de lire le contenu de chaque clé pour l'inventorier, et c'est même déconseillé. L'objectif est de compter et de qualifier : type de support, quantité, provenance (service, salle serveur, armoire), niveau de sensibilité présumé. Les supports qui portent un numéro de série, comme les disques externes ou les cartouches de bandes, peuvent être listés un par un ; les clés et les cartes mémoire se comptent par lot.
Regroupez ensuite les supports dans des contenants fermés, identifiés par une étiquette indiquant le contenu et le nombre d'éléments. Ce comptage au départ est indispensable : c'est lui qui sera rapproché du certificat de destruction à la fin de l'opération. Sans comptage, impossible de savoir si tous les supports remis ont bien été traités.
Bandes de sauvegarde : vérifier les durées de conservation
Avant de détruire des sauvegardes, une vérification s'impose : certaines données doivent être conservées pendant des durées fixées par la loi. Les pièces comptables, les documents relatifs au personnel ou certains contrats ont des durées de conservation légales, et une bande peut être la seule copie restante de ces informations. Détruire trop tôt peut être aussi problématique que conserver trop longtemps.
Associez la direction financière, les ressources humaines ou le service juridique à la décision. Une fois la fin de la durée de conservation établie, ou les données migrées vers un autre système, la destruction devient au contraire une obligation de bonne gestion : le RGPD impose de ne pas conserver des données personnelles au-delà de ce qui est nécessaire. Consignez la décision avec la liste des supports concernés.
Pensez aussi aux équipements de sauvegarde eux-mêmes. Une librairie de bandes ou un lecteur en fin de vie peut contenir des cartouches oubliées dans ses emplacements ou dans son lecteur. Avant leur enlèvement, vérifiez qu'aucune bande n'est restée à l'intérieur, et ajoutez celles que vous retirez à l'inventaire des supports à traiter.
Effacer ou détruire : la règle par type de support
Les disques externes en bon état, durs ou SSD, peuvent être effacés avec un logiciel certifié, selon la norme NIST 800-88, puis réemployés : ils sont alors traités comme les disques des ordinateurs, avec un certificat par numéro de série. Les clés USB et les cartes mémoire, de faible valeur et souvent impossibles à effacer de façon vérifiable, sont généralement détruites.
Chaque technologie appelle un procédé adapté. Les bandes magnétiques se démagnétisent puis se broient ; les disques optiques se broient ou se pulvérisent ; les mémoires flash des clés et des cartes se réduisent en particules fines, car leurs puces sont minuscules. Une même machine de broyage n'offre pas forcément le même niveau de sécurité pour tous ces supports : vérifiez que le procédé est adapté à chacun.
Les disques optiques gravés, CD, DVD ou Blu-ray, ne s'effacent pas : ils se détruisent. Les formats anciens, disquettes ou cartouches de sauvegarde d'anciennes générations, suivent la même règle. Pour eux, il n'existe parfois même plus de lecteur dans l'entreprise pour vérifier leur contenu, ce qui est une raison de plus pour ne pas les conserver au-delà des durées nécessaires.
Conditionner et remettre les supports en sécurité
Le jour de la collecte de matériel informatique, les petits supports ne doivent pas voyager en vrac au milieu des ordinateurs. Remettez-les dans des contenants fermés, scellés si possible, avec un bordereau indiquant le nombre et le type de supports de chaque contenant. Le bordereau est signé au départ, ce qui fixe la quantité remise.
À l'arrivée, les contenants sont ouverts et les supports comptés avant traitement. Tout écart avec le bordereau de départ doit être signalé et expliqué par écrit. Cette rigueur de comptage, simple à mettre en place, est ce qui transforme une destruction en preuve opposable.
Certaines organisations exigent que la destruction des supports les plus sensibles ait lieu sur leur site, sous les yeux d'un représentant de l'entreprise. D'autres acceptent un traitement en centre spécialisé, à condition que la chaîne soit documentée de bout en bout. Le choix dépend de votre politique de sécurité ; dans les deux cas, le comptage contradictoire au départ et le certificat final restent indispensables.
Les preuves de destruction à obtenir
Pour les supports effacés, un certificat d'effacement par numéro de série. Pour les supports détruits par lot, un certificat de destruction qui indique les types de supports, les quantités, la date, le procédé employé et la référence du bordereau de remise. Les deux documents se classent avec l'inventaire initial.
Ce dossier permet de répondre à tout moment à la question « où sont passées nos anciennes sauvegardes ? », qu'elle vienne d'un auditeur, d'un client ou du délégué à la protection des données. Il complète les certificats émis pour les ordinateurs et les serveurs lors de la même opération de recyclage de matériel informatique.
Les petits supports concentrent souvent les données les plus sensibles de l'entreprise. Recensez-les, vérifiez les durées de conservation des sauvegardes, effacez ce qui peut être réemployé, détruisez le reste avec un procédé adapté, et gardez les certificats avec votre inventaire. Pour intégrer ces supports à votre prochaine opération, faites une demande de recyclage.
Questions fréquentes
Comment détruire des clés USB en entreprise ?
Recensez-les et comptez-les par lot, sans lire leur contenu, puis remettez-les dans un contenant fermé avec un bordereau indiquant leur nombre. Elles sont ensuite détruites par un procédé adapté aux mémoires flash, qui réduit les puces en particules fines. Exigez un certificat de destruction mentionnant le type de supports, la quantité et la date.
Que faire des anciennes bandes de sauvegarde ?
Vérifiez d'abord qu'elles ne contiennent pas des données soumises à une durée de conservation légale non expirée, comme des pièces comptables. Une fois la décision prise, les bandes sont démagnétisées puis broyées. Listez les cartouches par numéro de série quand c'est possible, et conservez le certificat de destruction avec la décision.
Un disque dur externe peut-il être effacé plutôt que détruit ?
Oui, s'il fonctionne. Un disque externe, dur ou SSD, peut être effacé avec un logiciel certifié selon la norme NIST 800-88, avec un certificat par numéro de série, puis réemployé. S'il est défaillant ou si votre politique de sécurité l'exige, il est détruit physiquement, avec un certificat de destruction.
Du matériel informatique à recycler ?
Deux questions, une proposition sous 24 h, collecte partout en France.
