Le cimetière des données : guide du RSSI pour une élimination des données conforme et auditable

Maria, RSSI d’une fintech en forte croissance, sentit une tension familière lui serrer l’estomac. L’audit GDPR externe était prévu dans six semaines, et un contrôle de routine de l’inventaire des actifs venait de faire ressurgir un vestige du passé de l’entreprise : une salle de stockage verrouillée dans leurs anciens bureaux, remplie de serveurs mis hors service, de bandes de sauvegarde poussiéreuses et de piles d’anciens ordinateurs portables d’employés. Le « cimetière des données », comme son équipe l’appelait avec gravité, n’était plus un problème oublié. C’était une bombe à retardement pour la conformité.

Quelles données sensibles de clients, quelle propriété intellectuelle ou quelles informations d’identification personnelle (PII) pouvaient encore se trouver sur ces disques ? Avaient-elles été correctement assainies ? Existait-il seulement des enregistrements permettant de le prouver ? L’absence de réponses constituait la véritable menace. En sécurité de l’information, ce que l’on ignore peut causer un préjudice — et finit souvent par le faire.

Ce scénario n’est pas propre à Maria. Pour d’innombrables RSSI, responsables conformité et dirigeants, les données historiques représentent un risque massif et non quantifié. Il s’agit d’un passif silencieux qui accroît la surface d’attaque, complique les demandes des personnes concernées et crée un terrain miné pour les auditeurs. La question centrale est simple, mais profondément difficile : que faire des données sensibles dont vous n’avez plus besoin ? La réponse ne consiste pas simplement à cliquer sur « supprimer ». Elle consiste à mettre en place un processus défendable, répétable et auditable de gestion du cycle de vie de l’information, de sa création à sa destruction sécurisée.

Les enjeux élevés de l’accumulation des données

Conserver les données indéfiniment « au cas où » relève d’une époque révolue. Aujourd’hui, c’est une stratégie manifestement dangereuse. Les données sensibles qui subsistent au-delà de leur durée d’utilité ou de conservation requise exposent votre organisation à de nombreuses menaces, des sanctions de conformité et des atteintes à la vie privée aux fuites accidentelles, voire à l’extorsion par rançongiciel.

Conserver des données au-delà de leur durée de conservation crée plusieurs risques critiques :

• Défaillance de conformité : les autorités de régulation renforcent leur action contre la conservation inutile des données. Un cimetière des données constitue une violation directe des principes de protection de la vie privée et peut entraîner des amendes importantes.
• Impact accru en cas de violation : en cas de violation, chaque donnée historique conservée devient un passif. L’exfiltration par un attaquant de cinq années d’anciennes données clients est exponentiellement plus dommageable que l’exfiltration d’une seule année.
• Inefficacité opérationnelle : gérer, sécuriser et rechercher des informations dans des volumes massifs de données sans pertinence consomme des ressources, ralentit les systèmes et rend presque impossible le traitement des demandes de « droit à l’effacement » au titre de GDPR.

De nombreuses organisations croient à tort qu’un clic sur « supprimer » ou la suppression d’une entrée de base de données fait disparaître les données. C’est rarement le cas, laissant des données résiduelles dans les environnements physiques, virtuels et cloud.

Exigences réglementaires : la fin du « conserver pour toujours »

Les règles ont changé. La convergence des réglementations mondiales exige explicitement que les données à caractère personnel et les informations sensibles ne soient conservées que pendant la durée nécessaire et soient effacées de manière sécurisée à l’issue de cette période. Il ne s’agit pas d’une recommandation, mais d’une obligation juridique et opérationnelle.

Le Zenith Blueprint : feuille de route en 30 étapes pour auditeurs de Clarysec résume l’impératif transréglementaire relatif à l’élimination sécurisée des données :

✓ GDPR Article 5(1)(e), Article 17, Article 32(1)(b–d) : exige que les données à caractère personnel ne soient pas conservées plus longtemps que nécessaire, consacre le droit à l’effacement (« droit à l’oubli ») et impose un effacement sécurisé lorsqu’elles ne sont plus nécessaires.
✓ NIS2 Article 21(2)(a, d) : exige des mesures techniques et organisationnelles fondées sur les risques afin de garantir la suppression sécurisée des données lorsqu’elles ne sont plus nécessaires.
✓ DORA Article 9(2)(a–c) : impose la protection des informations sensibles tout au long de leur cycle de vie, y compris leur destruction sécurisée.
✓ COBIT 2019 – DSS01.05 & DSS05.07 : traite de la suppression sécurisée des données, de la destruction des supports et du retrait des actifs informationnels en fin de vie.
✓ ITAF 4th Edition – Domain 2.1.6 : exige des éléments de preuve de la destruction et de l’élimination sécurisées des données conformément aux obligations légales et réglementaires.

Cela signifie que votre organisation doit disposer de processus documentés, appliqués et auditables pour la suppression des données. Cela ne concerne pas uniquement les documents papier ou les disques durs, mais l’ensemble de votre patrimoine numérique, y compris le stockage cloud, les sauvegardes, les données applicatives et les fournisseurs tiers.

Du chaos à la maîtrise : mettre en place un programme d’élimination piloté par la politique

La première étape pour désamorcer la bombe du cimetière des données consiste à établir un cadre clair et faisant autorité. Un programme d’élimination robuste ne commence pas par des destructeurs de documents ou des démagnétiseurs, mais par une politique bien définie. Ce document sert de source unique de vérité pour l’ensemble de l’organisation, en alignant les équipes métier, juridiques et informatiques sur la manière dont les données sont gérées et détruites.

La Politique de conservation et d’élimination des données de Clarysec fournit un modèle à cet effet. L’un de ses objectifs fondamentaux est clairement énoncé à la clause 3.1 de la politique :

« Garantir que les données ne sont conservées que pendant la durée légalement, contractuellement ou opérationnellement nécessaire, et qu’elles sont éliminées de manière sécurisée lorsqu’elles ne sont plus nécessaires. »

Cette déclaration simple fait évoluer la posture de l’organisation de « tout conserver » vers « conserver ce qui est nécessaire ». La politique établit un processus formel, garantissant que les décisions ne sont pas arbitraires mais rattachées à des obligations concrètes. Comme le souligne la clause 1.2 de la Politique de conservation et d’élimination des données, elle est conçue pour soutenir la mise en œuvre d’ISO/IEC 27001:2022 en imposant un contrôle de la durée de conservation des données et en garantissant la préparation aux audits et aux inspections réglementaires.

Pour les plus petites organisations, une politique d’entreprise lourde peut être disproportionnée. La Politique de conservation et d’élimination des données - PME offre une alternative allégée, axée sur l’essentiel, comme indiqué à la clause 1.1 de la politique :

« L’objet de cette politique est de définir des règles obligatoires pour la conservation et l’élimination sécurisée de l’information dans un environnement de PME. Elle garantit que les enregistrements ne sont conservés que pendant la durée requise par la loi, une obligation contractuelle ou une nécessité métier, puis détruits de manière sécurisée. »

Qu’il s’agisse d’une grande organisation ou d’une PME, la politique constitue la pierre angulaire. Elle confère l’autorité nécessaire pour agir et fournit le cadre garantissant que les actions sont cohérentes, défendables et alignées sur les bonnes pratiques de sécurité.

Exécuter le plan : les mesures ISO/IEC 27001:2022 en pratique

Une fois la politique en place, Maria peut traduire ses principes en actions concrètes, guidée par les mesures d’ISO/IEC 27001:2022. Deux mesures sont ici essentielles :

• Mesure 8.10 Suppression de l’information : elle exige que « les informations stockées dans les systèmes d’information, les équipements ou tout autre support de stockage soient supprimées lorsqu’elles ne sont plus nécessaires ».
• Mesure 7.14 Élimination ou réutilisation sécurisée des équipements : elle porte sur le matériel physique, en garantissant que les supports de stockage sont correctement assainis avant que l’équipement ne soit éliminé, réaffecté ou vendu.

Mais que signifie réellement « supprimé de manière sécurisée » ? C’est ici que les auditeurs distinguent les programmes matures des dispositifs de façade. Selon le Zenith Blueprint, une véritable suppression va bien au-delà du déplacement d’un fichier vers la corbeille. Elle implique des méthodes rendant les données irrécupérables :

Pour les systèmes numériques, la suppression doit signifier un effacement sécurisé, et non simplement appuyer sur « supprimer » ou vider la corbeille. Une véritable suppression inclut :
✓ l’écrasement des données (par exemple au moyen des méthodes DoD 5220.22-M ou NIST 800-88),
✓ l’effacement cryptographique (par exemple la destruction des clés de chiffrement utilisées pour protéger les données),
✓ ou l’utilisation d’outils d’effacement sécurisé avant la mise hors service des équipements.

Pour les enregistrements physiques, le Zenith Blueprint recommande le déchiquetage à coupe croisée, l’incinération ou le recours à des services d’élimination certifiés. Ces recommandations opérationnelles aident les organisations à passer de la politique à la procédure, en définissant les étapes techniques exactes nécessaires pour atteindre l’objectif de la mesure.

Une vision globale : le maillage de sécurité interdépendant de l’élimination

Traiter le cimetière des données n’est pas une tâche isolée. Une élimination efficace des données est étroitement liée à d’autres domaines de sécurité. C’est là qu’une vision globale, telle que celle fournie par le Zenith Controls : guide de conformité croisée de Clarysec, devient indispensable. Il agit comme une boussole, montrant comment une mesure dépend de nombreuses autres pour fonctionner efficacement.

Examinons la Mesure 7.14 (élimination ou réutilisation sécurisée des équipements) sous cet angle. Le guide Zenith Controls montre qu’il ne s’agit pas d’une activité isolée. Son efficacité dépend d’un ensemble de mesures associées :

• 5.9 Inventaire des actifs : vous ne pouvez pas éliminer de manière sécurisée ce dont vous ignorez l’existence. La première étape de Maria doit être d’inventorier chaque serveur, ordinateur portable et bande présents dans cette salle de stockage. Un inventaire des actifs exact en constitue le fondement.
• 5.12 Classification de l’information : la méthode d’élimination dépend de la sensibilité des données. Vous devez savoir ce que vous détruisez pour choisir le niveau d’assainissement approprié.
• 5.34 Protection de la vie privée et des informations à caractère personnel : les équipements contiennent souvent des données à caractère personnel. Le processus d’élimination doit garantir que toutes les informations à caractère personnel sont détruites de manière irréversible, en lien direct avec les obligations de protection de la vie privée prévues par des réglementations comme GDPR.
• 8.10 Suppression de l’information : cette mesure définit le « quoi » (supprimer l’information lorsqu’elle n’est plus nécessaire), tandis que 7.14 définit le « comment » pour les supports physiques sous-jacents. Elles sont les deux faces d’une même exigence.
• 5.37 Procédures opérationnelles documentées : l’élimination sécurisée doit suivre un processus défini et répétable afin de garantir la cohérence et de créer une piste d’audit. Les éliminations ad hoc constituent un signal d’alerte pour tout auditeur.

Cette interdépendance montre qu’un programme de sécurité mature traite l’élimination des données non comme une opération de nettoyage, mais comme une composante intégrée de son système de management de la sécurité de l’information (SMSI).

Analyse technique : assainissement des supports et normes d’appui

Pour mettre en œuvre efficacement ces mesures, il est essentiel de comprendre les différents niveaux d’assainissement des supports, tels que décrits dans des référentiels comme NIST SP 800-88. Ces méthodes offrent une approche par niveaux afin de garantir que les données sont irrécupérables, en fonction de leur sensibilité.

Le choix de la bonne méthode dépend de la classification des données. Les orientations issues de normes spécialisées sont ici précieuses. Un programme robuste s’appuie sur un large ensemble de référentiels complémentaires au-delà d’ISO/IEC 27001:2022.

L’auditeur arrive : comment prouver que votre processus fonctionne

Réussir un audit ne consiste pas seulement à faire ce qu’il faut ; il faut aussi prouver que cela a été fait. Pour Maria, cela signifie documenter chaque étape du processus d’élimination des actifs de son cimetière des données. Le Zenith Blueprint fournit une liste de contrôle claire de ce que les auditeurs exigeront pour la Mesure 8.10 (suppression de l’information) :

« Fournissez votre Politique de suppression de l’information… Démontrez la mise en application technique au moyen de paramètres de conservation configurés dans vos systèmes métier… Ils peuvent demander des éléments de preuve des méthodes de suppression sécurisée : effacement des disques avec des outils approuvés… ou élimination sécurisée de documents. Si vous supprimez des données à l’expiration d’un contrat… présentez la piste d’audit ou le ticket le confirmant. »

Pour satisfaire les auditeurs, vous devez constituer un dossier d’éléments de preuve complet pour chaque événement d’élimination. Un registre de suppression des données est essentiel.

Exemple de tableau de piste d’audit

Les auditeurs abordent ce sujet selon différentes perspectives. Le guide Zenith Controls détaille la manière dont divers référentiels d’audit examinent le processus :

Écueils fréquents et moyens de les éviter

Même lorsqu’une politique est en place, de nombreuses organisations échouent lors de l’exécution. Voici des écueils fréquents et la manière dont une approche structurée permet de les traiter :

Conclusion : transformer votre cimetière des données en avantage stratégique

Six semaines plus tard, Maria présenta à l’auditeur GDPR les travaux de son équipe. La salle de stockage était vide. À sa place, une archive numérique contenait un enregistrement minutieux pour chaque actif mis hors service : journaux d’inventaire, rapports de classification des données, procédures d’assainissement et certificats de destruction signés. Ce qui était autrefois une source d’anxiété était devenu une démonstration de maturité en gestion des risques.

Le cimetière des données est le symptôme d’une culture de sécurité réactive. Le transformer exige une approche proactive, pilotée par la politique. Il impose de considérer l’élimination des données non comme une corvée de nettoyage informatique, mais comme une fonction stratégique de sécurité qui réduit le risque, garantit la conformité et démontre un engagement en faveur de la protection des informations sensibles.

Prêt à traiter votre propre cimetière des données ? Commencez par établir les fondations d’une approche résiliente et fondée sur les éléments de preuve pour la gestion du cycle de vie de l’information.

Prochaines étapes opérationnelles :

1. Établir les fondations : mettez en œuvre une politique claire et obligatoire à l’aide des modèles de Clarysec, tels que la Politique de conservation et d’élimination des données ou la Politique de conservation et d’élimination des données - PME.
2. Cartographier votre périmètre : créez et maintenez un inventaire complet de tous les actifs informationnels. Vous ne pouvez pas éliminer ce dont vous ignorez l’existence.
3. Définir et appliquer la conservation : établissez un calendrier de conservation formel reliant chaque type de données à une exigence légale, contractuelle ou métier, puis automatisez son application.
4. Opérationnaliser l’élimination sécurisée : intégrez les procédures de suppression sécurisée et d’assainissement dans vos procédures opérationnelles standard de mise hors service des actifs informatiques.
5. Tout documenter : créez et maintenez une piste prête pour audit pour chaque action d’élimination, incluant journaux, tickets et certificats de tiers.
6. Étendre l’exigence à votre chaîne d’approvisionnement : assurez-vous que vos contrats avec les fournisseurs cloud et autres fournisseurs incluent des exigences strictes d’élimination sécurisée des données et exigent une preuve de conformité.

Chaque octet de données inutile est un risque. Reprenez le contrôle, renforcez votre conformité, simplifiez les audits et réduisez l’exposition en cas de violation.

Contactez-nous pour une démonstration ou explorez l’intégralité des bibliothèques Zenith Blueprint et Zenith Controls afin de commencer votre parcours.