Comment déchiquette-t-on exactement un disque dur ?

Jeter un disque dur réformé à la poubelle, ce n'est pas une destruction. C'est une fuite de données à retardement. L'effacement logiciel aide parfois, mais pour les disques qui quittent l'organisation, la destruction physique est la seule voie qu'un auditeur accepte sans discussion. Que se passe-t-il donc exactement dans un tel broyeur ? Dans cet article, nous parcourons l'ensemble du processus, de la réception au certificat.

Pourquoi l'« effacement » ne suffit pas toujours

L'effacement logiciel, même selon la NIST 800-88, exige que le disque soit fonctionnel et qu'il exécute la commande. Les disques défectueux, les disques avec des secteurs défaillants ou des puces mémoire qui ne répondent plus ne peuvent pas être écrasés de façon fiable. De plus, la distinction juridique entre effacement et destruction compte, car le RGPD exige des « mesures techniques appropriées » et, pour le matériel réformé, celles-ci se situent généralement du côté physique du spectre.

Le processus de déchiquetage étape par étape

1. Réception et enregistrement. Chaque disque est scanné par numéro de série ou étiquette d'inventaire et ajouté à la liste d'inventaire. C'est le début de la chaîne de traçabilité.
2. Préparation. Les disques sont sortis des éventuels berceaux ou châssis d'ordinateur portable. Pour les SSD, le boîtier est généralement ouvert afin que les puces NAND entrent visibles dans l'alimentation.
3. Alimentation dans le broyeur. Le disque arrive sur un tapis roulant vers la chambre de coupe. Les broyeurs de disques durs industriels fonctionnent avec de lourds arbres contrarotatifs munis de lames trempées.
4. Coupe. Les lames ouvrent le boîtier, brisent les plateaux en morceaux et les déchiquettent en particules. Le revêtement magnétique éclate en fragments dont même un laboratoire spécialisé ne peut récupérer aucune trace cohérente.
5. Sortie et pesée. Le résidu tombe dans un conteneur scellé. Le certificat est établi au poids ou au nombre d'unités.

Quelle taille de particules est sûre ?

La norme DIN 66399 dispose de sa propre échelle H pour les disques durs. Pour des données d'entreprise sensibles en matière de vie privée, on aboutit généralement au H-4 ou H-5 :

• H-3 : particules jusqu'à 320 mm². Convient aux données d'entreprise générales sans catégories particulières de données personnelles.
• H-4 : particules jusqu'à 30 mm². Niveau pour l'administration clients, les données RH et les données financières.
• H-5 : particules jusqu'à 5 mm². Pour les catégories particulières de données personnelles, les dossiers médicaux et les domaines soumis au secret professionnel.
• H-6 / H-7 : 0,5 et 0,2 mm². Niveau défense et renseignement. En pratique, rarement exigé pour les clients commerciaux.

Règle empirique : le H-4 suffit pour la plupart des PME. Le H-5 si vous travaillez avec des données médicales, juridiques ou financièrement sensibles.

Les SSD demandent une autre lame

Un SSD ne contient pas de plateaux mais des puces NAND de la taille d'un timbre-poste. Un broyeur de disques durs visant le H-4 pour les disques rotatifs peut laisser passer une puce NAND entière intacte par la sortie. Pour le stockage flash, la taille des particules doit donc être nettement plus petite que la puce elle-même. C'est pourquoi la classification E de la DIN 66399 pour les composants électroniques descend sous les 5 mm. Lisez notre article sur la destruction des SSD pour les détails.

Mobile ou hors site ?

Nous réalisons le déchiquetage sur place, dans le camion. Cela évite une étape de transport pendant laquelle les disques sont encore hors de votre vue en déplacement. Les clients qui pratiquent l'élimination de leurs actifs IT trouvent le mobile attrayant, car ils peuvent vérifier visuellement la destruction et signer sur-le-champ la liste des numéros de série. Un spécialiste hors site avec un débit plus élevé peut revenir moins cher pour des centaines de disques d'un coup. Pour les lots plus petits avec des exigences d'audit, le mobile a notre préférence.

Que recevez-vous ensuite ?

Un certificat de destruction n'est pas une formalité. C'est votre preuve envers l'AP et l'expert-comptable. Il mentionne au minimum la date, le lieu, la quantité, les numéros de série (lorsqu'ils sont connus), la méthode utilisée et la classification DIN. Conservez-le au moins cinq ans dans votre registre des traitements. Les différences entre prestataires et ce qui distingue un bon certificat d'un autocollant vide se trouvent dans notre guide sur le certificat de destruction.

Vous ne savez pas quel niveau DIN votre organisation requiert ? Appelez-nous ou demandez un devis via desnipperaar.nl. Nous examinons votre inventaire gratuitement et conseillons un niveau proportionné.