Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Les risques liés à l’absence de destruction des disques durs avant leur élimination

Recommendations Par Eric Rousseau · 4 Décembre 2022 · Mis à jour le 31 octobre 2026 · 8 min de lecture
Disque dur ouvert frappé par un marteau
En bref

Détruisez physiquement vos disques durs avant de les jeter pour empêcher la récupération de données sensibles.

Jeter, vendre ou donner un ordinateur sans avoir nettoyé ou détruit son disque dur, c’est remettre à un inconnu tout ce qu’il contenait : fiches des enfants, relevés fiscaux, photos, mots de passe enregistrés dans le navigateur. Supprimer les fichiers, vider la corbeille ou même reformater ne retire pas les données ; des logiciels gratuits les récupèrent en quelques minutes. Le Centre canadien pour la cybersécurité décrit deux voies acceptables : nettoyer le support de façon vérifiable, ou le détruire physiquement avec un équipement approuvé. Pour un service de garde, c’est aussi une obligation de la Loi 25.

Disque dur ouvert montrant le plateau magnétique et la tête de lecture

Tant que le plateau est intact, les données le sont aussi, même après une suppression ou un formatage.

Pourquoi « supprimer » ne supprime rien

Quand vous supprimez un fichier, le système d’exploitation efface seulement son entrée dans l’index du disque ; le contenu reste en place jusqu’à ce qu’un autre fichier vienne l’écraser, ce qui peut prendre des mois. Un logiciel de récupération gratuit, du genre qu’on utilise pour retrouver des photos effacées par erreur, suffit à le faire réapparaître. Le disque d’un poste d’administration qui a servi cinq ans contient donc, en pratique, cinq ans de dossiers d’enfants et de familles.

Le Centre canadien pour la cybersécurité consacre une publication complète à la question, Nettoyage des supports de TI (ITSP.40.006), en vigueur depuis juillet 2017. Elle part d’un constat simple : les données résiduelles laissées sur un appareil en fin de vie peuvent mener à une divulgation non autorisée, et le nettoyage doit être fait avant que le support ne quitte la garde de l’organisation. Le contexte ne pardonne pas : selon Statistique Canada, 16 % des entreprises canadiennes ont subi un incident de cybersécurité en 2023, et leurs dépenses de rétablissement ont doublé en deux ans, de 600 millions à 1,2 milliard de dollars.

Ce que recommande le Centre canadien pour la cybersécurité

La publication distingue deux familles de supports. Pour un disque dur magnétique, un écrasement complet avec un logiciel reconnu suffit : une seule passe pour un disque fabriqué après 2001 ou d’au moins 15 Go, trois passes pour les plus vieux. La démagnétisation fonctionne aussi, mais elle rend un disque moderne inutilisable, et elle n’a aucun effet sur la mémoire flash.

Pour un SSD, une clé USB, une carte SD ou un téléphone, l’écrasement n’est pas fiable, parce que la mémoire flash répartit l’usure et met de côté des blocs qui peuvent encore contenir des données lisibles. La méthode privilégiée est l’effacement cryptographique : si l’appareil était chiffré dès le départ, détruire la clé de chiffrement rend tout son contenu illisible en quelques secondes. Le Centre recommande d’ailleurs de chiffrer les supports pendant tout leur cycle de vie justement pour simplifier leur fin de vie.

Quand le support quitte définitivement l’organisation, la destruction physique s’ajoute au nettoyage : déchiquetage, désintégration, pulvérisation ou incinération, avec un équipement approuvé par la GRC. Les particules doivent mesurer moins de 40 mm² pour des données de sensibilité moyenne, moins de 10 mm² pour les données sensibles. Percer ou marteler un disque dans le stationnement le rend inutilisable, mais ne respecte pas cette norme. La publication demande enfin de vérifier le nettoyage avec un outil différent de celui qui l’a fait, de tenir un registre chronologique de chaque support, et d’exiger par contrat un certificat de destruction de tout fournisseur externe.

Ce que la Loi 25 attend de vous

La Commission d’accès à l’information rappelle que les entreprises doivent prévoir, dans leurs politiques de gouvernance, des règles de conservation et de destruction des renseignements personnels, et qu’un renseignement doit être détruit une fois les fins accomplies. Un disque retrouvé chez un revendeur avec des dossiers d’enfants est un incident de confidentialité à inscrire au registre et, s’il présente un risque de préjudice sérieux, à déclarer à la Commission et aux parents. Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les amendes pénales vont de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d’affaires. Déposer un vieil ordinateur dans un point de collecte d’ARPE-Québec, l’organisme reconnu par Recyc-Québec, est le bon geste pour l’environnement, mais le recyclage ne remplace pas le nettoyage : c’est à vous de le faire avant.

Un exemple concret dans une garderie

Imaginons une garderie de 60 places à Trois-Rivières qui renouvelle ses trois ordinateurs. Le technicien emporte les anciens « pour le recyclage » et les revend à un commerce d’occasion. Le disque du poste de la direction contient six ans de fiches d’inscription, les relevés fiscaux de 120 familles, des photos d’enfants et les mots de passe enregistrés dans le navigateur. L’acheteur, curieux, lance un logiciel de récupération gratuit et retrouve le tout en vingt minutes. La direction l’apprend quand un parent reçoit un message étrange qui cite le nom de son enfant. Dans la version corrigée, la garderie a une procédure d’une page : le chiffrement est activé sur chaque poste dès l’achat, l’adjointe lance un écrasement complet suivi d’une vérification, les disques sont retirés et envoyés à un service de destruction qui fournit un certificat, et chaque étape est notée dans le registre avec le numéro de série. Coût : le logiciel d’écrasement est gratuit, et la destruction certifiée coûte généralement quelques dollars à quelques dizaines de dollars par disque selon les tarifs affichés.

Ce que ça change pour votre service de garde

  1. Faites l’inventaire de tous vos supports de données. Ordinateurs, portables, disques externes de sauvegarde, clés USB, cartes SD des appareils photo, téléphones du milieu, et l’imprimante multifonction, qui a souvent un disque interne. Une feuille de calcul avec le numéro de série de chacun. Une heure.
  2. Activez le chiffrement sur tout, dès maintenant. BitLocker sur Windows Pro, FileVault sur Mac, chiffrement par défaut sur les téléphones récents, disques externes chiffrés. Inclus dans les systèmes, dix minutes par appareil. C’est ce qui rend l’effacement cryptographique possible le jour venu.
  3. Écrivez une procédure de fin de vie d’une page. Quelle méthode pour quel type de support, qui la fait, comment on vérifie, où on note. Intégrez-la à votre politique de gouvernance exigée par la Loi 25. Une demi-journée.
  4. Nettoyez avant de réutiliser. Disque magnétique : écrasement complet avec un outil reconnu, une passe, puis vérification avec un autre outil. SSD ou téléphone : effacement cryptographique, par la réinitialisation d’usine sur un appareil chiffré ou l’utilitaire du fabricant. Une à trois heures par disque, sans frais.
  5. Détruisez ce qui part. Retirez le disque de tout appareil vendu, donné ou recyclé et confiez-le à un fournisseur de destruction qui fournit un certificat et utilise un équipement conforme au guide de la GRC. La carcasse va ensuite au point de dépôt d’ARPE-Québec. Quelques dollars à quelques dizaines de dollars par disque.
  6. Encadrez le technicien et le fournisseur de photocopieur. Une clause dans le contrat : aucun appareil ne quitte le milieu sans nettoyage documenté ou certificat de destruction, y compris le disque du multifonction à la fin de la location. Trente minutes.
  7. Tenez le registre. Date, appareil, numéro de série, méthode, personne responsable, certificat classé. Cinq minutes par appareil, et la preuve dont vous aurez besoin si la Commission ou un parent pose la question.

Sources

Foire aux questions

Est-ce que supprimer un fichier efface vraiment les données du disque dur ?

Non, un pirate expérimenté peut récupérer des fichiers supprimés avec les bons outils. La suppression simple ne garantit pas l’effacement total des informations.

Comment détruire correctement les données d’un disque dur ?

Pour un disque dur magnétique, un écrasement complet avec un logiciel reconnu suffit (une seule passe pour un disque récent, selon le Centre canadien pour la cybersécurité), sinon la démagnétisation ou le broyage certifié. Pour un SSD ou une clé USB, privilégiez l’effacement cryptographique ou la destruction. Percer les plateaux rend le disque inutilisable, mais n’atteint pas la norme.

Quels risques courez-vous en jetant un ordinateur sans détruire le disque ?

Vous exposez des dossiers financiers, des mots de passe et des photos sensibles. Cela peut mener à une usurpation d’identité ou à des attaques sur votre réseau.

À lire aussi

Étiqueté , ,