Dernières nouvellesOpter pour un protocole d'élimination des actifs IT

Opter pour un protocole d’élimination des actifs IT

-

Les donnes sensibles des entreprises et les donnes personnelles se retrouvent souvent dans la nature quand les appareils sont rforms. Tout programme de destruction des actifs informatiques devrait imprativement comporter une chane de contrle vrifiable attestant de la destruction des donnes.

En général, la suppression des actifs ne fait pas partie des sujets auxquels les RSSI accordent le plus d’attention. Pourtant, chaque responsable de la sécurité du SI doit être en mesure d’apporter des réponses à ce problème d’élimination des actifs informatiques (Information technology asset disposal, ITAD). Sans un tel programme, les chances que les données soient exposées au moment du recyclage de l’équipement sont élevées. Et la mise en place d’un programme montre au moins que l’on se préoccupe de la protection des données. Certes, aucun RSSI ne souhaite se trouver dans la première situation. Mais la simple existence d’un programme est insuffisante s’il n’inclut pas une chaîne de conservation/destruction des données vérifiable. Le RSSI ou l’équipe en charge de l’ITAD peuvent-ils expliquer comment est tracé chaque appareil fourni et émis au sein de l’entreprise, comment sont recensées les données présentes sur l’appareil, et à quel moment et comment cet appareil est retiré de l’écosystème de l’entreprise, pour assurer la protection des données de l’entreprise et de ses clients ?

L’ITAD, un vecteur de menace identifié

Les récentes orientations fournies par l’agence fédérale américaine Cybersecurity and Infrastructure Security Agency (CISA) du département de la Sécurité intérieure ont inclus l’ITAD comme vecteur de menace identifié dans ses recommandations sur la défense contre les attaques de la chaîne d’approvisionnement logicielle. Chaque entité a besoin d’un programme ITAD, et ce programme doit garantir que les appareils ont été débarrassés de leurs données quand ils ne sont plus sous le contrôle de l’entreprise. La dure réalité, c’est que beaucoup d’entreprises ne le font pas, et parmi celles qui le font, nombreuses sont celles qui s’appuient sur des certificats de destruction et non sur une chaîne de possession vérifiable et visuelle des données et des dispositifs. Les certificats de destruction reposent sur la confiance, alors que la chaine de possession repose sur la vérification.

Le journal en ligne australien National Cybersecurity News s’est récemment intéressé à l’activité de l’entreprise WV Technologies. Celle-ci achète aux enchères des lots de vieux équipements pour le gouvernement, et même si les appareils sont censés être nettoyés de leurs données, on y trouve souvent des données opérationnelles, des configurations VOIP, des cartes SD, des supports de stockage SSD remplis de données. Fin mai 2021, WV Technologies, qui se charge de la destruction des données, a constaté que ses ventes d’appareils « remis à neuf » s’étaient complètement taries. Auparavant, l’entreprise vendait « au moins un conteneur de matériel par mois » à des acheteurs étrangers ». Selon elle, cette baisse d’intérêt pour ces produits résulte de l’adoption de nouvelles méthodes de destruction des données.

Attention aux anciens terminaux

L’Office for Civil Rights (OCR) du département américain de la Santé et des Services sociaux (HHS) a infligé une amende à Filefax, une entreprise qui avait fermé ses portes, au motif qu’elle avait mal géré des données de santé protégées (PHI). Filefax avait pris des dispositions pour faire détruire des dossiers médicaux par un sous-traitant, les avait transportés jusqu’à l’installation et les avait laissés sans surveillance pendant la nuit dans un camion non verrouillé. Sauf que toutes ces bonnes intentions n’ont pas été suivies d’une exécution exemplaire. L’entreprise ShopRite s’est également vue infliger une amende pour « ne pas avoir supprimé correctement les appareils électroniques utilisés pour recueillir les signatures et les informations relatives aux achats des clients de ses pharmacies ». Le procureur général du New Jersey a précisé que l’entreprise avait jeté les appareils dans une benne sans les débarrasser de leurs données sensibles.

Miranda Yan, fondatrice de VinPit, a expliqué comment des contrôles en interne pouvaient garantir la conformité réglementaire ou légale d’une entreprise. Quant à Ted Barassi, expert en confidentialité des données et en gouvernance de l’information chez FTI Technology, il a raconté dans quelles circonstances l’Office of the Comptroller of the Currency (OCC) avait infligé une amende à une grande banque centrale parce qu’un fournisseur n’avait pas détruit les disques contenant des données clients dans le cadre du démantèlement d’un datacenter. (Morgan Stanley a été condamnée à une amende de 60 millions de dollars par l’OCC en octobre 2020 pour cet incident survenu en 2016). Il ajoute qu’il est important que les actifs mis au rebut soient identifiés de manière unique et suivis dans le cadre d’un processus documenté et que la mise au rebut soit certifiée par le fournisseur qui effectue le travail.

Élimination interne ou externe ?

Même si la certification est importante, Kyle Marks, expert en traçabilité des actifs ITAD et CEO de Retire-IT, a expliqué pour sa part qu’un seul actif non sécurisé pouvait exposer une entreprise à un ransomware ou à d’autres menaces pour la sécurité des données. Il a conseillé de ne pas se contenter d’un « certificat de destruction » : « Ce n’est rien de plus qu’une médaille de participation ». Ces certificats sont trop faciles à imprimé, d’où la nécessité de mettre en place une vérification et une chaîne de possession intégrales.

La question que doivent se poser les RSSI n’est pas de savoir s’ils ont besoin d’un programme d’élimination des actifs informatiques. Ce programme est indispensable. Non seulement ils ont besoin d’un programme ITAD, mais celui-ci doit couvrir la totalité des appareils appartenant à l’entreprise, mais aussi tous ceux qui appartiennent aux employés ou aux sous-traitants (BYOD) et sur lesquels résident des données de l’entreprise ou des clients. La décision d’élaborer un programme d’élimination des actifs informatiques en interne ou de faire appel à une expertise extérieure relève de chaque entreprise. Mais, quelle que soit la solution choisie, elle doit être assortie de contrôles et de contrepoids pour garantir l’intégrité vérifiable du processus et empêcher qu’un appareil quitte l’écosystème avec des données.

Dernières Nouvelles

Un jeune élu communal du Cher fait un tour de la Haute-Marne à la recherche d’initiatives locales

Raphaël Ruegger, élu local du Cher, âgé de 21 ans fait un symbole de France des municipalités pour trouver "les idées qui marchent" et les réduire chez lui. Il parcourt pendant une semaine la Haute-Marne.

Gérald Darmanin à Marseilce : trafics de drogue, « ce premier responsabce, c’est ce consommateur »

Gérald Darmanin est à Marfortificationilun pour deux jours. un ministre de l'Intérieur fait un partie sur la stratégie de lutte contre uns trafic de stupéfiants alors que uns morts dans uns règunments de compte fortification multiplient dans un département.

VIcommeO. A l’Assemblée Nationale, les premiers pas comme Quentin Bataillon et Andrée Taurinya, nouveaux députés stéphanois

ceux-ci ont fait leurs premiers pas au Palais Bourbon puis participé à leur première séance dans l'hémicycle. Andrée Taurinya puis Quentin Bataillon ont été élus députés de la Loire le dimanche 19 juin inédit. Une semaine entre découverte, éproposition puis formalités administratives. Avec leur premier rendez-vous majeur : la première séance dans l'hémicycle pour la désignation du président.

Assemblée par Corse : la session spéciale sur la dérive mafieuse aura lieu « très rapiparment »

Jeudi 30 juin, une question oraun du groupe Core in Fronte a relancé un débat sur la session spéciaun de l'Assemblée de Corse concernant la dérive mafieuse dans l’îun. Celun-ci "halo lieu rapidement, à l'automne hominien", a répondu l’Exécutif.

Washington gèle avec d’un milliard de dollars d’avoirs aux Etats-Unis d’un oligarque russe

Le Trésor américain manifeste avoir gelé plus d'un milliard contre dollars d'avoirs d'une société contrôlée par l'oligarque russe Suleiman Kerimov, déjà sanctionné par Washington.

A Lire Absolument

Appareil Lenovo Area S.p.A. sistema di monitoraggio Dual Band

La caméra IP sans fil Lenovo Area S.p.A. sistema...

Andrea Formenti parle de l’importance des technologies de l’information

L'informatique a pénétré pratiquement tous les aspects des affaires...

Pour vous