Processus de mise au rebut IT : ITAD et effacement
Le processus de mise au rebut IT est la séquence qui mène un ordinateur portable, un serveur ou un disque retire du service jusqu'à la preuve vérifiée que ses données ont disparu et que le matériel a quitté les locaux par un circuit traçable, pas un tiroir de bureau ou une benne. Deux choses doivent se produire avant qu'un appareil ne disparaisse du registre : son stockage est assaini selon une norme documentée, et le prestataire ou recycleur qui l'a récupéré émet un certificat nommant le numéro de série de l'appareil. Une mise au rebut qui saute l'une des deux étapes laisse l'entreprise devoir répondre, des mois plus tard, de données dont personne ne peut prouver la destruction.
- Le processus de mise au rebut IT n'est terminé que lorsque deux éléments existent : un enregistrement d'effacement des données et un certificat nommant le numéro de série de l'appareil.
- La norme NIST SP 800-88 définit les méthodes d'effacement, Clear, Purge et Destroy, et laquelle convient selon le type de support et le niveau de risque.
- Un appareil qui quitte les locaux sans certificat d'effacement est un risque qui survit au matériel lui-même, quel que soit celui qui l'a emporté.
- Les prestataires ITAD sérieux détiennent une certification R2 ou e-Stewards et émettent un certificat par appareil, pas une déclaration générale pour un lot entier.
- Dans InventorIA, un actif passe dans son cycle de vie par « Retiré » puis « Mis au rebut », et le certificat de mise au rebut peut être joint comme document à la même fiche d'actif.
Qu'est-ce que le processus de mise au rebut IT ?
Le processus de mise au rebut IT est la dernière étape du même cycle de vie suivi depuis le jour de l'achat d'un appareil, selon la même politique décrite dans la gestion du cycle de vie matériel et le cycle de remplacement qui programme quand un appareil part à la retraite. Il couvre trois étapes dans l'ordre : retirer l'appareil du service actif, assainir ou détruire le stockage qu'il portait, et enregistrer la preuve de l'effacement et de la mise au rebut physique sur le même identifiant d'actif déjà utilisé pour son numéro de série et sa date d'achat.
ITAD, la mise au rebut des actifs IT, désigne la pratique plus large, généralement confiée à un prestataire spécialisé qui prend possession physique du matériel retire, assainit ou détruit son stockage, puis revend, recycle ou détruit ce qui reste. Le processus n'est complet que lorsque le certificat de ce prestataire revient sur la même fiche que celle qui a suivi l'appareil toute sa vie, pas dans un PDF séparé classé et oublié.
Qui doit gérer l'ITAD : en interne ou via un prestataire ?
Assainir en interne une poignée d'ordinateurs par an fonctionne si quelqu'un en est responsable de bout en bout et que chaque appareil reçoit un effacement enregistré et vérifiable. Au-delà de quelques dizaines d'appareils par an, ou dès lors qu'il s'agit de serveurs, de disques contenant des données réglementées, ou de matériel destiné à la revente, un prestataire ITAD certifié vaut son coût : les sérieux détiennent une certification R2v3 ou e-Stewards, toutes deux exigeant une chaîne de traçabilité auditable et un rapport par appareil plutôt qu'une seule déclaration couvrant un camion entier. Dans les deux cas, cela ne fonctionne que si le résultat, journal interne ou certificat du prestataire, atterrit sur la même ligne d'actif que tout ce qui est déjà suivi pour cet appareil.
Comment assainir les données avant la mise au rebut ?
La norme NIST SP 800-88 définit trois méthodes d'effacement, et la bonne dépend de la destination de l'appareil, pas de l'habitude :
| Méthode | Ce qu'elle fait | Quand l'utiliser |
|---|---|---|
| Clear | Écrase les données avec des commandes de lecture et d'écriture standard, bloquant les outils de récupération simples | Appareils réaffectés en interne à un niveau de sensibilité faible |
| Purge | Utilise des techniques comme l'effacement cryptographique ou la commande d'effacement sécurisé intégrée au disque, résistante aux récupérations avancées | Appareils revendus, donnés ou quittant le contrôle de l'entreprise |
| Destroy | Broie, désintègre ou incinère physiquement le support pour qu'il ne puisse plus jamais servir | Disques ayant contenu des données fortement réglementées, ou tout disque qui échoue à la purge |
Que doit contenir un certificat d'effacement de données ?
Un certificat qu'on ne peut pas rattacher à un appareil précis ne prouve rien. Il doit nommer le numéro de série ou l'étiquette d'actif de l'appareil, la méthode d'effacement utilisée et la norme suivie, comme NIST SP 800-88, la date de l'intervention, et le nom et les qualifications du prestataire ou du technicien qui l'a réalisée. Lorsque le disque a été physiquement détruit plutôt qu'effacé, le certificat doit le dire explicitement plutôt que d'employer la même formulation qu'un effacement logiciel, car un auditeur ou une autorité de protection des données demandera lequel des deux s'est produit.
Que se passe-t-il en cas de mise au rebut sans certificat ?
L'appareil a disparu, mais pas le risque. Un disque qui quitte les locaux sans effacement vérifié représente fonctionnellement le même risque qu'un ordinateur portable perdu ou volé : personne ne peut prouver ce qu'il est advenu des données qu'il portait, et une violation retracée jusqu'à cet appareil des mois plus tard se solde par un haussement d'épaules au lieu d'un certificat. Le même standard qu'un incident de données confirmé s'applique ici, tel que décrit dans le guide de réponse aux violations de données de la FTC : identifier ce que l'appareil contenait, quand il est parti, et si sa mise au rebut peut être documentée du tout. Un auditeur ISO 27001 demandera exactement cette preuve, par numéro de série, pas une déclaration générale sur le recyclage responsable du vieux matériel.
Donner, revendre ou détruire : comment décider ?
La décision découle de la méthode d'effacement que les données justifiaient, pas l'inverse. Un appareil qui ne nécessitait qu'un effacement de niveau purge, sans données réglementées ni enjeu de valeur résiduelle, est candidat à la revente ou au don une fois cet effacement certifié ; un prestataire ITAD certifié paiera généralement plus pour du matériel revendable qu'un recycleur de rebut, ce qui compense une partie du coût de mise au rebut. Un appareil ayant nécessite une destruction physique n'a aucune voie de revente, quel que soit son état. Le recyclage reste important même pour un support détruit : l'EPA note que recycler un million d'ordinateurs portables économise assez d'énergie pour alimenter plus de 3 500 foyers pendant un an, une raison d'orienter le matériel broyé vers un recycleur certifié plutôt que les déchets ordinaires, pas une raison de sauter d'abord l'étape de destruction.
Comment mettre en place un processus de mise au rebut en une semaine ?
Un processus fonctionnel n'exige pas de nouvelle relation prestataire si le registre d'actifs suit déjà le cycle de vie et la garantie, seulement ces étapes :
- Définir une méthode d'effacement, Clear, Purge ou Destroy, pour chaque niveau de sensibilité des données réellement portées par vos appareils, selon la norme NIST SP 800-88
- Choisir un prestataire ITAD certifié, R2v3 ou e-Stewards, ou confirmer qu'un processus interne enregistre un effacement vérifiable par appareil
- Exiger un certificat nommant le numéro de série, la méthode, la date et le technicien pour chaque appareil mis au rebut, sans exception pour les petits lots
- Rattacher le certificat à la même fiche d'actif que la date d'achat, la garantie et le numéro de série de l'appareil, puis marquer la fiche comme retirée plutôt que de la supprimer
- Revoir trimestriellement les fiches retirées pour confirmer que chaque appareil programme pour mise au rebut ce trimestre-là dispose bien d'un certificat
Questions fréquentes
Qu'est-ce que la mise au rebut IT (ITAD) ?
L'ITAD est le processus d'effacement ou de destruction des données d'un matériel retire et de sa mise au rebut par un circuit traçable et certifié, se terminant par un certificat rattaché au numéro de série de l'appareil.
Suffit-il de supprimer les fichiers avant de mettre au rebut un ordinateur portable ?
Non. Supprimer des fichiers retire le pointeur vers les données, pas les données elles-mêmes. Une méthode d'effacement documentée, Clear, Purge ou Destroy selon une norme comme NIST SP 800-88, est ce qui empêche réellement la récupération.
Qu'est-ce qu'un certificat de destruction de données ?
Un document nommant le numéro de série de l'appareil, la méthode d'effacement ou de destruction utilisée, la date, et le prestataire ou technicien responsable, servant de preuve que les données ne peuvent pas être récupérées.
Faut-il une certification R2 ou e-Stewards de notre prestataire ?
Au-delà d'une poignée d'appareils par an, oui. Les deux certifications exigent une chaîne de traçabilité auditable et un rapport par appareil plutôt qu'une déclaration générale pour un lot.
Que devient la fiche d'actif d'un appareil mis au rebut ?
Elle devrait être marquée comme retirée avec le certificat de mise au rebut rattaché, pas supprimée, pour que l'historique complet de l'achat à la mise au rebut reste consultable lors d'un audit.
Clôturez le dossier à la mise au rebut d'un appareil
Rattachez le certificat de mise au rebut à la même fiche que le numéro de série, avec un compte gratuit à essayer sur <a href="https://inventoria-app.com/signup">inventoria-app.com/signup</a>.
Essayer la démo →