Norme NIST 800-88 : clear, purge et destroy expliquésNIST 800-88 standard: clear, purge and destroy explained

Publié par le NIST, le guide SP 800-88 Rev.1 sert de référence internationale pour décider comment retirer les données d'un support avant réaffectation, revente ou destruction. Il ne se réduit pas à une méthode d'écrasement : il propose un raisonnement fondé sur la sensibilité des données, la destination du matériel et le niveau de garantie attendu par l'organisation.Published by NIST, the SP 800-88 Rev.1 guideline is the international reference for deciding how to remove data from a storage device before reassignment, resale or destruction. It is not a single overwrite recipe: it sets out a reasoning based on data sensitivity, the destination of the hardware and the level of assurance the organisation expects.

Les trois niveaux d'assainissementThe three sanitization levels

Le guide distingue trois niveaux. Clear applique un écrasement logique par les interfaces standard du support : il protège contre une récupération par outil logiciel courant. Purge emploie des techniques qui rendent la récupération infaisable même avec des moyens de laboratoire : commandes de sanitize implémentées dans le firmware, effacement cryptographique, ou dégaussage sur support magnétique. Destroy rend le support définitivement inutilisable par voie physique. Les trois niveaux sont légitimes ; ils répondent simplement à des exigences de garantie différentes.The guideline distinguishes three levels. Clear applies a logical overwrite through the standard interfaces of the device: it protects against recovery with common software tools. Purge uses techniques that make recovery infeasible even with laboratory means: firmware sanitize commands, cryptographic erase, or degaussing on magnetic media. Destroy renders the device permanently unusable by physical means. All three levels are legitimate; they simply answer different assurance requirements.

Clear : écrasement logique via les interfaces normales du support

Purge : sanitize firmware, effacement cryptographique, dégaussage magnétique

Destroy : broyage, déchiquetage, désintégration du support

Le niveau se choisit, il ne se subit pas : la décision doit être motivée

Clear: logical overwrite through the standard device interfaces

Purge: firmware sanitize, cryptographic erase, magnetic degaussing

Destroy: shredding, disintegration or pulverising of the media

The level is a decision, not a default: it must be justified

Choisir le niveau selon le risque et la destination du matérielChoosing the level by risk and hardware destination

Le raisonnement croise deux axes : la sensibilité de l'information et le devenir du support. Un poste réaffecté au sein du même périmètre de confiance justifie souvent un clear. Dès que le matériel sort de l'organisation, revente, don, reprise fournisseur ou recyclage, le niveau purge devient la référence raisonnable. Les données à très fort impact, ou les supports défaillants sur lesquels aucune commande d'assainissement ne peut être validée, orientent vers destroy. La décision se documente et se fait valider par le propriétaire métier de la donnée.The reasoning crosses two axes: the sensitivity of the information and the fate of the device. A workstation reassigned within the same trust boundary often justifies a clear. As soon as the hardware leaves the organisation, through resale, donation, vendor buy-back or recycling, purge becomes the reasonable baseline. Very high impact data, or failing devices on which no sanitization command can be validated, point towards destroy. The decision should be documented and endorsed by the business owner of the data.

Réaffectation interne, périmètre de confiance inchangé : clear souvent suffisant

Sortie du parc vers un tiers : purge comme niveau de référence

Impact très élevé ou support illisible : destruction physique

Formaliser la matrice de décision dans la politique de fin de vie du matériel

Internal reassignment, unchanged trust boundary: clear is often enough

Hardware leaving the estate to a third party: purge as the baseline

Very high impact or unreadable media: physical destruction

Formalise the decision matrix in the hardware end-of-life policy

Vérifier et prouver : le point souvent négligéVerify and prove: the frequently overlooked step

Le guide insiste autant sur la vérification que sur la méthode. Un assainissement non vérifié n'apporte aucune garantie : il faut contrôler que la commande a bien abouti, relire des zones du support, et valider l'outil employé. La traçabilité complète la démarche avec l'identifiant unique du support, la méthode appliquée, l'opérateur, la date et le résultat. Sans cette preuve, l'organisation ne peut rien démontrer à un auditeur ni à une autorité. C'est exactement ce que S2I Consulting produit avec un certificat d'effacement par support, opposable et archivable.The guideline puts as much weight on verification as on the method itself. Unverified sanitization provides no assurance: the operation must be confirmed as completed, sample areas re-read, and the tool itself validated. Traceability completes the approach with the unique device identifier, the method applied, the operator, the date and the outcome. Without that evidence, the organisation can demonstrate nothing to an auditor or an authority. This is precisely what S2I Consulting delivers, with a per-device erasure certificate that can be archived and produced on request.

Vérifier le succès de l'opération, pas seulement la lancer

Consigner numéro de série, méthode, opérateur, date, résultat

Archiver les preuves aussi longtemps que le registre de traitement l'exige

S2I fournit un certificat par support, aligné sur les niveaux du guide

Verify that the operation succeeded, not merely that it was launched

Record serial number, method, operator, date and outcome

Retain evidence as long as the processing records require

S2I issues a per-device certificate aligned with the guideline levels

Repères de configurationConfiguration guidance

RéférentielReferenceNIST SP 800-88 Rev.1

NiveauxLevelsClear / Purge / Destroy

Critère de choixSelection driverSensibilité + destination / sensitivity + destination

Purge sur SSDPurge on SSDSanitize firmware, crypto-erase

Purge sur disque magnétiquePurge on magnetic diskOverwrite, sanitize, dégaussage

Exigence transverseCross-cutting requirementVérification + traçabilité

Livrable S2IS2I deliverableCertificat par support / per-device certificate

Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).

Questions fréquentesFrequently asked questions

Faut-il vraiment réécrire plusieurs fois un disque ?Do you really need to overwrite a disk several times?

Sur les supports magnétiques modernes, la multiplication des passes n'apporte pas de garantie supplémentaire mesurable par rapport à une passe correctement vérifiée. L'effort doit porter sur la validation du résultat et la traçabilité plutôt que sur le nombre de passes. Sur mémoire flash, cette logique héritée est de toute façon inadaptée.On modern magnetic media, multiplying passes brings no measurable additional assurance compared with a single, properly verified pass. Effort is better spent on validating the result and on traceability than on the number of passes. On flash memory this inherited logic is unsuitable in any case.

Le formatage rapide suffit-il ?Is a quick format enough?

Non. Un formatage rapide réinitialise les structures de fichiers mais laisse les blocs de données en place et récupérables avec des outils grand public. Il ne correspond à aucun des trois niveaux du guide et ne doit pas être présenté comme un effacement sécurisé.No. A quick format resets file system structures but leaves data blocks in place and recoverable with consumer tools. It matches none of the three levels of the guideline and should never be presented as secure erasure.

Ce guide est américain : est-il pertinent en Europe ?The guideline is American: is it relevant in Europe?

Il n'a pas de valeur réglementaire en Europe, mais il constitue un état de l'art technique largement reconnu. Il s'articule bien avec une démarche RGPD, qui exige des mesures appropriées sans imposer de méthode. Pour l'interprétation juridique de vos obligations, faites valider votre politique par un conseil compétent.It carries no regulatory force in Europe, but it is a widely recognised technical state of the art. It fits well with a GDPR approach, which requires appropriate measures without prescribing a method. For the legal interpretation of your obligations, have your policy reviewed by qualified counsel.

Un besoin précis à chiffrer ?A specific need to quote?

Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.

Parler à un expertTalk to an expert Voir nos expertisesSee our expertise