Un poste de travail verrouillé, un pare-feu à jour, des mots de passe complexes : la plupart des entreprises concentrent leurs efforts de sécurité informatique sur le périmètre numérique. La salle d’archives, elle, reste souvent un angle mort. Des cartons de dossiers clients, d’anciens disques durs de serveurs décommissionnés, des sauvegardes hors ligne oubliées sur une étagère : ces éléments constituent une surface d’exposition bien réelle, exploitable par des attaquants qui ne se limitent plus au réseau.
Intrusion physique en salle d’archives : le scénario que les RSSI sous-estiment
On pense cyberattaque, on visualise un écran noir et une demande de rançon. Le point de départ est parfois beaucoup plus banal : une porte de local secondaire mal fermée.
Des rapports récents de police judiciaire signalent une évolution des modes opératoires de certains groupes criminels. Des intrusions physiques dans des locaux annexes, des entrepôts ou des salles d’archives externalisées servent de préparation à une attaque informatique ultérieure. Les intrus relèvent des identifiants écrits sur des post-it, photographient des schémas réseau affichés au mur, récupèrent des sauvegardes hors ligne. L’intrusion physique précède et facilite l’attaque numérique.
Ce scénario change la donne pour les responsables sécurité. Protéger le système d’information sans sécuriser les locaux qui contiennent des données exploitables revient à verrouiller la porte d’entrée en laissant la fenêtre ouverte.
Lorsqu’on décommissionne un serveur ou qu’on remplace des postes de travail, les disques durs atterrissent souvent dans un carton en salle d’archives, en attente d’une destruction qui tarde. Pendant ce temps, ces supports restent lisibles. Recourir à un destructeur disque dur adapté permet d’éliminer définitivement les données stockées sur ces supports, sans attendre qu’un prestataire externe planifie une collecte plusieurs semaines plus tard.
Archives papier et RGPD : une violation de données comme une autre
On associe le RGPD aux bases de données, aux formulaires en ligne, aux fichiers clients hébergés dans le cloud. La réglementation ne fait pas cette distinction.
Les autorités judiciaires françaises rappellent que la compromission d’archives papier contenant des données personnelles constitue une violation de données au sens du RGPD. Des dossiers médicaux ou sociaux abandonnés dans des locaux non sécurisés déclenchent la même obligation de notification à la CNIL qu’un incident purement informatique.
Un cabinet médical qui stocke des dossiers patients dans un sous-sol accessible au personnel d’entretien s’expose au même risque qu’une clinique victime d’un ransomware. La nature du support (papier, disque, clé USB) ne change rien à la qualification juridique.
Les points de contrôle concrets à vérifier
- Le local d’archives dispose-t-il d’un contrôle d’accès nominatif (badge, clé attribuée et tracée) ou n’importe quel collaborateur peut-il y entrer librement ?
- Les documents contenant des données personnelles sont-ils séparés des archives courantes, avec une durée de conservation définie et respectée ?
- Existe-t-il une procédure de destruction documentée pour les documents arrivés en fin de cycle, qu’ils soient papier ou numériques ?
Sur ce dernier point, les retours varient selon les structures. Certaines entreprises externalisent la destruction, d’autres la gèrent en interne. Ce qui compte, c’est la traçabilité : un bordereau de destruction signé protège autant qu’un certificat de suppression de données.
Assurance cyber et sécurité physique des locaux sensibles
Depuis 2023-2024, plusieurs compagnies d’assurance cyber intègrent dans leurs questionnaires de souscription des items précis sur la sécurisation des salles d’archives physiques. Détecteurs d’intrusion, contrôle d’accès, gestion des clés, vidéosurveillance : ces éléments conditionnent parfois le niveau de couverture ransomware ou fuite de données.
Pour une PME, la conséquence est directe. Un local d’archives non sécurisé peut entraîner une exclusion de garantie ou une surprime. On ne parle plus seulement de conformité réglementaire, mais d’un critère financier mesurable dans le contrat d’assurance.
Le sujet dépasse le service informatique. La direction administrative, la gestion des bâtiments, parfois même les services généraux sont concernés. Quand l’assureur demande qui détient les clés de la salle d’archives et combien de personnes y ont accès, il faut pouvoir répondre précisément.
Gestion du cycle de vie des supports de stockage en entreprise
Le problème le plus fréquent n’est pas le manque de moyens, c’est le flou sur la responsabilité. Le service informatique gère les données actives. Le service administratif gère les archives papier. Les supports physiques décommissionnés (disques durs, bandes magnétiques, clés USB) tombent entre les deux.
Terface, spécialiste des équipements de tri et de gestion des déchets en entreprise, propose notamment des solutions de destruction de supports numériques. Son Destructeur de disques durs et de SSD s’adresse aux organisations qui traitent en interne la mise hors service de leurs supports de stockage, sans dépendre d’un circuit externe dont les délais allongent la fenêtre d’exposition.
Organiser la chaîne de destruction
La conservation des documents électroniques impose une migration des données tous les cinq ans environ vers un nouveau support, selon les recommandations du CIG Grande Couronne. Cette migration génère des supports obsolètes qu’il faut détruire, pas simplement reformater.
- Identifier un responsable unique de la destruction des supports, qu’il relève de l’IT ou des services généraux, mais pas les deux à la fois
- Tenir un registre des supports en attente de destruction avec leur date de décommissionnement et leur niveau de sensibilité
- Fixer un délai maximal entre le retrait d’un support du réseau et sa destruction physique (quelques jours, pas plusieurs mois)
- Ne jamais stocker des supports en attente de destruction dans un local non sécurisé, même temporairement
La salle d’archives ne devrait pas être un purgatoire pour disques durs. Elle devrait être un espace documenté, sécurisé, auditable, au même titre qu’une baie de serveurs. Tant que la sécurité informatique s’arrête à la porte du datacenter sans franchir celle du local d’archivage, la chaîne de protection reste incomplète.
