Au renewal centre de HPE, l’effacement d’un ancien laptop ne prend plus que cinq minutes. Ce qui bloque le traitement, ce sont les mots de passe BIOS et la gestion à distance que le département IT a oublié de désactiver.
Plus de dix pour cent des laptops qui arrivent au Technology Renewal Centre de HPE Financial Services à Erskine refusent l’accès au BIOS à l’opérateur. David Coyle, Global Engineering Manager chez HPE Financial Services, y voit l’un des plus gros problèmes du secteur : « Les clients n’ont toujours pas mis au point leur propre processus de decommissioning. » Les grandes entreprises verrouillent le BIOS pour empêcher les utilisateurs d’activer les ports USB. Quand l’appareil revient après trois ans, Erskine doit lever ce verrouillage pour que le propriétaire suivant dispose d’un accès libre.
Le deuxième obstacle est plus important selon Coyle, et il progresse depuis le covid : la gestion à distance. « La plupart des laptops professionnels sont aujourd’hui gérés à distance par leur organisation. Cela ne peut pas être assaini. Pour cela, il faut retourner chez le client. » Il cite Microsoft Autopilot et Absolute en exemple, et affirme que c’est devenu l’étape la plus difficile « non seulement pour nous, mais pour tout le secteur ».
Effacement en cinq minutes
En dix ans, l’effacement des anciens laptops est passé de plusieurs heures à quelques minutes. Erskine traite presque exclusivement des SSD, qui se sanitisent eux-mêmes via leur firmware : destruction des clés cryptographiques, effacement des blocs ou écrasement interne. Selon Coyle, l’ensemble du processus dure environ cinq minutes, dont la plus grande partie sert à vérifier que l’effacement a réussi. Avec les disques magnétiques, chaque secteur devait être écrasé, et les disques grossissaient d’année en année. Cela prenait trois à quatre heures par appareil.
Erskine utilise un logiciel de sanitisation commercial, relié au système ERP, et suit ainsi les deux standards qui dominent aujourd’hui le secteur selon Coyle : ceux du NIST et de l’IEEE. En janvier 2020, Le Monde Informatique avait encore vu à Erskine des disques écrasés une, trois ou sept fois, selon le contrat, avec une durée d’une heure et demie à quatre heures par PC.
La ligne workplace traite ainsi 1.500 à 2.000 appareils par jour dans huit cellules de travail. Un laptop reste un laptop : Erskine n’en retire aucun composant. Ce n’est que si un disque ne réussit pas la sanitisation qu’il est retiré. Il reçoit alors son propre numéro d’asset, qui reste lié à l’appareil d’où il provient, et part au recyclage.
Anciens laptops et RGPD
Tant le contrat de leasing que le contrat ITAD obligent le client à sanitiser ses appareils et à les retirer de la gestion avant leur départ. Lors de la visite, Jackie Rafferty, Head of European Operations chez HPE Financial Services, a posé elle-même la question : « Les clients le font-ils ? Non. » Le matériel arrive donc avec des données clients. Coyle : « Que vous soyez responsable du traitement ou sous-traitant, vous ne pouvez pas vous en défaire par contrat. En tant qu’entreprise, vous êtes propriétaire du RGPD. »
C’est à cela que sert la sécurité : une clôture de 2,2 mètres, quarante caméras à 360 degrés, des alarmes infrarouges et antivibrations, du personnel filtré et des réseaux séparés. À la question de savoir si des appareils infectés représentent un risque, Coyle a répondu que le risque est moindre parce que la plupart des appareils proviennent de contrats de leasing ou de contrats de longue durée, « mais il n’a pas disparu ».
Rafferty déconseille la destruction physique comme choix par défaut. La norme du gouvernement britannique impose de déchiqueter les disques à six millimètres, et à deux pour les données sensibles. « Nous ne voulons pas faire cela. Nous voulons apprendre aux clients à faire confiance à la sanitisation, à nous accorder un revenue share et à remettre cet asset en service. »
Ce que le département IT fait en amont
Sur les plus de 300.000 appareils workplace qu’Erskine a traités l’an dernier, 97 pour cent ont été revendus. Ce qui ralentit la ligne, ce sont les appareils auxquels plus personne n’a accès. Erskine les renvoie au client, qui doit alors trouver quelqu’un connaissant encore le mot de passe BIOS ou capable de supprimer l’enregistrement dans Autopilot ou Absolute. Coyle indique que cette explication est à refaire à chaque nouveau client.
Pour un département IT, la désinscription doit donc faire partie du processus de mise au rebut, avant que l’appareil ne parte dans sa boîte : retirer l’enregistrement de Windows Autopilot dans Intune, désactiver l’agent Absolute via la console, supprimer le mot de passe BIOS et marquer les appareils comme retirés dans sa propre gestion. Combien d’appareils finissent au recyclage à cause d’un tel verrouillage, Coyle n’a pas pu le dire à Erskine.