La gestion des supports de stockage amovibles consiste à contrôler l'utilisation, protéger les données stockées et éliminer de manière sécurisée tous les supports physiques transportables contenant de l'information. L'ISO 27002 mesure 8.3 recommande cinq contrôles principaux :

• Politique d'utilisation des supports amovibles : définir qui peut utiliser quels types de supports, dans quels contextes et avec quelles autorisations
• Chiffrement des données sur supports amovibles : protéger systématiquement les données sensibles stockées sur tout support transportable
• Contrôle technique des ports USB : bloquer ou limiter l'utilisation des ports USB selon les besoins métier
• Traçabilité et inventaire : enregistrer tous les supports amovibles professionnels et tracer leur utilisation
• Élimination sécurisée : détruire physiquement ou effacer de manière irréversible les données avant de jeter ou recycler un support

Ces contrôles visent à empêcher que les supports amovibles deviennent des vecteurs de compromission ou de fuite de données.

Fuite de données par vol ou perte

Une clé USB contenant des fichiers clients non chiffrés perdue dans les transports en commun expose ces données à quiconque la trouve. Un disque dur externe volé contenant les sauvegardes de l'entreprise non chiffrées livre toutes les informations à l'attaquant.

Impact : violation massive de données, sanctions RGPD pouvant atteindre 4% du chiffre d'affaires mondial, perte de confiance des clients, obligation de notification aux autorités et aux personnes concernées.

Exfiltration malveillante de données

Un employé mécontent ou un espion industriel peut copier massivement des données confidentielles sur une clé USB dissimulée. Sans contrôle des ports USB, rien n'empêche de brancher un support personnel et de copier des gigaoctets de fichiers en quelques minutes.

Impact : espionnage industriel, vol de propriété intellectuelle, perte d'avantage concurrentiel.

Introduction de malwares

Une clé USB trouvée dans le parking peut être un piège : un attaquant y place un malware qui s'exécute automatiquement au branchement (autorun). Un employé curieux qui branche la clé pour voir son contenu infecte son poste et potentiellement tout le réseau.

Impact : infection ransomware, propagation de malwares, compromission du réseau entier à partir d'un seul poste infecté.

Perte de traçabilité

Des dizaines de clés USB personnelles utilisées par les employés sans aucun contrôle créent une zone d'ombre totale : impossible de savoir quelles données sont où, qui a copié quoi, quels supports contiennent encore des données sensibles.

Interdiction par défaut, autorisation sur demande

Principe : interdire par défaut l'utilisation de supports amovibles personnels. Autoriser uniquement les supports professionnels distribués et inventoriés par l'organisation, sur demande justifiée.

Cas d'usage autorisés

Définir précisément les situations où les supports amovibles sont autorisés : **sauvegarde locale d'urgence**, transfert de fichiers volumineux entre sites sans connexion réseau, archivage de données à long terme, installation de logiciels sur machines isolées.

Pour chaque cas d'usage autorisé, définir les mesures de protection obligatoires (chiffrement, validation par antivirus, traçabilité).

Supports personnels interdits

Interdire strictement l'utilisation de supports personnels (clés USB de l'employé, disque dur personnel, carte SD personnelle) pour stocker ou transférer des données professionnelles. Les données professionnelles ne doivent jamais quitter les supports contrôlés par l'organisation.

Supports professionnels distribués

Distribuer des supports amovibles professionnels chiffrés aux employés qui en ont besoin légitime. Ces supports sont inventoriés, marqués, chiffrés matériellement, et doivent être restitués en cas de départ.

Chiffrement matériel des supports professionnels

Utiliser des clés USB et disques durs externes avec chiffrement matériel intégré (AES-256). Le support demande un code PIN à chaque branchement. Après plusieurs tentatives échouées, le support se verrouille définitivement ou efface son contenu.

Avantages : aucune action requise de l'utilisateur (le chiffrement est automatique et transparent), impossibilité de contourner (le chiffrement est fait par le contrôleur matériel du support), résistance aux attaques (même en démontant le support).

Chiffrement logiciel si nécessaire

Si des supports standards doivent être utilisés exceptionnellement, utiliser une solution de chiffrement logicielle (BitLocker To Go sur Windows, FileVault sur Mac). Former les utilisateurs à activer systématiquement le chiffrement avant de copier des données sensibles.

Inconvénient : l'utilisateur peut oublier de chiffrer, ou désactiver le chiffrement s'il le trouve contraignant.

Aucune donnée sensible non chiffrée

Interdire formellement de stocker des données sensibles (données clients, données RH, données financières, propriété intellectuelle) sur un support amovible non chiffré. Même pour "juste quelques minutes" ou "un transfert rapide".

Blocage par GPO (Group Policy)

Sur Windows, utiliser les stratégies de groupe (GPO) pour désactiver complètement les ports USB sur les postes qui n'ont aucun besoin légitime, ou pour autoriser uniquement les supports USB spécifiques inventoriés (whitelist par numéro de série).

Solutions DLP (Data Loss Prevention)

Déployer une solution DLP qui contrôle et bloque les transferts de fichiers vers les supports amovibles selon des règles définies : bloquer la copie de fichiers contenant des numéros de carte bancaire, des données marquées "confidentiel", ou dépassant une certaine taille.

Autorisation temporaire sur demande

Pour les postes qui ont besoin occasionnellement d'accéder à un support USB, mettre en place un processus d'autorisation temporaire : l'utilisateur fait une demande justifiée, l'IT débloque le port USB pour une durée limitée (quelques heures ou une journée), puis le port se rebloque automatiquement.

Désactivation de l'autorun

Désactiver la fonction autorun/autoplay sur tous les postes. Cette fonction exécute automatiquement le contenu d'un support USB au branchement et est un vecteur majeur d'infection malware. Aucun fichier ne doit s'exécuter automatiquement depuis un support externe.

Inventaire des supports professionnels

Tenir un registre de tous les supports amovibles professionnels distribués : numéro de série du support, type (clé USB, disque dur externe, capacité), employé détenteur, date d'attribution, date de restitution prévue.

Traçabilité des utilisations

Les solutions DLP et les systèmes de journalisation enregistrent chaque branchement d'un support USB : quel poste, quel utilisateur, quelle date/heure, quel support (si identifiable), quels fichiers copiés.

Analyser ces logs pour détecter les comportements suspects : copies massives de fichiers juste avant un départ, utilisation de supports non autorisés, copies en dehors des horaires de travail.

Restitution obligatoire

Lors du départ d'un employé, récupérer immédiatement tous les supports amovibles professionnels qui lui ont été confiés. Vérifier qu'aucun support n'a été conservé. Effacer ou détruire les supports restitués avant réutilisation.

Destruction physique

Pour les supports contenant des données très sensibles ou en fin de vie, la destruction physique est la seule garantie d'irréversibilité : broyeur de disques durs (réduit le disque en morceaux de quelques millimètres), démagnétiseur (détruit magnétiquement les données sur disques durs mécaniques), incinération pour les supports optiques et clés USB.

Effacement sécurisé logiciel

Pour les supports réutilisables, utiliser des outils d'effacement sécurisé qui écrivent plusieurs passes de données aléatoires sur l'intégralité du support (logiciels certifiés selon normes DoD 5220.22-M ou NIST 800-88). Un simple formatage ou suppression de fichiers ne suffit pas : les données restent récupérables par des outils spécialisés.

Prestations certifiées

Pour les grandes quantités ou les données critiques, faire appel à un prestataire certifié de destruction de supports (certification ISO 21964 ou équivalent). Le prestataire délivre un certificat de destruction traçable.

Ne jamais jeter ou donner directement

Ne jamais jeter un support à la poubelle, même "vide", ni le donner à un tiers sans l'avoir effacé de manière sécurisée. Les données peuvent être récupérées facilement, même après formatage standard.

• Supports personnels non contrôlés : laisser les employés utiliser leurs clés USB personnelles crée une zone d'ombre totale sur les données. Interdire strictement et fournir des supports professionnels.
• Pas de chiffrement : un support perdu non chiffré est une violation de données RGPD. Chiffrement obligatoire sur tous supports contenant des données sensibles.
• Ports USB ouverts à tous : sans contrôle technique, impossible d'empêcher l'exfiltration ou l'infection. Bloquer les ports par défaut, autoriser sur demande justifiée.
• Destruction non sécurisée : jeter un support à la poubelle ou le reformater simplement laisse les données récupérables. Destruction physique ou effacement sécurisé obligatoire.

La gestion des supports de stockage amovibles protège contre les fuites de données et les infections malware par une politique d'utilisation stricte (interdiction par défaut, supports professionnels uniquement), le chiffrement obligatoire de toutes les données sensibles (chiffrement matériel AES-256), et le contrôle technique des ports USB (blocage par GPO, whitelist, DLP).

La traçabilité complète (inventaire des supports, journalisation des usages) et l'élimination sécurisée (destruction physique ou effacement certifié selon normes) complètent le dispositif. Les supports personnels sont strictement interdits pour les données professionnelles, et l'autorun est désactivé sur tous les postes pour éviter les infections automatiques.