Remplacer un NVR, NAS ou serveur vidéo : comment effacer disques et cartes SD avant revente (méthode NIST 800-88)

Illustration générée par IA — visuel conceptuel.

Revente, retour leasing, remplacement en fin de vie: un NVR, un NAS ou un serveur vidéo (CCTV) peut contenir bien plus que des enregistrements. On y trouve aussi des exports, des journaux, des identifiants, des clés, des certificats et des paramètres réseau.

L’objectif n’est donc pas «faire de la place», mais de réduire le risque de divulgation en appliquant une méthode de media sanitization reconnue et documentable.

Ce guide s’appuie sur NIST SP 800-88 Rev. 2 (Guidelines for Media Sanitization, publication finale datée September 2025) et sa FAQ (datée July 16, 2026). La révision 2 remplace NIST SP 800-88 Rev. 1 (December 2014). Ces documents constituent une bonne pratique (et non une réglementation marocaine).

Ce que NIST 800-88 demande vraiment: une démarche, pas une recette

NIST structure la sanitization autour d’une logique simple:

• Évaluer le risque (sensibilité des données, scénarios de perte de contrôle, capacité probable d’un attaquant).
• Choisir une méthode adaptée (Clear / Purge / Destroy).
• Exécuter une technique logique ou physique (selon le support).
• Vérifier le résultat (verification).
• Valider l’acceptation du risque résiduel (validation) et documenter.

Point important pour les systèmes vidéo: un «retour usine» d’un NVR traite généralement la configuration. Il ne faut pas supposer qu’il purge automatiquement le contenu des disques ou d’éventuels supports amovibles, sauf indication explicite du fabricant (et même dans ce cas: documenter et vérifier).

Étape 1: inventorier tout ce qui doit être «sanitisé»

Sur un projet CCTV, les données ne vivent pas uniquement «sur le disque du NVR». Avant toute action, faites un inventaire (même rapide) des supports et emplacements suivants:

• Disques internes du NVR (HDD ou parfois SSD).
• Baies de disques d’un NAS (HDD/SSD), et éventuels caches SSD.
• Cartes microSD/SD dans les caméras (enregistrement embarqué / edge recording).
• Stockage flash interne (certaines caméras/NVR ont eMMC/flash pour logs et configuration).
• Exports sur clés USB, disques externes, ou PC de supervision.
• Sauvegardes (exports de configuration, sauvegardes automatiques NAS, snapshots).
• Secrets: mots de passe, certificats, clés VPN, jetons API, clés de chiffrement.
• Stockage logique/virtuel: partages, objet storage, archivage cloud (si utilisé).

Ce simple inventaire évite le scénario classique: «le NVR est réinitialisé, mais une microSD est oubliée dans une caméra» ou «les disques ont été retirés, mais une sauvegarde de configuration traîne sur un PC».

Étape 2: choisir la bonne méthode (Clear, Purge ou Destroy)

NIST définit trois méthodes de sanitization:

Clear: empêcher la récupération via les interfaces normales

Clear vise à empêcher la récupération des données via les interfaces et fonctions «standard» accessibles à l’utilisateur (lecture/écriture classiques, outils usuels). Cela correspond typiquement à un effacement logique, quand il est adapté au support.

Purge: rendre la récupération infaisable avec des moyens avancés

Purge vise un niveau plus élevé: rendre la récupération infaisable même avec des techniques d’analyse avancées «state-of-the-art», tout en conservant (potentiellement) un support réutilisable.

Dans une logique de projet, Purge est souvent la cible quand le support sort de votre contrôle: revente, transfert à un tiers, retour loueur/SAV.

Destroy: rendre le support inutilisable

Destroy rend le support inutilisable, et vise l’infaisabilité de récupération même avec des moyens de laboratoire. Attention: des gestes «bricolés» (percer, plier, casser) ne garantissent pas la destruction complète des zones pertinentes; la destruction doit être cohérente avec la technologie du support et vos filières (déchets, traçabilité, sécurité).

Choisir vite, mais choisir explicitement

Pour aller à l’essentiel, on peut raisonner ainsi:

• Réaffectation interne (équipement reste dans l’organisation): Clear peut suffire selon la sensibilité, à condition de vérifier et documenter.
• Transfert hors de contrôle (revente/tiers/retour): viser Purge quand c’est réaliste et maîtrisé. Sinon: Destroy.
• Support défectueux (impossible à traiter correctement): Destroy est souvent l’issue la plus robuste.

Étape 3: appliquer une stratégie par type de support (CCTV)

NIST distingue des techniques logiques (par des outils/commandes via l’interface du support) et des techniques physiques (destruction). NIST ne prescrit pas une «liste d’outils» universelle, ce qui est particulièrement pertinent en CCTV où les implémentations varient selon fabricants et générations.

HDD (disques durs magnétiques) dans un NVR ou un serveur

• Objectif Clear: un effacement logique (par overwrite de l’espace adressable) peut être adapté à un scénario interne, si l’outil est maîtrisé et la vérification réalisée.
• Objectif Purge: quand une fonction de «sanitize» dédiée est disponible et que vous pouvez l’intégrer à une procédure (et la documenter), elle peut être préférée pour une sortie de contrôle.
• Objectif Destroy: à privilégier si le disque est HS, si vous ne pouvez pas exécuter une purge fiable, ou si la sensibilité est très élevée.

À retenir: la FAQ NIST clarifie que l’effacement «Clear» ne nécessite pas de schémas multi-pass hérités d’anciens standards (souvent cités à tort), et que ces pratiques apportent peu de bénéfice sur des technologies modernes.

SSD (SATA/NVMe), caches SSD de NAS, et stockage flash interne

NIST met en garde sur les supports flash: à cause du wear leveling, des cellules de réserve (spare cells), de l’overprovisioning et du remapping, un overwrite «classique» via l’interface native peut laisser des données résiduelles dans des zones non adressables par l’utilisateur. Continuer à appliquer les approches d’overwrite «comme sur les supports magnétiques» peut augmenter le risque de divulgation involontaire, et (selon la FAQ) peut aussi dégrader inutilement un support flash.

Approche prudente:

• Si le support doit être réutilisé ou revendu: viser une démarche de Purge basée sur des mécanismes adaptés au flash (quand disponibles) ou une cryptographic erase si et seulement si les préconditions de chiffrement et de gestion de clés sont réellement remplies.
• Si vous ne pouvez pas établir ces préconditions, ni exécuter une purge crédible: Destroy reste l’option la plus robuste.

Cartes microSD / SD dans les caméras

Une microSD est aussi un support flash: l’idée «je la formate sur un PC et c’est réglé» n’est pas une garantie de purge complète, pour les mêmes raisons (wear leveling, zones de réserve, etc.).

En pratique projet:

• Si la caméra est revendue ou sort de contrôle, et si la microSD contenait des enregistrements: la mesure la plus simple et la plus robuste est souvent de retirer la microSD et de la traiter comme un support à part (Purge si maîtrisé, sinon Destroy), puis de revendre la caméra sans microSD.
• Ne pas se contenter d’un «formatage rapide» (qui répond à un besoin d’usage, pas à un objectif de sanitization).

NAS et volumes chiffrés: quand la cryptographic erase est réaliste

NIST indique que la cryptographic erase peut servir de technique de Purge et qu’elle peut être très rapide, mais son efficacité dépend de préconditions: chiffrement effectivement en place, qualité de l’implémentation, et surtout gestion/zeroization des clés.

Recommandation de gouvernance technique:

• Si vous envisagez la cryptographic erase comme stratégie de fin de vie: prévoyez-la dès la conception (politique de chiffrement, gestion des clés, procédure de rotation/destruction, preuves).
• Si vous ne pouvez pas démontrer que les données ont été chiffrées de manière continue et que les clés ont été détruites de manière contrôlée: revenez vers une stratégie de purge par mécanisme dédié, ou vers Destroy.

Stockage logique/virtuel (cloud, archivage externalisé): le cas où vous ne contrôlez pas le disque

NIST note que dans des environnements virtualisés/logiques (dont le cloud), vous ne pouvez pas forcément détruire ou overwriter le support physique vous-même. Dans certains cas, la cryptographic erase (par destruction/rotation de clés) peut être l’option de purge la plus réaliste, voire la seule.

À clarifier avant de sortir de contrôle:

• Qui contrôle réellement les clés (vous, l’éditeur, un tiers)?
• Quelle est la procédure contractuelle et opérationnelle de suppression?
• Quel élément de preuve pouvez-vous conserver (journal d’opération, ticket, rapport fournisseur)?

Étape 4: effacer aussi la configuration (ce que la sanitization ne couvre pas toujours)

NIST 800-88 traite d’abord la sanitization des supports. Or, sur un système vidéo, la fuite de risque vient aussi des secrets et de la configuration. Avant cession, il est recommandé d’ajouter un «lot configuration» à votre procédure:

• Supprimer les comptes locaux, désactiver les comptes par défaut quand c’est possible, et réinitialiser les mots de passe administrateur.
• Retirer certificats, clés VPN, jetons API, intégrations (SMTP, FTP, partages, syslog), et destinations d’export.
• Supprimer tout lien à des services cloud / P2P (quand existants), puis vérifier que l’équipement n’apparaît plus dans les comptes/applications.
• Localiser et supprimer les sauvegardes de configuration (NAS, PC, répertoires d’export).

Point méthode: un support «sanitisé» ne ressemble pas forcément à un support «sortie d’usine», et l’inverse est vrai: un retour usine n’est pas forcément une purge des données.

Étape 5: vérifier, valider et garder une preuve (même simple)

NIST distingue:

• Verification: constater que l’opération s’est terminée correctement et que le résultat correspond à ce qui est attendu.
• Validation: décision d’accepter le risque résiduel au regard de la sensibilité.

Dans un contexte de bâtiment (propriétaire, exploitant, intégrateur, mainteneur), l’enjeu est souvent moins «faire parfait» que de pouvoir répondre clairement à: qu’est-ce qui a été effacé, comment, quand, par qui, et avec quel niveau de méthode (Clear/Purge/Destroy)?

Modèle de certificat / fiche de sanitization (structure minimale)

Sans figer un format, une fiche par support est une base solide. Elle peut contenir:

• Équipement / projet (référence interne ou site)
• Support: fabricant, modèle, numéro de série (si disponible), type (HDD/SSD/microSD)
• Méthode: Clear / Purge / Destroy
• Technique: overwrite, cryptographic erase, mécanisme de sanitize, destruction physique, etc.
• Outil (si applicable): nom + version
• Vérification: comment le résultat a été contrôlé
• Date, lieu, opérateur (nom et signature)

Cette fiche évite le «on l’a fait, je crois» et simplifie la passation (client, direction technique, DSI, ou prestataire).

Check-list opérationnelle (avant enlèvement / revente)

Préparation

• Décider ce qui doit être conservé (export d’incidents, preuves, éléments nécessaires à la continuité d’exploitation).
• Inventorier tous les supports (NVR, NAS, caméras, disques externes, microSD, sauvegardes).
• Décider explicitement, par support, l’objectif: Clear / Purge / Destroy.

Traitement des supports

• HDD: Clear ou Purge selon le scénario; Destroy si impossible ou si support défectueux.
• SSD / flash / microSD: éviter de «compter» sur l’overwrite classique; viser Purge adaptée ou Destroy.
• Vérifier le résultat et consigner (fiche/certificat).

Configuration & secrets

• Réinitialiser comptes et mots de passe, supprimer comptes inutiles.
• Supprimer certificats, VPN, tokens, intégrations (SMTP/FTP/partages), liens cloud/P2P.
• Supprimer sauvegardes/export de configuration sur NAS/PC.

Points d’attention spécifiques aux projets CCTV (bâtiment, hôtels, sites multi-bâtiments)

• Chaîne de responsabilité: qui est propriétaire des disques? qui opère l’effacement? qui signe la validation?
• Matériel mutualisé: un NAS peut servir à la vidéo et à d’autres usages (documents, sauvegardes IT). L’inventaire doit éviter les effacements accidentels.
• Continuité: planifier l’effacement après bascule sur un nouveau système (ou après extraction des éléments à conserver), pas en urgence lors du démontage.

Pour replacer ce sujet dans une architecture globale (segmentation, cohabitation des flux, exploitation), vous pouvez aussi lire: Architecture réseau IP d’un hôtel : faire cohabiter Wi‑Fi, IPTV, VoIP, CCTV et GRMS et Cybersécurité d’un hôtel connecté : protéger GRMS, PMS, GTB et réseau.

Ce guide ne couvre pas (volontairement)

• Le conseil juridique (CNDP, obligations sectorielles, durées de conservation, licéité): ce sujet doit être traité avec votre responsable conformité.
• Les procédures exactes par marque/modèle (menus NVR, options caméra, utilitaires NAS): elles doivent être validées dans la documentation constructeur, puis testées sur un environnement maîtrisé.

Pour un repérage des points «données» typiques côté sûreté (caméras, accès, Wi‑Fi invités) dans un contexte marocain: Caméras, accès et Wi‑Fi invités : points de protection des données à vérifier au Maroc.

Sources et documentation

• NIST SP 800-88 Rev. 2 (September 2025)— Guidelines for Media Sanitization (PDF)
• NIST SP 800-88 Rev. 2 FAQ (July 16, 2026)— clarifications (PDF)

Besoin d’une procédure «fin de vie» cohérente pour un parc CCTV?

Si vous remplacez plusieurs NVR/NAS/caméras (site unique ou multi-sites), une procédure écrite, testée et signable (inventaire, méthode par support, vérification, preuve) réduit fortement les oublis. Domocasa peut vous aider à structurer cette démarche et à l’intégrer aux documents d’exploitation (DOE/maintenance) de votre installation.