Un commercial d'une PME de Ferney-Voltaire laisse son sac dans le coffre de sa voiture le temps d'un rendez-vous. Le sac disparaît, avec l'ordinateur portable. Le matériel se remplace en deux jours et il était assuré. Ce qui pose problème arrive ensuite: le disque contenait quatre ans de correspondance commerciale, les grilles tarifaires, les coordonnées de tous les clients et une copie locale de plusieurs contrats. Sans chiffrement, un disque retiré de son boîtier se lit sur n'importe quel autre ordinateur, aussi facilement qu'une clé USB. Le mot de passe Windows protège l'ouverture de session, pas le contenu du support.
Le chiffrement de disque répond exactement à cette situation: il rend le contenu illisible sans la clé, si bien que le disque sorti de la machine ne donne rien. Sur Windows professionnel, la fonction s'appelle BitLocker, et sur macOS FileVault. Les deux sont incluses dans le système, sans licence supplémentaire. Nous les activons chez nos clients du Bassin Genevois dans le cadre de la gestion du parc informatique et du travail de cybersécurité, et le sujet revient systématiquement à l'audit parce qu'il reste souvent au stade de la bonne intention.
Ce que le chiffrement de disque protège réellement
La formulation exacte compte, car elle évite les fausses attentes. Le chiffrement protège les données quand la machine est éteinte ou en veille prolongée et que quelqu'un obtient un accès physique au support. Le disque monté sur un autre ordinateur ne présente alors aucun fichier lisible. C'est la situation du vol, de la perte, du matériel envoyé en réparation, et de la machine mise au rebut sans effacement.
Il ne protège pas trois autres cas. Une session ouverte et non verrouillée dans un espace public reste accessible à qui s'assoit devant, puisque le système a déjà déverrouillé le disque. Un mot de passe de session noté sur un papier glissé dans la housse annule la protection de la même manière. Enfin, un logiciel malveillant déjà actif travaille avec les mêmes droits que l'utilisateur, donc il lit des fichiers déchiffrés: c'est le domaine de la protection des postes, que nous abordons dans notre article sur Bitdefender EDR sur un parc de PME.
Le chiffrement ne remplace pas non plus une sauvegarde. Un disque chiffré tombe en panne comme un autre et se récupère encore moins facilement, ce qui rend la copie hors de la machine d'autant plus nécessaire, comme nous l'expliquons dans notre article sur les raisons pour lesquelles les sauvegardes ne suffisent pas.
La clé de récupération: le point de méthode central
Voici le sujet qui décide de la réussite ou de l'échec de ce chantier, et il reste presque toujours sous-estimé.
Quand vous activez BitLocker ou FileVault, le système génère une clé de récupération, une longue suite de caractères qui déverrouille le disque quand le déverrouillage habituel ne fonctionne plus. Elle est le seul chemin de retour dans plusieurs situations banales: une mise à jour du micrologiciel qui déclenche une demande de vérification au démarrage, un changement de composant, une réinitialisation du module de sécurité, ou un utilisateur qui a oublié son mot de passe de session sur un Mac.
La conséquence doit être énoncée sans détour: si la clé de récupération n'est pas conservée par l'entreprise, en dehors de la machine concernée, un poste chiffré peut devenir définitivement illisible. Aucun prestataire et aucun éditeur ne contourne cette situation, parce que le chiffrement est conçu pour qu'elle soit sans issue. Nous avons déjà été appelés pour un portable qui demandait une clé au démarrage, alors que la seule copie de cette clé se trouvait sur ce même disque. Il n'y avait rien à faire, et l'entreprise a repris son travail depuis ses sauvegardes.
Notre règle est donc la suivante. La clé de récupération de chaque poste est enregistrée dans un dépôt centralisé sous le contrôle de l'entreprise, jamais dans un mail, jamais dans un fichier posé sur le poste, et jamais uniquement dans le compte personnel du collaborateur. Selon la taille du parc, ce dépôt est l'annuaire d'identités, une console de gestion, ou le coffre d'équipe décrit dans notre article sur le gestionnaire de mots de passe. Sous contrat, nous conservons une copie de notre côté, afin qu'un poste puisse être débloqué même si la personne qui détenait l'accès au coffre est absente.
Les configurations trompeuses que nous corrigeons le plus souvent
L'écart entre la déclaration et la réalité est important sur ce sujet, parce que l'interface affiche parfois un état rassurant qui ne correspond pas à ce que l'entreprise croit avoir mis en place.
- La mention « BitLocker est activé » apparaît, mais la clé de récupération a été déposée dans un compte Microsoft personnel créé par le collaborateur au premier démarrage. L'entreprise n'y a donc aucun accès, et la réponse dépendra de la mémoire d'une personne qui a peut-être quitté la société.
- FileVault a été activé avec l'identifiant Apple d'un ancien salarié, donc le mécanisme de reprise est rattaché à un compte que l'entreprise ne contrôle pas.
- Le chiffrement porte sur le poste fixe de l'accueil, qui ne quitte jamais le bâtiment, alors que les portables de la direction et des commerciaux n'ont rien. La priorité a été posée à l'envers.
- Seul le disque système est chiffré, alors que les documents sont enregistrés sur un second disque interne ou sur un disque externe resté dans le sac.
- La suspension du chiffrement, activée pour une opération de maintenance, n'a jamais été réactivée. La machine apparaît comme protégée dans l'inventaire, et elle ne l'est pas.
Ce que nous faisons sur un parc de cinq postes et sur un parc de trente
L'outillage diffère selon la taille, mais l'exigence reste la même: chaque machine mobile est chiffrée et chaque clé est déposée ailleurs. Sur un parc de cinq à dix postes, nous procédons manuellement, machine par machine, en documentant chaque activation dans le dossier du client. Aucune plateforme de gestion n'est nécessaire à cette échelle, et en ajouter une créerait une charge sans bénéfice.
À partir d'une vingtaine de postes, nous préférons imposer et vérifier le chiffrement par une plateforme de gestion, dont le principe et les limites sont décrits dans notre article sur le pilotage du parc avec Intune. L'intérêt n'est pas l'activation, qui est rapide, mais la capacité à répondre immédiatement à la question « ce poste perdu était-il chiffré », que votre assureur ou votre client vous posera.
Notre déroulé d'intervention sur le chiffrement d'un parc
Nous commençons par l'inventaire des machines mobiles et par une distinction que le dirigeant est le seul à pouvoir faire: qui sort réellement du bureau, avec quelles données.
Nous vérifions ensuite les prérequis. Sur Windows, l'édition du système doit être professionnelle et le module de sécurité matériel doit être disponible et activé, ce qui n'est pas le cas sur certaines machines achetées en grande distribution. Sur Mac, l'opération est plus simple, mais elle demande la validation d'un utilisateur sur la machine, ce qui nous conduit parfois à intervenir sur place. Nous nous déplaçons dans le Bassin Genevois, à Saint-Julien-en-Genevois, Genève, Annemasse et alentours.
Nous activons le chiffrement, nous attendons la fin du traitement initial du disque, puis nous effectuons un test de redémarrage complet. Ce test n'est pas facultatif: il valide que la machine démarre après chiffrement et que la clé déposée correspond réellement au support. Nous consignons enfin l'état de chaque poste et nous le revérifions lors des campagnes de mise à jour, car une machine peut se retrouver en chiffrement suspendu après une intervention matérielle.
Ce travail entre dans un contrat d'infogérance à partir de 120 HT / mois, avec le même montant hors taxes en euros et en francs, et il représente en général une séance de travail plutôt qu'un projet. Si un vol a déjà eu lieu et que le disque était lisible, nous traitons la suite par l'urgence, facturée 230 HT / h hors contrat: nous ne récupérons pas les données parties, mais nous réduisons la portée de l'incident en changeant les mots de passe et en établissant ce qui était présent sur la machine.
Si les portables de votre direction et de vos commerciaux ne sont pas chiffrés, ou si personne ne sait où se trouvent les clés de récupération, demandez-nous un point. Nous vous dirons quelles machines traiter en priorité, où déposer les clés, et comment vérifier que l'état déclaré correspond à l'état réel.