Archive
Publication historique ou contenu de 30 jours ou plus.
Chiffrement des postes : vérifier le besoin et la récupération
Archive publiée en 2018. Ce contenu décrit son époque et ne constitue pas une recommandation technique ou une présentation de l’offre actuelle.
Publications remain available in their original language.
Un ordinateur portable perdu contient parfois bien davantage que les documents placés volontairement sur son bureau : copies synchronisées, téléchargements et fichiers temporaires peuvent aussi mériter une protection. Le chiffrement du stockage vise notamment l’exposition de ces données lorsque l’appareil ou son disque n’est plus sous votre contrôle.
Il faut cependant distinguer le chiffrement effectif, la maîtrise des clés et la capacité de retrouver le travail. Un appareil chiffré dont personne ne sait récupérer l’accès peut devenir inutilisable après une panne ou un changement matériel.
Vérifier la situation réelle du poste
Avant de choisir une solution, relevez l’édition de Windows, les volumes utilisés, la gestion éventuelle par l’organisation et l’état de protection de chaque volume. Le « chiffrement de l’appareil » et l’administration complète de BitLocker n’offrent pas les mêmes possibilités sur toutes les éditions et tous les matériels. Le chiffrement de l’appareil peut être disponible sur des configurations Windows Famille ; déduire son absence du seul nom de l’édition serait une erreur.
Demandez une preuve de l’état observé plutôt qu’une simple déclaration « BitLocker installé ». Le chiffrement est-il terminé ? La protection est-elle active ? Un disque secondaire ou un support amovible contient-il les mêmes données en clair ? Faites qualifier les résultats par la personne qui administre les appareils.
Cette vérification doit précéder une modification du micrologiciel ou des composants de sécurité. Ne changez pas le TPM, le démarrage sécurisé ou les protecteurs dans le seul but d’essayer une recette trouvée en ligne.
Organiser les clés avant d’en avoir besoin
Définissez où se trouvent les informations de récupération, à quel appareil elles correspondent et qui peut les consulter. Le compte qui les conserve peut dépendre de la manière dont le poste a été configuré : compte Microsoft personnel, annuaire de l’organisation ou autre dispositif prévu. Cette distinction mérite un contrôle lors de l’achat et de l’intégration d’un appareil.
La procédure de support doit permettre de vérifier l’identité du demandeur et l’identifiant de la clé attendue. Elle doit aussi éviter de copier les clés dans un ticket accessible à trop de personnes. Une clé de récupération est une information permettant l’accès ; son stockage et sa consultation demandent un périmètre maîtrisé.
Exemple illustratif : après le remplacement d’une carte mère, un poste demande une récupération. L’exercice préparatoire consiste à vérifier qu’un administrateur habilité sait retrouver la bonne information et identifier le propriétaire. Il ne nécessite pas de provoquer volontairement cette panne sur un appareil de production.
Tester une récupération encadrée
Sur un équipement de test approprié, convenez d’un scénario et d’une procédure avec l’administrateur. Vérifiez la disponibilité des informations de récupération depuis un autre appareil, la correspondance de l’identifiant, les autorisations et la capacité à joindre un remplaçant.
Consignez le résultat sans consigner la clé elle-même dans le compte rendu. Après un incident réel, cherchez aussi ce qui a déclenché la récupération. Microsoft décrit plusieurs causes possibles, notamment des changements de matériel ou de composants de démarrage : une demande de clé ne constitue pas, à elle seule, la preuve d’une attaque.
Relier la technique à la protection des données
Le guide de sécurité de la CNIL recommande d’encadrer les usages mobiles et de prévoir des moyens de chiffrement. Cela s’inscrit dans une démarche plus large : accès, sauvegarde, assistance, sensibilisation et conduite à tenir en cas de perte.
Le chiffrement du disque ne protège pas de toutes les actions réalisées dans une session déjà ouverte. Il ne suffit pas non plus à déclarer une organisation conforme au RGPD. Le choix des mesures et l’analyse d’un incident dépendent des données, des risques et du contexte ; faites intervenir les responsables compétents dans cette décision.
Pour clôturer la mise en place, conservez un inventaire des postes et volumes, l’état de protection vérifié, le responsable de récupération, une preuve d’essai et une procédure de perte ou de vol. Réexaminez ces éléments lors d’un changement de poste, de compte ou d’équipe de support.