40 portables perdus en 3 ans, 0 fuite — la méthode de chiffrement des postes que j’aurais dû imposer dès le premier jour, en 7 étapes

Un client industriel de 210 personnes a perdu quarante ordinateurs portables en trois ans. Oubliés dans des trains, volés dans des voitures, égarés en déplacement, jamais rendus par des partants. Quarante. Aucune de ces pertes n’a donné lieu à une notification de violation de données, et ce n’est pas de la chance : c’est le seul bénéfice mesurable d’un chantier de chiffrement mené deux ans plus tôt.

La partie contre-intuitive de cette histoire, c’est que le chiffrement lui-même n’a presque rien coûté. BitLocker est inclus dans Windows Pro, FileVault est inclus dans macOS, les deux sont matures depuis plus de dix ans et s’activent en quelques clics. Ce qui a demandé du travail — et ce qui fait échouer la plupart des projets que nous reprenons — c’est tout ce qui entoure le chiffrement.

Voici la méthode, dans l’ordre, avec les arbitrages qui font qu’elle tient au bout de trois ans au lieu de s’effondrer au premier oubli de mot de passe.

Étape 1 — Inventorier les postes et vérifier les prérequis matériels

Commencez par la liste, pas par l’outil. Vous avez besoin de trois informations par machine : le système d’exploitation et sa version, la présence d’une puce de sécurité matérielle, et le nom d’un utilisateur responsable.

La puce de sécurité matérielle — TPM sur Windows, Secure Enclave sur les Mac récents — est le prérequis qui rend le chiffrement transparent pour l’utilisateur. Sans elle, chaque démarrage exige la saisie d’un mot de passe supplémentaire, et l’adhésion des équipes s’effondre en trois semaines. Sur les parcs que nous auditons, il reste typiquement 5 à 15 % de machines trop anciennes ou avec la puce désactivée dans le microprogramme.

Ne bloquez pas le projet sur ces machines. Traitez-les comme un lot à part : soit elles sont remplacées dans le cycle normal de renouvellement, soit elles sont chiffrées avec saisie au démarrage en l’assumant, soit elles sont interdites de sortie des locaux. Trois options, une décision écrite par machine, et le projet avance.

Un point que tout le monde oublie à cette étape : les postes des prestataires et les machines personnelles utilisées en télétravail. Elles contiennent des données de l’entreprise et elles ne sont dans aucun inventaire. La méthode que nous appliquons pour les débusquer est la même que pour le recensement du shadow IT : croiser les accès réseau et les connexions applicatives plutôt que se fier aux déclarations.

Étape 2 — Décider où seront séquestrées les clés de récupération, avant de chiffrer

C’est l’étape qui détermine si votre projet sera une protection ou une catastrophe différée. Elle doit être tranchée avant le premier chiffrement, jamais après.

Chaque volume chiffré possède une clé de récupération : une longue suite de chiffres qui permet de déverrouiller le disque quand le mécanisme normal échoue — puce défaillante, mise à jour du microprogramme, changement de carte mère, utilisateur qui a oublié son code. Ces situations ne sont pas exceptionnelles : sur un parc de deux cents postes, comptez une à trois demandes de récupération par mois.

Si la clé n’est stockée que sur la machine elle-même, ou sur un post-it, ou dans un fichier du poste concerné, vous n’avez pas de clé. La règle est simple et absolue : la clé de récupération doit être séquestrée automatiquement, à distance, au moment même du chiffrement, dans un système auquel l’utilisateur du poste n’a pas accès en écriture.

Trois options selon votre contexte : séquestre dans l’annuaire d’entreprise, dans votre outil de gestion de parc, ou dans un coffre à secrets dédié. La question à trancher n’est pas laquelle est la plus élégante, mais laquelle vous saurez interroger un dimanche à 8 h avec un utilisateur bloqué au téléphone. Testez la procédure de lecture avant de déployer, pas après.

Étape 3 — Chiffrer un lot pilote et mesurer l’impact réel

Prenez dix à quinze postes représentatifs — pas les plus récents, pas ceux des informaticiens — et chiffrez-les en conditions réelles. L’objectif est de collecter des chiffres, pas de valider une intuition.

Trois mesures comptent. La durée du chiffrement initial : quelques dizaines de minutes sur un disque à mémoire flash moderne, plusieurs heures sur un disque mécanique ancien. L’impact ressenti sur les performances : nul dans la quasi-totalité des cas avec une accélération matérielle, mais mesurez-le pour pouvoir le dire. Le nombre d’appels au support généré par le lot, ramené au nombre de postes.

Ce dernier chiffre est celui qui vous permettra de dimensionner le déploiement complet et, surtout, de désamorcer l’objection « ça va nous noyer le support ». Sur notre lot pilote de quinze postes, nous avons eu deux appels, tous les deux liés à une incompréhension de l’écran de démarrage — corrigée par trois lignes ajoutées au courriel d’annonce.

Étape 4 — Déployer par vagues, en commençant par les postes nomades

L’ordre de déploiement n’est pas neutre. Il doit suivre le risque réel, et le risque réel c’est la mobilité.

Première vague : tous les portables qui sortent des locaux — commerciaux, direction, techniciens d’intervention, cadres en télétravail. C’est là que se produisent 100 % des pertes physiques et donc 100 % du bénéfice du chiffrement. Cette vague à elle seule vous apporte l’essentiel de la valeur du projet.

Deuxième vague : les postes fixes contenant des données sensibles — comptabilité, ressources humaines, bureau d’études. Le risque est plus faible mais réel : vol dans les locaux, et surtout mise au rebut ou revente du matériel en fin de vie, qui est un vecteur de fuite largement sous-estimé.

Troisième vague : le reste. Sans urgence, dans le cycle de renouvellement, sans mobiliser d’équipe dédiée.

Un conseil d’exécution qui vaut plus que sa longueur : annoncez le chiffrement, ne le déployez pas en silence. Un courriel de cinq lignes expliquant ce qui va changer à l’écran, pourquoi, et qui appeler en cas de problème, divise par trois le volume d’appels au support. Le chiffrement est l’un des rares chantiers de sécurité qui n’a aucun coût pour l’utilisateur final ; c’est aussi l’un des mieux acceptés dès lors qu’on prend deux minutes pour l’expliquer.

Étape 5 — Traiter les supports amovibles, l’angle mort du parc

Voici le constat qui surprend systématiquement nos clients : sur les incidents de fuite de données par perte de support que nous avons traités, quatre sur cinq concernaient une clé USB ou un disque externe, pas un ordinateur portable.

La logique est mécanique. Un portable est cher, identifié, attribué, et sa perte est signalée dans l’heure. Une clé USB coûte huit euros, n’appartient à personne, circule entre les mains, contient l’export complet d’une base clients « juste pour la réunion », et sa disparition n’est jamais signalée parce que personne ne remarque qu’elle a disparu.

Trois politiques possibles, par ordre d’efficacité décroissante. Blocage complet de l’écriture sur support amovible, avec une alternative de partage de fichiers réellement utilisable — sans quoi les équipes contourneront. Chiffrement obligatoire à l’écriture, transparent, via la fonction native du système. Autorisation par support déclaré, plus souple mais avec une charge administrative que les PME ne tiennent jamais dans la durée.

Notre recommandation pour une PME : chiffrement obligatoire à l’écriture. Le blocage complet est plus sûr sur le papier et provoque en pratique une migration vers des services de partage grand public non maîtrisés, ce qui déplace le problème sans le réduire.

Étape 6 — Produire une preuve d’état de chiffrement opposable

C’est l’étape que personne n’anticipe et qui décide de tout le jour de l’incident.

Quand un portable disparaît, la question posée par votre délégué à la protection des données, votre assureur ou le régulateur n’est pas « chiffrez-vous vos postes ? » mais « pouvez-vous démontrer que ce poste précis était chiffré à cette date précise ? ». Une politique écrite ne suffit pas. Une déclaration de l’équipe informatique ne suffit pas. Il faut un enregistrement horodaté, produit par le système, et conservé ailleurs que sur la machine disparue.

Concrètement : votre outil de gestion de parc doit remonter, pour chaque poste, l’état de chiffrement et la date de dernière vérification, et cet historique doit être conservé au moins vingt-quatre mois. C’est cette conservation qui permet d’affirmer, six mois après les faits, qu’une machine était protégée.

L’enjeu est directement financier. Un poste dont le chiffrement est prouvé permet, dans la plupart des analyses, de considérer que les données ne sont pas accessibles et donc d’éviter la notification aux personnes concernées. Le même poste sans preuve devient une violation de données à part entière, avec notification, information des clients et impact commercial. Le même événement, deux issues, séparées par un enregistrement de quelques octets.

Cette exigence de traçabilité est exactement celle qui structure les référentiels de conformité auxquels les PME sont désormais soumises : nous la détaillons dans notre guide sur l’audit de périmètre NIS2, où l’incapacité à produire des preuves d’état est l’un des écarts les plus fréquemment relevés.

Étape 7 — Écrire et tester la procédure de perte ou de vol

Le chiffrement transforme un incident majeur en incident mineur, à condition que quelqu’un sache quoi faire dans l’heure qui suit. Écrivez la procédure sur une page, et testez-la.

Elle doit répondre à cinq questions dans l’ordre : qui l’utilisateur appelle-t-il et à quel numéro, y compris le week-end ; qui révoque les accès du compte associé et en combien de temps ; qui extrait la preuve d’état de chiffrement de l’outil de gestion de parc ; qui décide si une notification est nécessaire et sur quels critères ; qui informe l’assureur, et dans quel délai contractuel.

Testez-la une fois par an, à froid, en simulant la perte d’un poste réel. L’exercice dure une heure et révèle systématiquement au moins un défaut : un numéro d’astreinte obsolète, un outil dont personne n’a les accès en dehors d’une seule personne, un historique de chiffrement purgé à quatre-vingt-dix jours. Ce sont exactement les défauts qui font perdre une journée le jour où ça compte.

La démarche rejoint celle de nos confrères sur d’autres périmètres : chez d-open.org, la règle est qu’une procédure de restauration jamais exécutée n’est qu’une hypothèse. C’est vrai des sauvegardes, c’est vrai des clés de récupération.

Ce que ça coûte réellement

Six à dix jours-homme selon la taille et l’hétérogénéité du parc, zéro euro de licence si vous disposez déjà d’un outil de gestion de parc. À comparer au coût d’une seule notification de violation de données : analyse juridique, information des personnes concernées, courrier, gestion des réclamations, et l’effet commercial que personne ne chiffre mais que tout le monde constate.

C’est, avec l’authentification multifacteur, l’un des deux chantiers de sécurité au meilleur rapport entre effort et risque évité pour une PME française. Et contrairement à beaucoup d’autres, il produit un résultat binaire et vérifiable : un poste est chiffré, ou il ne l’est pas.

Questions fréquentes