Oui, sur trois périmètres précis. Les disques des ordinateurs portables, les échanges qui sortent de l'entreprise, et les sauvegardes. Ces trois usages ne coûtent généralement rien puisque les fonctions sont incluses dans ce que vous utilisez déjà.
Partout ailleurs, le chiffrement ajoute de la complexité pour un bénéfice discutable. Chiffrer une base de données à laquelle l'application accède en permanence ne protège pas de grand-chose, puisque l'application détient la clé.
Le disque des postes mobiles, priorité absolue
Un portable volé dont le disque n'est pas chiffré livre l'intégralité de son contenu, le mot de passe de session n'étant d'aucune utilité une fois le disque retiré.
C'est aussi ce qui distingue un incident matériel d'une violation de données à notifier à la CNIL sous soixante-douze heures. La fonction est intégrée aux systèmes professionnels et s'active en quelques minutes.
Le seul vrai sujet est la conservation des clés de récupération, qui doivent être stockées ailleurs que sur la machine, faute de quoi une panne matérielle rend les données définitivement illisibles.
Les échanges qui sortent de l'entreprise
La messagerie chiffre le transport entre serveurs dans la plupart des cas, mais le message repose en clair chez le destinataire et transite parfois sans protection.
Pour un document sensible, un devis, un contrat, un dossier du personnel, la solution la plus simple reste un espace de partage avec un lien à durée limitée plutôt qu'une pièce jointe. Le mot de passe éventuel se transmet par un autre canal que le lien lui-même, faute de quoi la protection est nulle.
Les échanges avec vos applications en ligne et vos partenaires doivent tous passer par des connexions chiffrées. C'est le cas par défaut aujourd'hui, mais les interconnexions anciennes entre applications métier utilisent encore parfois des transferts en clair, ce qui mérite une vérification.
Les sauvegardes, souvent oubliées
Une sauvegarde contient l'intégralité du patrimoine informationnel de l'entreprise, généralement sans les protections de l'environnement d'origine. Un support de sauvegarde emporté hors site sans chiffrement constitue une exposition majeure.
La question à poser à votre prestataire est de savoir qui détient la clé, et surtout ce qui se passe si vous changez de prestataire. Des sauvegardes chiffrées avec une clé que vous ne possédez pas ne sont pas vraiment les vôtres.
La question des clés, qui décide de tout
Le chiffrement déplace le problème de la donnée vers la clé. Une clé perdue équivaut à une donnée détruite, une clé mal protégée équivaut à une donnée en clair.
Trois règles suffisent dans une PME. Conserver les clés et les secrets de récupération dans un coffre-fort de mots de passe d'entreprise plutôt que dans un fichier ou une messagerie. Prévoir que plusieurs personnes puissent y accéder, afin qu'une absence ou un départ ne bloque pas l'entreprise. Et vérifier une fois par an que ces clés fonctionnent réellement, en testant une récupération.
Ce dernier point est le seul qui prouve quelque chose. Une clé archivée jamais testée est une hypothèse.
Les certificats des sites et services
Les certificats qui garantissent les connexions chiffrées de votre site web, de votre accès distant ou de votre messagerie expirent, souvent tous les ans, parfois tous les trois mois.
Une expiration provoque une interruption immédiate et visible, et elle survient invariablement pendant une absence. Le renouvellement automatique est aujourd'hui la norme et doit être privilégié, avec une alerte de rappel en secours.
L'inventaire des certificats et de leurs dates fait partie de la documentation minimale d'une infrastructure, au même titre que les licences.
Ce que le chiffrement ne fait pas
Il ne protège pas d'un compte compromis. Un attaquant qui prend la main sur la session d'un utilisateur légitime voit les données déchiffrées, exactement comme cet utilisateur.
Il ne protège pas non plus d'un rançongiciel, qui chiffre par-dessus votre chiffrement sans difficulté.
C'est pourquoi il complète l'authentification renforcée et les sauvegardes plutôt qu'il ne les remplace. Il traite un risque précis, celui de l'accès à un support physique ou à un flux, et il le traite très bien.
Ce qui suffit dans une petite structure
Une vérification annuelle convient, à condition d'être réellement faite. Elle porte sur quatre points, le chiffrement actif sur tous les postes mobiles, les sauvegardes chiffrées avec une clé que vous détenez, les clés de récupération accessibles à plusieurs personnes et testées, et les certificats renouvelés automatiquement.
Questions fréquentes
Le chiffrement ralentit-il les ordinateurs ?
Non, de façon perceptible. Les processeurs actuels intègrent des instructions dédiées et l'impact se mesure en pourcentage marginal, sans effet sur l'usage courant. C'était un argument valable il y a une quinzaine d'années, il ne l'est plus.
Que se passe-t-il si nous perdons une clé de chiffrement ?
Les données deviennent définitivement illisibles, sans recours possible. C'est précisément la raison pour laquelle les clés de récupération doivent être conservées dans un coffre-fort d'entreprise, accessibles à plusieurs personnes, et testées une fois par an. Une clé archivée jamais vérifiée n'est qu'une hypothèse.
Faut-il chiffrer les serveurs internes ?
C'est rarement prioritaire. Un serveur qui fonctionne en permanence a ses disques déverrouillés, le chiffrement ne protège donc que du vol physique de la machine ou de ses disques. L'effort est mieux investi sur les postes mobiles, les sauvegardes et les échanges sortants.
Le chiffrement protège-t-il d'un rançongiciel ?
Non, un rançongiciel chiffre par-dessus vos données sans difficulté, y compris si elles étaient déjà chiffrées. La protection contre ce risque repose sur les sauvegardes inaltérables, la segmentation du réseau et la détection comportementale. Le chiffrement traite un autre risque, celui de l'accès à un support physique ou à un flux.