Tout, ou presque rien, et la différence tient à un seul réglage. Si le disque est chiffré, un portable volé est une perte de matériel de quelques centaines d'euros. S'il ne l'est pas, c'est une violation de données à notifier à la CNIL sous soixante-douze heures.
Retirer un disque non chiffré et le lire sur une autre machine prend quelques minutes et ne demande aucune compétence particulière. Le mot de passe de session ne protège rien dans ce scénario, contrairement à une idée très répandue.
Le chiffrement, à vérifier plutôt qu'à supposer
La fonction est intégrée aux systèmes professionnels courants et n'entraîne aucun coût supplémentaire. Le problème n'est donc presque jamais son prix, il est de savoir si elle est réellement active sur l'ensemble du parc.
Les postes achetés hors du circuit habituel sont les plus souvent concernés, une machine dépannée en urgence dans une grande surface, un portable rapporté d'une filiale, un poste réinstallé par un prestataire de passage. Ils échappent au processus standard, et personne ne vérifie ensuite.
Le second point d'attention porte sur les clés de récupération. Elles doivent être conservées ailleurs que sur le poste, faute de quoi une panne de carte mère rend les données définitivement illisibles. Un stockage centralisé, dans l'annuaire ou dans un coffre, est la bonne pratique.
Ce qui sort de l'entreprise sans que personne y pense
Le portable et le téléphone sont identifiés. D'autres éléments circulent sans être considérés comme du matériel informatique.
Les disques durs des photocopieurs et des imprimantes multifonction contiennent des mois de documents numérisés et imprimés. Au retour du matériel en fin de location, ils repartent chez le loueur avec leur contenu, sauf demande expresse d'effacement ou de conservation du disque.
Les enregistreurs de vidéosurveillance, les tablettes d'atelier et les supports amovibles suivent la même logique. Les documents papier également, un dossier emporté pour être travaillé le week-end sort du périmètre de sécurité de l'entreprise sans qu'aucun outil ne le sache.
Le matériel confié à un prestataire
Un poste envoyé en réparation part avec son disque. Un serveur repris par un fournisseur en fin de contrat également.
Deux règles évitent les mauvaises surprises. Retirer ou faire effacer le disque avant l'envoi lorsque c'est possible, et exiger un certificat de destruction ou d'effacement lorsque le matériel ne revient pas.
Le chiffrement simplifie considérablement ces situations, puisqu'un disque chiffré dont vous détruisez la clé devient illisible sans manipulation physique.
Les usages nomades, sans règles impossibles à tenir
Interdire de travailler dans le train ou de se connecter depuis un hôtel ne fonctionne pas, et n'a pas lieu d'être. Trois précautions suffisent et sont réalistes.
Ne pas utiliser les bornes de recharge par câble dans les lieux publics, un simple adaptateur secteur ou une batterie externe évitant toute connexion de données.
Considérer les réseaux sans fil publics comme non fiables et passer par le tunnel de l'entreprise ou par le partage de connexion du téléphone.
Verrouiller la session dès que l'on s'éloigne, y compris pour quelques minutes, la disparition du matériel dans un espace de coworking ou une gare étant l'incident le plus banal qui soit.
Un filtre de confidentialité sur l'écran vaut son prix pour ceux qui travaillent régulièrement en déplacement, et il traite une exposition contre laquelle aucun réglage informatique ne peut rien.
Les déplacements hors de l'Union européenne
Certains pays autorisent la fouille approfondie des équipements à la frontière, avec copie possible du contenu. La règle prudente consiste à ne pas emporter le poste habituel mais un équipement dédié, contenant le strict nécessaire au déplacement.
Cela concerne peu de PME, mais celles qui exportent ou qui participent à des salons internationaux sont directement visées, particulièrement lorsqu'elles détiennent des informations techniques sensibles.
L'inventaire, base de tout le reste
Rien de ce qui précède n'est vérifiable sans savoir qui détient quoi. Un tableau listant le matériel, son numéro de série, la personne à qui il est confié et la date de remise suffit dans une PME.
Sa véritable utilité apparaît au départ d'un collaborateur, où la restitution figure alors sur la même liste que les badges et les accès. Un matériel non restitué contient exactement ce que la personne manipulait en dernier.
Ce qui suffit dans une petite structure
Une vérification annuelle convient, à condition d'être réellement faite. Elle consiste à confirmer que le chiffrement est actif sur l'ensemble des postes mobiles, que les clés de récupération sont conservées ailleurs, et que l'inventaire correspond à la réalité.
Le vol ou la perte se traitent en revanche immédiatement. Savoir à l'avance qui prévenir et quelles actions déclencher, effacement à distance et changement des mots de passe concernés, fait gagner les heures qui comptent.
Questions fréquentes
Un mot de passe de session protège-t-il un portable volé ?
Non, et c'est une confusion très répandue. Le mot de passe empêche d'ouvrir la session, il n'empêche pas de retirer le disque et de le lire sur une autre machine, ce qui prend quelques minutes. Seul le chiffrement du disque rend le contenu inaccessible.
Un vol de portable doit-il être déclaré à la CNIL ?
Si l'appareil contenait des données personnelles et que le disque n'était pas chiffré, oui, dans les soixante-douze heures dès lors qu'un risque pour les personnes existe. Si le disque était chiffré et la clé non compromise, les données restent inaccessibles et l'analyse conclut généralement à l'absence de risque. Cette analyse doit être documentée dans tous les cas.
Que faire du photocopieur en fin de contrat de location ?
Demander l'effacement sécurisé de son disque avant l'enlèvement, ou négocier la conservation du disque contre son remplacement. Un multifonction conserve des mois de documents numérisés et imprimés, et il repart chez le loueur avec ce contenu si personne ne le demande. Ce point se traite idéalement au moment de la signature du contrat.
Les bornes de recharge publiques présentent-elles un risque ?
Un câble de recharge transporte aussi des données, et une borne compromise peut tenter d'accéder à l'appareil. Le risque reste modéré mais il s'évite sans effort, en utilisant un adaptateur secteur classique ou une batterie externe plutôt qu'un port de recharge partagé.