Chiffrement BitLocker des ordinateurs portables

Un ordinateur portable oublié dans un train ou volé dans une voiture, c'est d'abord du matériel à remplacer. Sans chiffrement, c'est aussi un accès direct aux fichiers : il suffit de retirer le disque et de le lire sur une autre machine, sans connaître le mot de passe Windows.

Le chiffrement BitLocker, intégré à Windows, rend le contenu du disque illisible sans la clé. Sur un ordinateur portable d'entreprise, c'est une mesure simple et invisible au quotidien, à condition de bien gérer les clés de récupération.

Pourquoi chiffrer les ordinateurs portables de l'entreprise ?

Le chiffrement du disque protège les données quand l'appareil est éteint. Il ne remplace ni le verrouillage automatique de la session, ni l'antivirus, ni la sauvegarde : un ordinateur chiffré peut tomber en panne ou être touché par un ransomware comme un autre.

• Le vol ou la perte : les données restent illisibles pour la personne qui trouve l'appareil.
• La nLPD : la loi demande des mesures de sécurité adaptées au risque, et le chiffrement en fait partie. Si la clé n'a pas été compromise, la perte d'un appareil chiffré présente un risque bien plus faible pour les personnes concernées, ce qui compte au moment d'évaluer une annonce au PFPDT.
• La cyberassurance : les questionnaires demandent souvent si les postes sont chiffrés.
• Les réparations : un appareil confié à un atelier ne livre pas son contenu.

BitLocker : ce qu'il faut savoir

BitLocker est disponible dans les éditions Professionnel et Entreprise de Windows. Il s'appuie sur la puce TPM de l'ordinateur : au démarrage, la puce libère la clé si le système n'a pas été modifié, et l'utilisateur ne voit rien de plus que d'habitude. Un code PIN au démarrage peut être ajouté pour les appareils les plus sensibles.

Les éditions Famille proposent un chiffrement de l'appareil plus limité, dont la clé est souvent sauvegardée dans le compte Microsoft personnel de l'utilisateur : pour une entreprise, ce n'est pas le bon endroit. Sur Mac, l'équivalent s'appelle FileVault et se gère de la même manière.

Où stocker les clés de récupération BitLocker ?

La clé de récupération, un code de 48 chiffres, est demandée quand le démarrage détecte un changement : mise à jour du micrologiciel, remplacement d'une pièce, plusieurs PIN erronés. Sans elle, les données sont perdues, y compris pour l'entreprise.

Le bon endroit est Entra ID : avec Intune, la clé de chaque appareil y est enregistrée automatiquement, consultable par les administrateurs autorisés, et peut être renouvelée après usage. Jamais sur un papier collé à l'écran, dans un fichier partagé ou dans le compte personnel d'un collaborateur.

Clés USB et disques externes

Une clé USB perdue contient souvent plus de données qu'on ne le croit, et elle se perd plus facilement qu'un ordinateur.

• BitLocker To Go chiffre les clés USB et les disques externes, protégés par un mot de passe.
• Intune peut bloquer l'écriture sur un support amovible non chiffré.
• Pour partager des fichiers, OneDrive ou SharePoint, avec des droits et une date d'expiration, remplacent avantageusement la clé USB.

Et les smartphones ?

Les iPhone et les smartphones Android récents chiffrent leur stockage dès qu'un code de verrouillage est défini. Le point à contrôler est donc le code lui-même. Avec Intune, l'entreprise peut exiger un code, refuser l'accès aux e-mails depuis un appareil qui ne respecte pas la règle, et effacer à distance les données professionnelles en cas de perte, sans toucher aux photos personnelles.