Le chiffrement reste le seul mécanisme qui protège la donnée elle-même, indépendamment de la couche réseau, du système d’exploitation ou de l’endroit où elle transite. Toute stratégie de cybersécurité qui se limite aux pare-feux et à la détection d’intrusion laisse les données exposées dès qu’un attaquant franchit le périmètre. Nous observons pourtant que beaucoup d’entreprises traitent encore le chiffrement comme une option de confort, pas comme un contrôle structurel.
Chiffrement et directive NIS2 : ce que change la transposition française
La directive NIS2 mentionne explicitement des politiques relatives à la cryptographie et au chiffrement parmi les mesures minimales attendues des entités régulées. Le sujet sort du périmètre purement technique pour entrer dans la gouvernance cyber : un défaut de politique de chiffrement devient un manquement documentable, pas simplement un risque accepté en interne.
En France, la loi Résilience, qui transpose NIS2, n’est pas encore promulguée. L’ANSSI a toutefois ouvert un pré-enregistrement volontaire via MonEspaceNIS2, signal clair que l’obligation arrive et que les contrôles suivront. Les PME qui attendent la publication au Journal officiel pour lancer un projet de chiffrement se retrouveront en retard sur un calendrier de conformité déjà serré.
L’impact concret pour les équipes IT : il faut désormais formaliser une politique de chiffrement (périmètre, algorithmes retenus, gestion des clés, procédure de rotation) et pouvoir la présenter lors d’un audit. Le chiffrement ponctuel d’un disque ou d’une base de données ne suffit plus. NIS2 exige une approche systémique, documentée et vérifiable.
Rançongiciels sans chiffrement : pourquoi la menace change de forme
Les campagnes de ransomware récentes montrent un basculement tactique. L’encryption des fichiers sur le poste victime devient moins systématique dans un nombre croissant d’attaques. Les groupes d’attaquants privilégient désormais l’exfiltration de données avant toute tentative de chiffrement, voire sans chiffrement visible du tout.
Ce modèle porte un nom : la double extorsion. L’attaquant vole les données, menace de les publier, et le blocage des systèmes n’est qu’un levier secondaire. Dans certains cas, on observe du « data theft only » : aucun fichier chiffré, aucune clé de déchiffrement à négocier, mais une pression maximale sur la confidentialité.
Pour les entreprises, la conséquence est directe. Chiffrer ses propres données au repos neutralise la valeur de l’exfiltration. Si un attaquant vole des sauvegardes ou des bases chiffrées avec AES-256 et qu’il ne possède pas les clés, la menace de publication perd son levier. Le chiffrement n’empêche pas l’intrusion, mais il réduit drastiquement le pouvoir de nuisance post-compromission.
Sauvegardes chiffrées et immuabilité : les pratiques qui protègent réellement
Nous recommandons de ne jamais dissocier chiffrement et stratégie de sauvegarde. Les guides techniques récents insistent sur trois piliers complémentaires :
- Le chiffrement systématique des copies de sauvegarde, qu’elles soient stockées en local, sur bande ou dans le cloud, avec une gestion des clés séparée du système de production.
- L’immuabilité des sauvegardes : une copie immuable ne peut être ni modifiée ni supprimée pendant une durée définie, ce qui bloque les rançongiciels qui ciblent les backups pour empêcher la restauration.
- Les tests de restauration réguliers, seul moyen de vérifier que le chiffrement n’a pas corrompu les données et que les clés de déchiffrement sont accessibles en situation de crise.
Beaucoup d’entreprises chiffrent leurs sauvegardes mais n’ont jamais testé une restauration complète en conditions réelles. Le jour où un incident survient, elles découvrent un problème de compatibilité de clé ou un volume de restauration incompatible avec leur fenêtre de reprise. Une sauvegarde chiffrée non testée est un faux sentiment de sécurité.
Gestion des clés de chiffrement en environnement cloud
En environnement multi-cloud, la gestion des clés devient le maillon critique. Confier les clés au fournisseur cloud simplifie l’exploitation, mais crée une dépendance : en cas de compromission du compte cloud, l’attaquant accède aux données et aux clés simultanément.
La pratique recommandée consiste à utiliser un HSM (Hardware Security Module) dédié ou un service de gestion de clés externe (BYOK, Bring Your Own Key). Cela sépare physiquement les données chiffrées de leur clé de déchiffrement. Le surcoût opérationnel est réel, mais c’est la seule architecture qui maintient la protection en cas de compromission d’un tenant cloud.
Chiffrement des terminaux et postes nomades : le périmètre oublié des PME
Les systèmes de fichiers chiffrés sur les serveurs retiennent l’attention, mais les terminaux mobiles et postes nomades restent le vecteur de fuite le plus fréquent. Un ordinateur portable volé dans un train, une clé USB égarée, un téléphone professionnel perdu : sans chiffrement du disque complet, toutes les données locales sont lisibles en quelques minutes.
BitLocker sous Windows, FileVault sous macOS et LUKS sous Linux permettent un chiffrement intégral du disque avec un impact négligeable sur les performances des machines récentes. Le déploiement à l’échelle via un MDM (Mobile Device Management) permet de s’assurer que chaque terminal respecte la politique de sécurité, y compris le chiffrement activé par défaut et la rotation des clés de récupération.
Pour les PME, c’est souvent le levier le plus rapide à activer. Pas besoin de refondre l’infrastructure : les outils sont natifs, la mise en œuvre prend quelques jours, et le gain en protection des données est immédiat.
Le chiffrement des données n’est plus un sujet réservé aux grandes entreprises ou aux secteurs réglementés. Avec NIS2, l’évolution des rançongiciels vers l’exfiltration pure et la multiplication des terminaux hors périmètre, toute organisation qui manipule des données sensibles doit traiter le chiffrement comme un contrôle de base, pas comme un projet à planifier. Les solutions existent, elles sont matures, et le coût de l’inaction dépasse désormais celui du déploiement.
