![\"Le](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/the-difficult-adoption-of-data-encryption-in-companies-stormshield-1024x342.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
M\u00e9thode efficace pour assurer la protection des donn\u00e9es, le chiffrement peine pourtant \u00e0 s\u2019enraciner au sein des entreprises et des organisations. Chiffrement, mais pourquoi tant de peine\u00a0? Focus sur une probl\u00e9matique majeure de la s\u00e9curit\u00e9 informatique.<\/strong><\/p>\n En France, moins d\u2019une entreprise sur deux applique syst\u00e9matiquement des mesures de chiffrement dans le cadre de sa strat\u00e9gie de protection des donn\u00e9es sensibles. Un chiffre exact de 46%, issu d'une \u00e9tude d'Entrust<\/a>, qui peut sembler satisfaisant, mais qui doit en fait alerter. En effet, cela revient \u00e0 dire qu'une entreprise sur deux n'applique pas de strat\u00e9gie de chiffrement de donn\u00e9es de mani\u00e8re syst\u00e9matique...<\/p>\n Faut-il encore rappeler aujourd\u2019hui que le chiffrement est un des piliers de toute politique de s\u00e9curit\u00e9 informatique\u00a0?<\/strong> C\u2019est un moyen simple et efficace pour assurer la protection des donn\u00e9es<\/a>, en garantissant que celles-ci ne seront pas consult\u00e9es ou vol\u00e9es par des tiers malveillants. Et pourtant, la syst\u00e9matisation de ces m\u00e9thodes fait encore d\u00e9faut \u00e0 de nombreuses entreprises. Explications.<\/p>\n <\/p>\n Pour commencer, qu\u2019est-ce que c\u2019est le chiffrement\u00a0?<\/strong> Le chiffrement est une technique qui, pour prot\u00e9ger les donn\u00e9es, les rend illisibles. Seules les personnes autoris\u00e9es pourront alors r\u00e9cup\u00e9rer les cl\u00e9s d\u2019acc\u00e8s pour d\u00e9chiffrer et prendre connaissance du contenu. Le chiffrement peut \u00eatre de surface (au niveau des disques d'un terminal par exemple) ou unitaire (au niveau d\u2019un fichier). En la mati\u00e8re, il existe un certain nombre de bonnes pratiques \u00e0 mettre en place, comme le souligne Guillaume Boisseau, <\/strong>Responsable des services professionnels chez Stormshield\u00a0: \u00ab\u00a0Un bon principe \u00e0 suivre est de <\/em>chiffrer toutes ses donn\u00e9es sensibles<\/em><\/a>, c\u2019est-\u00e0-dire celles qui sont vitales pour l'entreprise et son fonctionnement. Je pense ici aux donn\u00e9es sensibles comme les appels d'offres et toutes sortes d\u2019informations sur les clients, les fournisseurs ou les sous-traitants.<\/em>\u00a0\u00bb<\/p>\n Avec l\u2019av\u00e8nement de l\u2019informatique et la multiplication des \u00e9changes \u00e0 partir des ann\u00e9es 1980, une partie du grand public et des entreprises ont commenc\u00e9 \u00e0 s\u2019int\u00e9resser aux m\u00e9thodes de chiffrement. Plus r\u00e9cemment, les nouveaux usages mobiles et l\u2019utilisation massive d\u2019outils collaboratifs ont remis sur le devant de la sc\u00e8ne la question de la protection des donn\u00e9es et les besoins de chiffrement. Mais cet \u00e9lan a \u00e9t\u00e9 frein\u00e9 avec les promesses de chiffrement natif qui ont fleuri dans les applications de messagerie comme Telegram, Signal ou WhatsApp, ou dans les plateformes collaboratives Microsoft 365 et Google Workspace<\/a>. Si \u00ab\u00a0un ensemble d\u2019acteurs proposent aujourd\u2019hui des solutions natives de chiffrement<\/em>, pr\u00e9cise Joseph Graceffa<\/strong>, Pr\u00e9sident du CLUSIR Nord de France, il faut bien avoir en t\u00eate que cela revient \u00e0 confier les cl\u00e9s d\u2019acc\u00e8s \u00e0 ces m\u00eames acteurs<\/em>\u00a0\u00bb. Car dans la mise en place d'une protection des donn\u00e9es sensibles, les acc\u00e8s \u00e0 ces informations ont le m\u00eame niveau de criticit\u00e9 que les donn\u00e9es qu\u2019elles prot\u00e8gent. <\/strong>D\u00e8s que la gestion des cl\u00e9s d\u2019acc\u00e8s est confi\u00e9e \u00e0 un tiers, il est primordial pour une entreprise d\u2019en garder le contr\u00f4le. Le contr\u00f4le de ces cl\u00e9s d\u2019acc\u00e8s est d\u2019autant plus important quand le tiers de confiance h\u00e9berge \u00e9galement les donn\u00e9es sensibles puisqu\u2019il pourrait, lui aussi, facilement y acc\u00e9der. La ma\u00eetrise des cl\u00e9s de chiffrement assure donc que les serveurs de stockage ne voient jamais les donn\u00e9es en clair, ni la cl\u00e9 \u00e0 utiliser pour les d\u00e9chiffrer. Des notions simples d\u2019hygi\u00e8ne num\u00e9rique des entreprises pour assurer s\u00e9curit\u00e9 et confidentialit\u00e9 des donn\u00e9es sensibles. Mais dans les faits, le chiffrement peine \u00e0 se mettre en \u0153uvre dans les entreprises \u2013 tant sur les plateformes utilis\u00e9es qu\u2019au niveau des donn\u00e9es stock\u00e9es dans les terminaux et dans les serveurs.<\/p>\n <\/p>\n La donn\u00e9e est aujourd\u2019hui partout et s\u2019\u00e9change \u00e0 l'int\u00e9rieur comme \u00e0 l\u2019ext\u00e9rieur de l\u2019entreprise. Selon l\u2019\u00e9tude de 2021 de l\u2019institut Ponemon<\/a> pour la soci\u00e9t\u00e9 Entrust, seules 50% des entreprises interrog\u00e9es d\u00e9clarent avoir mis en place un plan de chiffrement global<\/strong> appliqu\u00e9 \u00e0 l\u2019ensemble de l\u2019entreprise, 37% d\u00e9clarent n\u2019appliquer qu\u2019une politique de chiffrement limit\u00e9e \u00e0 quelques applications, lorsque 13% d\u00e9clarent ne pas avoir du tout de politique de chiffrement des donn\u00e9es. Les r\u00e9sistances \u00e0 la g\u00e9n\u00e9ralisation des m\u00e9thodes de chiffrement des donn\u00e9es informatiques sont donc patentes. Mais comment expliquer ces r\u00e9ticences face au chiffrement de donn\u00e9es\u00a0?<\/strong><\/p>\n Les raisons de cette faible adoption s'apparentent \u00e0 des probl\u00e9matiques organisationnelles et op\u00e9rationnelles plut\u00f4t qu\u2019\u00e0 un choix de technologies. La premi\u00e8re difficult\u00e9, organisationnelle, tient \u00e0 la d\u00e9finition d'une politique de gestion des donn\u00e9es, pourtant essentielle pour assurer leur protection, respecter la r\u00e8glementation en vigueur (CNIL, RGPD...), voire capitaliser sur leur analyse. Niveau op\u00e9rationnel ensuite, il faut avoir les comp\u00e9tences pour piloter ce projet et aller jusqu\u2019\u00e0 d\u00e9ployer une r\u00e9elle PKI (Public Key Infrastructure<\/em>, infrastructure \u00e0 cl\u00e9s publiques). Cet outil fondamental pour le chiffrement en entreprise est un ensemble de composants physiques, de proc\u00e9dures humaines et de logiciels destin\u00e9s \u00e0 g\u00e9rer les cl\u00e9s des utilisateurs\/collaborateurs. Une gestion des cl\u00e9s d'acc\u00e8s qui va de la g\u00e9n\u00e9ration \u00e0 la distribution et mise \u00e0 disposition en passant par la gestion de l'obsolescence et le renouvellement. \u00ab\u00a0Ces probl\u00e9matiques de d\u00e9ploiement d\u2019outils de gestion et d\u2019utilisation des cl\u00e9s de chiffrement sont souvent au c\u0153ur du probl\u00e8me<\/em>\u00a0\u00bb, souligne Joseph Graceffa. En compl\u00e9ment, la classification des donn\u00e9es est une probl\u00e9matique \u00e0 prendre au s\u00e9rieux pour appr\u00e9hender les diff\u00e9rents niveaux de sensibilit\u00e9 des donn\u00e9es. Toujours dans cette partie organisationnelle, la sensibilisation<\/a> des utilisateurs va enfin de pair avec un processus clair de classification. Car la mise en place d'une protection efficace des donn\u00e9es commencera toujours par la personne qui g\u00e9n\u00e8re la donn\u00e9e critique. C'est l\u00e0 tout l'enjeu de la sensibilisation\u00a0: faire na\u00eetre une prise de conscience par les utilisateurs pour une bonne application du processus de classification. Autant de probl\u00e9matiques internes qui n'incluent m\u00eame pas le sujet de l'interop\u00e9rabilit\u00e9.<\/p>\n Outre ces difficult\u00e9s pour les \u00e9quipes informatiques et de s\u00e9curit\u00e9, il est de coutume de dire que le chiffrement des donn\u00e9es informatiques est sacrifi\u00e9 sur l\u2019autel de l\u2019habitude et du confort d\u2019usage. Pour \u00e9viter cet \u00e9cueil, les solutions de chiffrement doivent \u00eatre simples, faciles et transparentes pour les utilisateurs comme les administrateurs.<\/strong> D'un c\u00f4t\u00e9, les RSSI doivent r\u00e9fl\u00e9chir \u00e0 des strat\u00e9gies pour permettre \u00e0 leurs collaborateurs de concilier leurs usages quotidiens avec un niveau \u00e9lev\u00e9 de s\u00e9curit\u00e9, via du chiffrement unitaire au-del\u00e0 du chiffrement global de surface. Et de l\u2019autre, les \u00e9diteurs de logiciels ont un r\u00f4le de conseil mais aussi d\u2019accompagnement op\u00e9rationnel \u00e0 assurer. \u00ab\u00a0C\u2019est \u00e0 la solution de se plier au quotidien de l\u2019utilisateur, et non l\u2019inverse<\/em>\u00a0\u00bb, soutient Guillaume Boisseau. Supprimer les zones de friction et optimiser le parcours utilisateur<\/a> est donc la voie \u00e0 suivre pour que les \u00e9quipes int\u00e8grent ces nouvelles m\u00e9thodes dans leur routine d\u2019hygi\u00e8ne num\u00e9rique. \u00ab\u00a0Les outils doivent \u00eatre exploitables pour les collaborateurs qui manipulent des donn\u00e9es sensibles tous les jours autant que pour l\u2019utilisateur lambda. C\u2019est alors aux \u00e9quipes charg\u00e9es de d\u00e9velopper et celles charg\u00e9es de d\u00e9ployer la solution de se poser les bonnes questions<\/em>\u00a0\u00bb, insiste Guillaume Boisseau. L\u2019adage anywhere, anytime<\/em> doit \u00e9galement s\u2019appliquer et les solutions de chiffrement doivent pouvoir se d\u00e9ployer sur tous les terminaux<\/strong>, du poste de travail \u00e0 l\u2019ordinateur portable ou la tablette.<\/p>\n <\/p>\nLe chiffrement des donn\u00e9es \u00e0 l\u2019aube de 2023<\/h2>\n
Le difficile d\u00e9ploiement du chiffrement en entreprise<\/h2>\n