Le chiffrement des données en PME ne concerne plus seulement les banques ou les grandes sociétés. Contrats, fichiers clients, devis, données bancaires et sauvegardes circulent entre ordinateurs, téléphones et services cloud. Une copie de secours existe peut-être déjà, mais elle peut rester parfaitement lisible si elle est volée. Voici le contrôle pratique à mener sans transformer l’entreprise en bunker numérique.
Sauvegarder et chiffrer ne répondent pas au même risque
Une sauvegarde sert d’abord à retrouver un fichier supprimé, altéré ou rendu inaccessible. Le chiffrement vise un autre objectif : rendre son contenu illisible sans la clé prévue. La CNIL le compare à une enveloppe numérique scellée. Autrement dit, une sauvegarde non chiffrée peut sauver l’activité après une panne tout en exposant les informations de l’entreprise si le support tombe entre de mauvaises mains.
Le bon réflexe consiste donc à vérifier les deux protections séparément. « Nous avons une sauvegarde » ne signifie pas « nos données sont confidentielles ». À l’inverse, des fichiers bien chiffrés mais jamais sauvegardés restent vulnérables à une suppression, à une panne ou à un rançongiciel.
Commencer par les quatre endroits où les fichiers se dispersent
Un audit simple peut tenir sur une feuille. Recensez d’abord les postes portables, les téléphones professionnels, les disques externes et clés USB, puis les espaces cloud et logiciels métiers. Pour chaque emplacement, notez le type de données, les personnes qui y accèdent et la conséquence d’une fuite.
- Ordinateurs portables : vérifier le chiffrement complet du disque et la protection de la session.
- Supports amovibles : éviter les copies non maîtrisées et chiffrer les supports réellement nécessaires.
- Cloud et logiciels SaaS : demander si les données sont chiffrées pendant leur transfert et lorsqu’elles sont stockées.
- Sauvegardes : conserver au moins une copie distincte, protégée et déconnectée après l’opération lorsque le dispositif le permet.
Cybermalveillance.gouv.fr rappelle qu’une copie externe doit être débranchée après la sauvegarde. Cette séparation limite la propagation d’une attaque depuis le poste principal. Elle ne dispense pas de tester la restauration : une archive inutilisable le jour de l’incident n’est pas une protection opérationnelle.
Le piège de la clé que personne ne sait récupérer
Le chiffrement repose sur une clé ou un secret. Si cette clé disparaît avec le départ d’un salarié, la perte d’un appareil ou l’oubli d’un mot de passe, l’entreprise peut se retrouver exclue de ses propres fichiers. France Num attire précisément l’attention sur ce point pour les solutions de bout en bout, où le prestataire ne possède pas forcément de mécanisme de récupération.
La récupération doit être organisée avant l’incident. Désignez un responsable, documentez la procédure d’accès d’urgence et conservez les éléments de récupération dans un coffre-fort adapté, séparé des données. Le but n’est pas de multiplier les copies de clés, mais d’éviter qu’une seule personne ou un seul appareil devienne le point de rupture.
Six questions à poser à votre prestataire informatique
- Les données sont-elles chiffrées au repos et pendant leur transfert ?
- Qui détient les clés et qui peut techniquement consulter les fichiers ?
- Quelle procédure s’applique lorsqu’un collaborateur quitte l’entreprise ?
- Les sauvegardes sont-elles isolées du système principal ?
- À quand remonte le dernier test complet de restauration ?
- Quelles métadonnées restent visibles malgré le chiffrement ?
Ces réponses doivent être compréhensibles par le dirigeant, pas seulement par le technicien. Une promesse générale de « cloud sécurisé » ne suffit pas. Demandez où se trouvent les réglages, qui reçoit les alertes et comment la continuité est assurée en cas d’indisponibilité du prestataire.
Un contrôle de 30 minutes à programmer cette semaine
Prenez un fichier fictif, sans donnée sensible, et suivez son parcours : création sur un ordinateur, synchronisation, partage, sauvegarde puis restauration. Vérifiez à chaque étape les droits d’accès et la présence du chiffrement. Cette mise en situation complète utilement une courte sensibilisation des équipes aux risques cyber.
Le résultat attendu tient en trois lignes : les fichiers critiques sont identifiés, les copies sont récupérables et les clés restent maîtrisées. Si un de ces points n’est pas démontré, il devient prioritaire. Un bon chiffrement ne doit ni ralentir le travail quotidien ni dépendre d’une improvisation.
Protéger sans compliquer inutilement
La meilleure stratégie n’est pas de chiffrer au hasard tous les fichiers avec plusieurs outils. Elle consiste à classer les données, activer les protections natives fiables, limiter les accès et tester la récupération. Pour une petite structure, le chiffrement des données en PME devient ainsi une routine vérifiable plutôt qu’un projet technique abstrait. En cas de doute sur des données sensibles ou réglementées, faites valider l’architecture par un prestataire compétent.
Bertrand, rédacteur chevronné, explore l’univers du gaming avec une attention particulière aux nouvelles sorties et aux stratégies de jeu. Il offre un point de vue éclairé sur les évolutions du secteur et les impacts sur la culture numérique.
