Chiffrer, c'est transformer une donnée lisible (le texte clair) en une donnée illisible (le texte chiffré) grâce à un algorithme et une clé. Sans cette clé, la donnée reste incompréhensible, même interceptée. C'est la différence fondamentale avec un simple mot de passe : le chiffrement agit sur la donnée elle-même, pas seulement sur l'accès à un compte.
Prenons un exemple concret : un ordinateur portable volé contenant des dossiers clients. Si le disque est chiffré, les données restent protégées même si le voleur démonte le disque dur et tente de le lire ailleurs. Sans chiffrement, tout est accessible en quelques minutes avec des outils courants.
En entreprise
- Chiffrement des disques des ordinateurs portables et des serveurs.
- Chiffrement des sauvegardes, souvent stockées hors site ou chez un prestataire.
- Chiffrement des bases de données contenant des informations sensibles (RH, santé, paiement).
Le chiffrement répond à deux besoins distincts : la confidentialité en transit (pendant qu'une donnée circule sur un réseau) et la confidentialité au repos (quand elle est stockée). Confondre les deux est une erreur fréquente : un e-mail peut être chiffré pendant son transport mais rester lisible en clair sur le serveur qui l'héberge.
Limites et risques
Le chiffrement n'est pas une solution magique. Une clé mal protégée annule tout l'intérêt du dispositif : chiffrer une donnée et laisser la clé à côté revient à verrouiller une porte en laissant la clé sur la serrure. Par ailleurs, une clé perdue signifie souvent une donnée définitivement inaccessible, y compris pour son propriétaire légitime. C'est pourquoi la gestion des clés est aussi importante que le chiffrement lui-même.
Pièges à éviter
- Croire qu'un mot de passe fort remplace le chiffrement : ce sont deux mécanismes complémentaires, pas interchangeables.
- Chiffrer sans avoir de procédure de sauvegarde des clés : un incident technique peut rendre les données irrécupérables.
- Penser que le chiffrement dispense de toute autre mesure de sécurité (contrôle d'accès, journalisation, mises à jour).
💡 Conseil de pro : avant de demander « est-ce chiffré ? », demandez toujours « au repos, en transit, ou les deux ? » et « qui détient la clé ? ». Ces deux questions révèlent en général le niveau réel de protection.
Mini-exercice
Listez trois types de données sensibles manipulées dans votre organisation (fichiers RH, contrats, données clients…). Pour chacune, notez si elle est chiffrée au repos, en transit, les deux, ou aucun des deux. Vous obtiendrez une première cartographie utile pour la suite du cours.