Logiciel de cryptage : les conseils pour bien choisir

Malgré un léger recul de 3 % des incidents de cybersécurité, 2022 demeure néanmoins une année record en matière de violation de données. En effet, le niveau est toujours plus élevé par rapport à la période pré-covid. La CNIL a enregistré 4 731 notifications de viols pour cette année. D’après le baromètre sur les fuites de données d’inCyber et le FIC, ce chiffre correspond à cinq-millions de victimes en France. Ces statistiques ne reflètent que la partie immergée de l’iceberg selon les analystes. Les organisations sont culturellement réticentes à l’idée de médiatiser ou de notifier une violation de leurs données.

Dans ce contexte, les acteurs de la cybersécurité proposent toujours des solutions innovantes afin de mieux sécuriser les informations privées. Pour les entreprises, les logiciels de cryptage deviennent des outils indispensables. Ils s’appuient sur des algorithmes complexes pour brouiller les données, les rendre illisibles pour un tiers. Seule une clé de chiffrement rend possible la lecture de ces données.

Néanmoins, face aux multitudes de logiciels sur le marché, il n’est pas évident pour un non-initié de trouver le bon pour son organisation. Choisir un logiciel de cryptage à la hauteur de ses exigences demande une mûre réflexion.

Avant de présenter des recommandations sur le choix d’un logiciel de chiffrement, une brève explication du chiffrement s’impose. Le cryptage est une méthode vieille comme le monde, utilisée depuis des millénaires pour camoufler des informations. Il était notamment utilisé dans le domaine militaire et l’industrie pour cacher des secrets commerciaux.

L’objectif est de rendre des noms, des diagnostics ou autres informations sensibles illisibles par d’autres. Le cryptage transforme ainsi des informations en un code caché.

Pour déchiffrer le code, les personnes qui ont accès à ces informations doivent se servir d’une clé. Il s’agit généralement d’une chaîne de caractères alphanumériques qui traduit les codes en textes lisibles de nouveau.

Longtemps considéré comme un outil utilisé par les services secrets ou autres organisations de la même importance, le cryptage est devenu accessible au public. En effet, le marché regorge désormais de logiciels de cryptage facile à utiliser. Leur niveau de protection est bien élevé par rapport aux mots de passe.

En effet, un mot de passe peut être contourné, le cybercriminel peut s’introduire dans l’ordinateur d’un utilisateur grâce à de multiples subterfuges sophistiqués. Avec le cryptage, les informations qu’il trouve sur l’ordinateur sont impossibles à lire.

La main d’une femme touche un écran virtuel avec un cadenas. Protéger les systèmes sur le réseau. Sécurité des personnes et des informations sur l’internet

Est-il nécessaire de chiffrer toutes ses données ?

La réponse est oui. Même si chaque collaborateur utilise son propre ordinateur, quelques minutes derrière le clavier suffisent à un acteur malveillant pour dérober des informations importantes. Notons qu’un mot de passe de connexion n’est pas suffisant, notamment si le collaborateur a une mauvaise hygiène. Une étude menée par NordPass sur les salariés des 500 plus grandes entreprises au monde le confirme. 68 % d’entre eux se servent d’un mot de passe faible facile à déchiffrer tel qu’un mot du dictionnaire, une combinaison de lettres ou de chiffres, etc.

D’où la nécessité de chiffrer les données sensibles. Mais comment s’y prendre ? Une organisation dispose de deux choix en matière de chiffrement : chiffrer uniquement les éléments importants ou chiffrer l’intégralité des données sur le disque. Chacune de ces deux options présente des avantages et des inconvénients qui méritent une attention particulière lors du choix du logiciel.

Un chiffrement partiel signifie que l’outil protège uniquement une sélection de fichiers contenant des informations sensibles. Cependant, si une personne malveillante accède à l’ordinateur, il peut toujours trouver les fichiers cryptés. Il peut également installer des logiciels malveillants pour dérober ou détruire définitivement les données.

Le chiffrement intégral présente un niveau de sécurité plus élevé. Néanmoins, si jamais le disque est corrompu, les chances de récupération des données sont minces. En somme, un chiffrement complet demande une sauvegarde qui doit être également chiffrée. Cette option peut être complexe pour une petite structure.

La solution adoptée répond-elle aux menaces ?

Une analyse des besoins est une étape préalable avant de choisir un logiciel de cryptage. Pour cela, il suffit d’évaluer les risques et d’identifier les menaces qui pèsent sur l’entreprise. Si cette dernière est victime d’attaques par phishing régulièrement, un chiffrement du disque n’est pas suffisant pour réduire les menaces. Elle a besoin d’une synergie entre plusieurs solutions pour y parvenir.

Prenons l’exemple d’une entreprise victime d’un vol d’ordinateurs régulièrement. Dans ce cas, l’utilisation d’un logiciel de cryptage n’est pas suffisante si l’ordinateur ne résiste pas à des attaques de démarrage à froid ou d’utilisation de port Firewire 1394. Ainsi, avant de choisir la solution, il est préférable de discuter de ces points techniques avec le fournisseur.

Qu’en est-il de la compatibilité du logiciel ?

La solution de chiffrement demande une gestion centralisée, notamment dans une grande entreprise. L’utilisation d’Active Directory ou d’une PKI (infrastructure de gestion de clés) est nécessaire. En l’absence de ces infrastructures, le coût de déploiement du logiciel de cryptage peut vite s’élever.

Par ailleurs, il faudra également se poser la question de la compatibilité de la solution de chiffrement avec les applications utilisateur. La crédibilité du fournisseur est ici mise en cause. Propose-t-il une solution fiable qui n’écrase pas les autres applications ? Un test pratique du service informatique est indispensable pour vérifier cette compatibilité.

Un autre point à ne pas négliger est l’intervention humaine. Si à chaque démarrage de la machine, il faut saisir un code PIN, le processus peut être complexe en place. C’est d’autant plus le cas si l’entreprise utilise des serveurs éparpillés à travers le monde. Dans cette situation, il est préférable de confier la gestion de la solution à un prestataire.

Quelles sont les formations nécessaires pour l’utilisation du logiciel de chiffrement ?

Un produit contenant des bugs ou qui est très intrusif demande indubitablement une formation pour son utilisation. L’entreprise doit donc tenir compte de ce coût de formation, au-delà du coût de la solution de chiffrement.

Le meilleur moyen de déployer la solution consiste à faire un lancement dans un petit groupe test. Cela permet de relever les difficultés des collaborateurs et de collecter leur retour. Si les utilisateurs doivent configurer eux-mêmes le produit, une formation dans cette voie est nécessaire.

Si chaque utilisateur doit choisir les fichiers qu’ils estiment importants pour être chiffrés, l’entreprise doit également dispenser une formation pour renforcer la confiance envers ses collaborateurs. De son côté, le service d’assistance a besoin d’une connaissance plus approfondie pour prêter main-forte à ces utilisateurs en cas de problèmes.

Bref, le déploiement à grande échelle d’une solution de chiffrement soulève la question de la formation qui est souvent coûteuse. Pourtant, ignorer ce problème peut réduire l’inefficacité de la solution adoptée.

Quels sont les systèmes d’exploitation pris en charge ?

Sachant que près de 10 % des utilisateurs de Windows possèdent toujours la version 7, la solution fonctionne-t-elle avec cette ancienne version ? Si tel n’est pas le cas, une mise à niveau des ordinateurs du parc informatique est peut-être indispensable.

Un autre problème, si le logiciel fonctionne encore en 32 bits, il n’en vaut plus la peine puisque la migration vers le 64 bits s’effectue progressivement. Et si les ordinateurs sous Linux ou Mac sont minoritaires, cela arrive que la solution de chiffrement ne les prenne pas en charge.

Qu’en est-il de la récupération des données en cas de pertes des clés ?

Si le fournisseur ne propose pas une méthode de récupération fiable, la solution de chiffrement n’est rien de plus qu’une attaque de déni de service que l’entreprise s’inflige à elle-même. Il peut arriver que les disques durs tombent en panne, que les utilisateurs oublient leurs mots de passe, que le logiciel se trouve en bug, etc.

Dans ces situations, l’entreprise doit être en mesure de récupérer ses données sans difficulté. Si la récupération est possible, elle soulève également la question de la sécurité. En effet, les pirates peuvent le considérer comme une faille.

cadenas sur un pc Omen by HP

Axcrypt

Grâce à son offre Axcrypt Premium, cet outil de cryptage figure parmi les plus faciles à utiliser et les plus sécurisés du marché. La seule responsabilité de l’utilisateur est de le lancer à l’aide d’un mot de passe principal fort. Ensuite, le logiciel de cryptage prend tout en charge : cryptage de fichiers avec l’algorithme AES et partage à l’aide de la technologie PKI.

NordLocker

Cet outil de cryptage appartient aux éditeurs de NordVPN. NordLocker fournit un conteneur de stockage crypté. Les fichiers présents sont uniquement accessibles lorsque les conteneurs sont ouverts. Grâce à un compte gratuit, l’utilisateur peut déjà créer un nombre illimité de conteneurs cryptés sur son appareil. Il bénéficie également d’un stockage crypté en ligne de 3 Go. Pour augmenter cette capacité de stockage, il faudra souscrire à l’abonnement.

Bitlocker

Ce logiciel de cryptage fonctionne comme un lecteur virtuel installé sur l’ordinateur. Il permet d’effectuer un chiffrement complet du disque dur grâce au protocole AES. Il est à noter qu’il est même disponible sur plusieurs versions de Windows.

GNU Privacy Guard

Il s’agit d’un outil open source pris en charge par Windows, Linux et OS X. Accessible à tous et facile à utiliser, le logiciel est capable de crypter à la fois des courriels, des fichiers, des disques et d’autres supports connectés.  

Veracrypt

Veracrypt utilise plusieurs algorithmes de chiffrement à l’instar de Serpent, AES ou encore Two Fish. Le successeur de Truecrypt existe en plusieurs versions adaptées à différents systèmes d’exploitation. L’avantage de Veracrypt est sa mise à jour régulière ainsi que son développement continu. Face à l’évolution constante des techniques des hackers, ce point constitue un avantage.