Le chiffrement est un terme que chaque entreprise connaît, mais que peu interrogent réellement lors de leurs échanges avec des fournisseurs potentiels. Lorsqu’un fournisseur affirme chiffrer les données ou proposer une « sécurité de niveau bancaire », ces formules semblent rassurantes. Mais elles ne vous disent en réalité rien sur le chiffrement lui-même : chiffré où, chiffré quand et chiffré comment ?
Nous allons expliquer la différence entre le chiffrement au repos et le chiffrement en transit, ce que votre entreprise doit savoir à leur sujet et ce qu’il faut demander aux fournisseurs lorsque vous les contactez.
Que signifient le chiffrement au repos et le chiffrement en transit ?
Ce que signifie le chiffrement au repos
Ce que signifie le chiffrement en transit
Chiffrement au repos et chiffrement en transit
Pourquoi l’architecture à accès zéro réduit les risques
Pourquoi les deux types de chiffrement importent pour les entreprises
Ce que disent les agences de sécurité à propos des services cloud
Ce qu’il faut demander aux fournisseurs au sujet du chiffrement
Que signifient le chiffrement au repos et le chiffrement en transit ?
Les identifiants, les dossiers clients, les données financières, les dossiers des employés et les documents internes traversent trois états distincts au cours d’une journée de travail ordinaire :
- Ces éléments se trouvent dans un espace de stockage.
- Ces éléments circulent sur les réseaux.
- Ces éléments sont déchiffrés pour que quelqu’un puisse réellement les utiliser.
Chacun de ces états est vulnérable à un type d’attaque différent et un service peut être bien protégé dans l’un tout en étant vulnérable dans l’autre.
Les deux termes que tout dirigeant d’entreprise devrait comprendre sont le chiffrement au repos et le chiffrement en transit. Ils sont souvent mentionnés ensemble, mais ils remplissent des fonctions différentes. L’un protège les données lorsqu’elles sont stockées. L’autre protège les données lorsqu’elles circulent.
Les deux sont nécessaires, mais lorsque vous utilisez le chiffrement, vous devez tenir compte de qui détient les clés permettant de déchiffrer vos données. Si c’est votre fournisseur de services, il peut accéder à tout ce qui se trouve sur le réseau de votre entreprise. Nous avons beaucoup écrit sur le fonctionnement du chiffrement si vous avez besoin de vous rafraîchir la mémoire.
Comprendre le chiffrement de bout en bout et l’architecture à accès zéro est essentiel pour toute entreprise qui cherche à protéger ses données. Surtout lorsqu’il s’agit de choisir un gestionnaire de mots de passe pour les entreprises et d’autres systèmes qui stockent des informations sensibles sur l’entreprise.
Ce que signifie le chiffrement au repos
Le chiffrement au repos signifie que les données sont chiffrées lorsqu’elles sont stockées. Cet espace de stockage peut être un serveur, une base de données, un disque dur, un ordinateur portable, une sauvegarde, un système de stockage cloud ou un appareil mobile.
Pour une entreprise, les données stockées sont une cible pour les pirates et les cybercriminels. Un ordinateur portable volé, un disque dur perdu, un serveur compromis, une sauvegarde exposée ou une base de données ayant subi une fuite mettent toutes ces informations en danger. Mais si les données sont chiffrées au repos, la personne qui obtient le support de stockage ou la base de données a toujours besoin de la bonne clé pour les lire.
Pensez à une armoire de classement verrouillée. L’armoire peut être volée, mais les fichiers qu’elle contient restent protégés si la serrure tient et que la clé n’est pas disponible. Le chiffrement au repos joue un rôle similaire pour les données stockées.
Le chiffrement au repos est particulièrement important pour la gestion des identifiants. Un gestionnaire de mots de passe pour les entreprises, par exemple, stocke des noms d’utilisateur, des mots de passe, des notes sécurisées, des codes de récupération et d’autres éléments sensibles. Si ces données stockées n’étaient pas chiffrées, une fuite de données sur le serveur pourrait exposer directement leur contenu. Avec un chiffrement au repos robuste, l’attaquant peut obtenir des éléments chiffrés, mais pas les secrets lisibles qu’ils contiennent.
Toutefois, le chiffrement au repos a une limite que les entreprises négligent souvent. Il protège les données stockées contre certains types d’accès non autorisés, mais il ne peut pas protéger automatiquement les données contre chaque utilisateur autorisé, un initié malveillant, un compte administrateur compromis ou un fournisseur ayant accès aux clés de chiffrement.
Un fournisseur peut chiffrer les données au repos et rester techniquement capable de les déchiffrer s’il contrôle les clés. Cela peut être acceptable pour certains services, selon les données et le cas d’usage. Ce n’est pas la même chose que de dire que le fournisseur ne peut pas lire les données.
Ce que signifie le chiffrement en transit
Le chiffrement en transit protège les données lorsqu’elles circulent entre des systèmes. Par exemple, il peut s’agir du trajet entre le navigateur d’un employé et une application cloud, entre une application et un serveur, entre deux serveurs, ou entre un gestionnaire de mots de passe installé sur l’ordinateur portable d’une personne et les serveurs avec lesquels il se synchronise.
L’exemple le plus évident est HTTPS. Lorsqu’un site internet utilise HTTPS, la connexion entre le navigateur et le site internet est chiffrée. Cela aide à empêcher une personne présente sur le même réseau, un fournisseur d’accès internet ou un autre intermédiaire de lire ou de modifier les données pendant leur circulation.
Pour les entreprises, le chiffrement en transit est important car le travail (et les données) circule désormais en permanence entre les personnes, les appareils et les services cloud. Une demande de connexion, l’importation d’un fichier, une connexion API, l’affichage d’un tableau de bord ou un message peuvent passer par des réseaux que l’entreprise ne contrôle pas. Le chiffrement en transit aide à protéger ces déplacements, afin que les informations sensibles ne soient pas exposées pendant leur trajet entre l’employé et le service qu’il utilise.
Les pages de connexion, les formulaires de paiement, les tableaux de bord, les outils cloud et les gestionnaires de mots de passe ne doivent jamais reposer sur des connexions non chiffrées. Si les identifiants circulent sur internet sans chiffrement, ils sont exposés avant même d’atteindre le système qui les stocke.
Le chiffrement en transit est essentiel, mais il ne protège les données que pendant leur déplacement. Une fois les données arrivées, le système qui les reçoit doit encore les stocker et les traiter en toute sécurité. Un service peut utiliser HTTPS et stocker malgré tout les données d’une manière qui crée des risques par la suite. Le chiffrement au repos et le chiffrement en transit doivent fonctionner ensemble.
Chiffrement au repos et chiffrement en transit
La différence entre ces deux types de chiffrement est plus facile à comprendre en observant ce qui arrive à une donnée d’entreprise au cours de la journée :
Un mot de passe stocké dans un gestionnaire de mots de passe pour les entreprises doit être protégé tant qu’il se trouve dans un coffre-fort. C’est le chiffrement au repos.
Lorsque l’application se synchronise avec un serveur, ou lorsqu’un employé se connecte depuis un navigateur ou un appareil mobile, ces mêmes données doivent également être protégées pendant leur déplacement. C’est le chiffrement en transit.
Les deux étapes sont importantes, mais elles protègent contre des risques différents. Les données stockées peuvent être exposées par une fuite de données sur le serveur, un appareil volé, une base de données compromise ou une sauvegarde cloud non protégée. Les données en transit peuvent être exposées par une interception, des réseaux non sécurisés ou des connexions mal configurées. Une fois les données déchiffrées pour être utilisées, le risque change : hameçonnage, logiciel malveillant(nouvelle fenêtre), comptes compromis, accès malveillant ou accès côté fournisseur peuvent tous entrer en jeu selon la façon dont le service est conçu.
Une simple affirmation de chiffrement de la part d’un fournisseur ne suffit pas. Un fournisseur qui chiffre la connexion mais pas les données stockées peut encore laisser des informations vulnérables après leur arrivée sur le serveur. Un fournisseur qui chiffre à la fois l’espace de stockage et le transport dispose d’une base plus solide, mais les entreprises doivent toujours comprendre qui détient les clés et qui peut déchiffrer les données.
C’est particulièrement important pour les identifiants d’une entreprise. Les mots de passe, les codes de récupération et les notes sécurisées ne sont pas de simples documents professionnels. Ce sont des voies d’accès vers plusieurs systèmes sensibles. Pour les informations à moindre risque, un chiffrement standard au repos et en transit peut suffire. Pour les identifiants d’entreprise, les données juridiques, les fichiers sensibles et les dossiers clients, les entreprises doivent demander si les données ne sont chiffrées que pendant leur stockage et leur déplacement, ou si le service est conçu pour que le fournisseur ne puisse pas non plus lire le contenu.
Pourquoi l’architecture à accès zéro réduit les risques
Le chiffrement de bout en bout signifie que les données sont chiffrées avant de quitter l’appareil de l’utilisateur et ne peuvent être déchiffrées que par l’utilisateur ou le destinataire prévu. Dans un modèle à accès zéro, le fournisseur stocke des données chiffrées mais ne détient pas les clés nécessaires pour les lire.
Cette distinction se perd souvent dans les discussions des entreprises sur le chiffrement. Un fournisseur peut chiffrer les données au repos sur ses serveurs et chiffrer les données en transit sur le réseau, tout en détenant les clés. Dans ce cas, les systèmes du fournisseur peuvent déchiffrer les données pendant le fonctionnement normal.
Avec le chiffrement à accès zéro, le service est conçu différemment. Le fournisseur peut stocker et synchroniser des données chiffrées, mais ne peut pas lire le contenu sous-jacent. Cela élimine le risque créé par l’accès du fournisseur, la compromission du serveur ou un usage interne abusif, car les données les plus sensibles ne sont pas disponibles sous une forme lisible du côté du fournisseur.
Le portail de Proton dédié au chiffrement propose une explication complète du fonctionnement du chiffrement dans l’écosystème Proton, notamment le chiffrement de bout en bout et le chiffrement à accès zéro.
Un gestionnaire de mots de passe pour les entreprises sécurisé comme Proton Pass for Business applique le chiffrement de bout en bout à chaque champ, et pas seulement au mot de passe : les noms d’utilisateur, les adresses web et tout ce qui est stocké dans les notes chiffrées sont chiffrés avant que les données n’atteignent les serveurs de Proton, et ne peuvent être déchiffrés qu’avec le mot de passe du compte de l’utilisateur, que Proton ne détient pas. Cette couverture des métadonnées constitue un véritable différenciateur.
Certains gestionnaires de mots de passe chiffrent le champ du mot de passe et laissent exposées des métadonnées telles que les noms d’utilisateur et les URL, ce qui signifie que le fournisseur (et toute personne qui le compromet) peut encore voir à quels services une entreprise possède des comptes, même sans lire un seul mot de passe.
Cette liste constitue une carte efficace pour un attaquant : quelle plateforme financière, quel fournisseur de paie ou quelle console d’administration cibler pour agir efficacement. C’est exactement le type de reconnaissance qu’un attaquant devrait autrement obtenir au prix d’efforts. Avec Proton Pass for Business, rien n’est laissé non chiffré.
Pourquoi les deux types de chiffrement importent pour les entreprises
Les entreprises dépendent des services cloud pour la messagerie, le stockage de fichiers, les ressources humaines, la paie, la finance, la CRM et l’analytique, entre autres. Chaque service auquel elles ont recours fait alors partie de leur posture de protection des données.
Le chiffrement en transit contribue à protéger le personnel lorsqu’il se connecte à ces services. Le chiffrement au repos aide à protéger les données stockées en leur sein. Le chiffrement à accès zéro ou de bout en bout ajoute une couche supplémentaire lorsque l’entreprise a besoin d’une assurance renforcée que le fournisseur lui-même ne peut pas lire le contenu.
Il est également essentiel de prendre en compte les métadonnées, car c’est la couche la plus souvent laissée sans protection. Les métadonnées peuvent indiquer à un attaquant qui détient un compte auprès de quel service, quand un élément a été créé ou modifié pour la dernière fois, ou vers quelles URL pointe un coffre-fort. Même si une entreprise chiffre tous ses mots de passe, des métadonnées non chiffrées peuvent révéler un inventaire complet de ses outils, de ses fournisseurs et de sa structure interne, à partir des seules métadonnées.
Dans le cas d’un gestionnaire de mots de passe, la différence est claire. S’il chiffre les données en transit mais pas au repos, les identifiants stockés peuvent être exposés en cas de fuite de données du service. S’il chiffre au repos et en transit mais conserve les clés de déchiffrement, le fournisseur peut encore accéder aux données. S’il utilise le chiffrement de bout en bout avec un modèle à accès zéro et étend ce chiffrement aux métadonnées, ni les identifiants ni la cartographie de leur utilisation ne sont lisibles par quiconque, hormis l’entreprise elle-même.
Ce que les agences de sécurité disent des services cloud
De nombreuses entreprises ont recours à des services cloud sans bien comprendre comment ces services protègent les données. Les recommandations de sécurité pour le cloud(nouvelle fenêtre) du NCSC au Royaume-Uni encouragent les organisations à évaluer les services cloud au regard d’un ensemble de principes de sécurité, notamment la protection des données, l’identité et l’authentification, l’administration sécurisée et la sécurité opérationnelle. La CISA aux États-Unis et l’ENISA dans l’UE publient des cadres comparables, qui convergent vers les mêmes attentes fondamentales.
En matière de chiffrement, cela signifie que les entreprises ne doivent pas seulement demander si un fournisseur chiffre les données. Elles doivent comprendre comment les données sont protégées tout au long du cycle de vie du service : lors de leur importation, de leur stockage, de leur traitement, de leur accès, de leur sauvegarde, de leur partage et de leur suppression.
Cela est particulièrement pertinent pour les outils SaaS où le fournisseur gère une grande partie de l’infrastructure. L’entreprise ne contrôle peut-être pas les serveurs, mais elle peut toujours choisir des fournisseurs dotés d’une meilleure architecture de sécurité, d’une documentation plus claire, d’une authentification plus robuste et de modèles de chiffrement adaptés à la sensibilité des données.
Un gestionnaire de mots de passe pour les entreprises appartient à la catégorie des outils à haute sensibilité, car il concentre l’accès à d’autres systèmes de l’entreprise. Si son modèle de chiffrement est faible, le risque ne s’arrête pas au coffre-fort de mots de passe. Il peut s’étendre à la messagerie, à l’espace de stockage cloud, aux outils financiers, aux plateformes clients, aux panneaux d’administration et à tout autre service connecté aux identifiants stockés à l’intérieur.
En tant que gestionnaire de mots de passe pour les équipes informatiques, Proton Pass for Business ajoute des contrôles professionnels tels que des politiques d’administration, des rapports, des journaux, la gestion des groupes, le provisionnement SCIM et l’intégration SSO. Ces fonctionnalités aident les entreprises à gérer qui peut accéder aux identifiants, comment l’accès est accordé et comment la sécurité des identifiants est encadrée au sein de l’équipe.
Ce qu’il faut demander aux fournisseurs à propos du chiffrement
Lorsqu’un fournisseur affirme que vos données sont chiffrées, demandez des précisions. Le terme « chiffré » n’est utile que lorsque l’entreprise comprend ce qui est protégé, quand cela est protégé et qui peut le déchiffrer.
Pour tout service qui stocke des données d’entreprise sensibles, posez les questions suivantes :
- Les données sont-elles chiffrées en transit ?
- Les données sont-elles chiffrées au repos ?
- Quels types de données sont couverts : uniquement les mots de passe ou tous les champs ?
- Les métadonnées sont-elles également chiffrées, y compris les noms d’utilisateur, les URL et les titres des éléments ?
- Les sauvegardes sont-elles également chiffrées ?
- Qui crée et stocke les clés de chiffrement ?
- Le fournisseur peut-il déchiffrer les données des clients ?
- Les équipes de support peuvent-elles accéder au contenu ?
- Le service utilise-t-il le chiffrement de bout en bout ou le chiffrement à accès zéro ?
- Que se passe-t-il si les serveurs du fournisseur font l’objet d’une fuite de données ?
- Le service prend-il en charge l’authentification multifacteur (MFA), les politiques d’administration, les journaux d’accès et le partage sécurisé ?
Ces questions sont encore plus importantes à poser pour un gestionnaire de mots de passe d’entreprise, car les identifiants se connectent à d’autres systèmes. Le service doit protéger les mots de passe tout au long de leur cycle de vie : création, stockage, partage, utilisation, surveillance et suppression.
La génération de mots de passe robustes est utile, mais il s’agit d’une fonctionnalité intégrée au gestionnaire de mots de passe plutôt que d’une solution autonome. La véritable valeur provient de la combinaison d’identifiants uniques avec un espace de stockage chiffré, un partage contrôlé, la MFA, des clés d’accès, une visibilité pour les administrateurs et des contrôles de désactivation des accès.
Un gestionnaire de mots de passe pour les entreprises s’inscrit dans cette stratégie plus large de protection des données en aidant les équipes à stocker les identifiants avec le chiffrement de bout en bout, à partager l’accès de manière sécurisée, à réduire la réutilisation des mots de passe, à gérer les clés d’accès, à utiliser l’authentification à deux facteurs intégrée et à donner aux administrateurs plus de contrôle sur l’accès aux identifiants de l’entreprise.
Stockez les identifiants de votre entreprise avec le chiffrement à accès zéro, essayez Proton Pass for Business.
