O P T - O N

Pour un numérique responsable ...

Chiffrement et contrôle des données en transit et au repos

Chiffrement et contrôle des données en transit et au repos

Dans de nombreuses organisations, le chiffrement des données est encore présenté comme une réponse presque automatique aux exigences de sécurité et de conformité. Pourtant, cette vision est incomplète. Chiffrer ne signifie pas contrôler. Et, du point de vue du RGPD, cette nuance est décisive.

Le véritable enjeu n’est pas seulement de savoir si une donnée est chiffrée, mais qui peut y accéder, par quels chemins, dans quelles copies, avec quelles clés, et comment l’organisation réagit si un compte, un terminal ou un système est compromis.

Cette distinction est particulièrement importante pour les entreprises, administrations et associations qui manipulent des données personnelles, des informations sensibles ou des secrets d’affaires. Car en pratique, la donnée ne “vit” pas dans un seul endroit : elle circule, se duplique, se met en cache, s’archive, se sauvegarde et se retrouve parfois dans des journaux techniques ou des exports métier.

Cet article propose une lecture opérationnelle du sujet, dans une logique de gouvernance et de maîtrise des risques. L’objectif est de d’obteniur une grille d’analyse utile pour les décideurs, DPO, RSSI, directions juridiques et responsables IT.

Comprendre les deux états de la donnée : transit et repos

La distinction entre données en transit et données au repos semble simple, mais elle structure en réalité toute la stratégie de protection.

Données en transit

Il s’agit des informations qui circulent entre des systèmes ou des processus :

  • navigation entre un navigateur et un serveur web ;
  • appels entre applications ou API internes ;
  • téléversement et téléchargement de fichiers ;
  • synchronisations entre services cloud et postes utilisateurs.

Le risque principal ici est double :

  • interception ;
  • altération pendant le transport.

Données au repos

Ce sont les données stockées de manière persistante :

  • bases de données ;
  • disques ;
  • espaces de fichiers ;
  • archives ;
  • sauvegardes ;
  • environnements de réplication.

Le danger est différent : la donnée stockée attire les attaquants car elle peut être exfiltrée en masse, analysée plus tard et exploitée dans la durée.

Ce que cette distinction change vraiment le chiffrement des données

Le point fondamental à retenir : une même donnée passe sans cesse d’un état à l’autre. En environnement réel, un document peut être :

  • stocké dans une base ;
  • exporté dans un tableur ;
  • transmis par courriel ;
  • copié dans un répertoire partagé ;
  • sauvegardé par un système tiers.

Autrement dit, la protection ne doit pas viser un “emplacement”, mais le cycle de vie de la donnée.

Pour une organisation soumise au RGPD, cette idée rejoint directement plusieurs obligations :

  • minimisation des données ;
  • limitation de la conservation ;
  • sécurité du traitement ;
  • capacité à démontrer la maîtrise des flux.

Le chiffrement des données en transit : utile, mais limité par les frontières de confiance

Le mécanisme de protection le plus courant pour les données en transit est TLS. Il protège la confidentialité et l’intégrité des échanges entre deux points.

C’est essentiel, mais il faut éviter une confusion fréquente : TLS ne crée pas, à lui seul, une confidentialité universelle de bout en bout sur l’ensemble du parcours.

Là où beaucoup d’organisations se trompent

Dans les architectures modernes, les flux passent souvent par :

  • des reverse proxies ;
  • des passerelles API ;
  • des load balancers ;
  • des équipements d’inspection ;
  • des services intermédiaires internes ou cloud.

À chaque terminaison TLS, la donnée peut redevenir lisible. Le point critique n’est donc pas simplement “est-ce chiffré ?”, mais où le flux est-il déchiffré, par qui, et pour quelle finalité ?

Pour un DSI ou un RSSI, cela impose une cartographie précise des frontières de confiance.

Le chiffrement du flux ne remplace pas la vérification d’identité

Autre point à retenir : le chiffrement du transport n’est pas une preuve automatique d’identité. Cette confiance dépend :

  • des certificats ;
  • de la chaîne de validation ;
  • de la bonne configuration des clients et serveurs ;
  • de la maîtrise des autorités de confiance.

Une connexion peut sembler “sécurisée” techniquement tout en étant établie avec le mauvais interlocuteur si la validation est défaillante.

Dans une perspective de conformité, cela rappelle qu’une mesure technique ne vaut que si elle est correctement administrée et contrôlée.

Contrôler les chemins de circulation : la donnée fuit souvent par un trajet autorisé mais inadapté

Le principe de protection dès la conception impose de se poser les bonnes questions : protéger les données en transit, ce n’est pas seulement les chiffrer, c’est aussi limiter les destinations possibles.

Si une information sensible est envoyée à un mauvais destinataire, le chiffrement du canal n’annule en rien l’incident. La fuite a bien eu lieu et doit être traitée comme telle, afin d’envisager une notification à la CNIL.

La segmentation comme mesure de protection des données

La segmentation est souvent présentée comme un sujet purement réseau. En réalité, c’est aussi une logique de discipline des flux de données.

Elle vise à faire en sorte que :

  • seuls certains systèmes puissent communiquer entre eux ;
  • les bases sensibles ne soient pas accessibles depuis n’importe quel segment ;
  • un poste compromis ne puisse pas rebondir vers l’ensemble du SI ;
  • les flux applicatifs suivent des routes prévues, documentées et justifiées.

Cette approche rejoint également le principe de privacy by design : on réduit les possibilités techniques d’exposition avant même qu’un incident ne survienne.

Une question utile à poser en gouvernance

Pour chaque flux sensible, une question simple peut être posée :

Cette donnée peut-elle techniquement prendre un chemin non prévu par l’organisation ?

Si la réponse est oui, le risque n’est pas seulement cyber. Il devient aussi juridique, opérationnel et réputationnel.

le chiffrement des données au repos ne remplace jamais les droits d’accès

Quand on parle de protection des données stockées, la première ligne de défense reste le contrôle d’accès :

  • permissions ;
  • rôles ;
  • authentification forte ;
  • cloisonnement ;
  • restrictions d’export ;
  • séparation des privilèges.

Il convient d’insister sur un point souvent sous-estimé : un stockage derrière un écran de connexion n’est pas automatiquement sûr.

Pourquoi la surface d’accès est plus large qu’on ne le pense

Un même dépôt de données peut être accessible :

  • via l’application métier ;
  • via un compte administrateur ;
  • via un compte de service ;
  • via un outil de reporting ;
  • via un mécanisme de sauvegarde ;
  • via une console d’exploitation ;
  • via un export automatisé.

Chaque chemin supplémentaire crée un risque de dérive. Un seul point faible peut neutraliser des contrôles par ailleurs robustes.

Dans les audits, c’est souvent là que les écarts apparaissent : le niveau de protection est hétérogène selon le canal d’accès.

Ce que protège réellement le chiffrement des données au repos

Le chiffrement des données au repos est très utile contre certains scénarios :

  • vol d’un support physique ;
  • accès non autorisé à des fichiers bruts ;
  • compromission de bas niveau sur une infrastructure de stockage ;
  • fuite d’un support de sauvegarde.

En revanche, il protège beaucoup moins contre un attaquant qui utilise un compte légitime compromis. Si l’application déchiffre normalement la donnée pour un utilisateur autorisé, un compte détourné bénéficiera du même mécanisme.

C’est un point de maturité essentiel : le chiffrement réduit le dommage dans certains cas, mais il ne décide pas des droits d’accès.

Le véritable centre de gravité : la gestion et la propriété des clés

Mettons l’accent sur ce qui détermine, au fond, le contrôle réel de la donnée : la clé de chiffrement.

On peut résumer la logique ainsi :

  • si vous n’avez pas la clé, vous ne contrôlez pas vraiment l’accès ;
  • si l’attaquant a la clé, le chiffrement perd toute sa valeur ;
  • si vous perdez vous-même la clé, vous créez un risque de non-disponibilité critique.

Qui détient la clé détient souvent le pouvoir

Cette question est particulièrement sensible dans les environnements externalisés, mutualisés ou cloud.

Même si la donnée “vous appartient”, si un prestataire détient les clés et peut techniquement déchiffrer les contenus, alors votre confidentialité dépend aussi :

  • de ses pratiques internes ;
  • de son modèle d’exploitation ;
  • de sa gestion des incidents ;
  • de ses obligations légales ;
  • de ses arbitrages opérationnels.

C’est un sujet central pour les organisations qui doivent évaluer leurs sous-traitants au sens du RGPD.

Chiffrement fournisseur vs maîtrise organisationnelle

Retenons une vérité pratique : chiffrer vos donées chez le prestataire qui les hébergent n’implique pas automatiquement qu’il ne puisse pas lire les données. En effet, le prestataire dispose des données en claires entre le moment où il les reçoit, et le moment où le chiffrement à lieu.

Pour les décideurs, cela invite à distinguer au moins trois situations :

  1. Le prestataire chiffre et gère les clés
    • simplicité opérationnelle ;
    • dépendance forte au fournisseur ;
    • modèle de confiance plus large.
  2. L’organisation garde la main sur les clés
    • meilleur contrôle ;
    • complexité accrue ;
    • impacts possibles sur l’exploitation, le support et certains usages.
  3. Modèles hybrides
    • compromis entre gouvernance, performance et contraintes métier.

Le bon choix dépend du niveau de sensibilité, des obligations contractuelles et de la capacité interne à opérer le dispositif. Nous ne prescrivons pas de modèle unique, mais soyons clairs : la question de la clé est plus décisive que le simple fait d’annoncer “nos données sont chiffrées”.

Séparer les rôles pour éviter les compromissions silencieuses

Une fois les choix stratégiques initiaux, d’autres devront suivre concernant la séparation entre :

  • créateurs de clés ;
  • dépositaires ou gardiens des clés ;
  • systèmes ou personnes autorisés à les utiliser.

Cette séparation est rarement mise en avant dans les communications générales sur la cybersécurité, alors qu’elle est structurante.

Pourquoi cette séparation compte

Quand une seule personne, équipe ou plateforme peut :

  • générer les clés ;
  • les stocker ;
  • les invoquer ;
  • accéder aux données associées,

le risque augmente fortement :

  • erreur humaine ;
  • abus interne ;
  • escalade discrète de privilèges ;
  • absence de traçabilité ;
  • difficulté d’audit.

À l’inverse, une séparation raisonnée permet de rendre une compromission plus difficile et plus visible.

Pour les organisations matures, cela rejoint les bonnes pratiques de :

  • séparation des tâches ;
  • revue des habilitations ;
  • traçabilité des usages cryptographiques ;
  • contrôle interne.

Le point aveugle classique du chiffrement des données : copies, exports, caches, logs et sauvegardes

Malgré une stratégie de chiffrement bien organisée, il est indispensable de s’interesser aux “ombres” de la donnée : toutes les copies et dérivés créés par le fonctionnement normal de l’organisation.

C’est souvent là que les politiques de sécurité perdent leur cohérence.

Exemples typiques de dérive

Une base peut être bien protégée, mais :

  • des exports quotidiens sont déposés dans un répertoire moins sécurisé ;
  • des fichiers sont téléchargés sur des postes non maîtrisés ;
  • des logs applicatifs contiennent des données sensibles ;
  • une sauvegarde ancienne échappe au niveau de contrôle courant ;
  • un outil de BI reconstitue des jeux de données plus accessibles que la source.

D’un point de vue RGPD, ces situations sont critiques car elles créent des traitements périphériques parfois non documentés, mal conservés ou insuffisamment sécurisés.

Pourquoi la logique DLP reste pertinente

Abordons la Data Loss Prevention (DLP) : il ne suffit pas de protéger le “stockage principal”, il faut aussi comprendre où la donnée fuit dans les usages ordinaires.

Autrement dit, les risques ne viennent pas uniquement d’une attaque sophistiquée. Ils viennent souvent du quotidien :

  • une extraction pour un comité ;
  • une copie pour un prestataire ;
  • un débogage applicatif ;
  • un partage rapide en situation d’urgence.

Pour les directions de la conformité, cela rappelle une règle simple : le périmètre réel d’exposition n’est presque jamais limité au système de production. Cette préventuion est possible en adoptant une logique d’anticipation, pillier de la conformité RGPD, rendue possible par la réalisation de l’analyse de risques relative à la protection des données, ou AIPD.

Sans supervision, les contrôles restent théoriques

Le discours sur le chiffrement des données oublie souvent une dimension essentielle : la détection.

La prévention n’est jamais parfaite, il faut donc surveiller des signaux d’écart.

Ce qu’il faut chercher dans les flux

Pour les données en transit, la supervision peut viser :

  • des destinations inhabituelles ;
  • des volumes anormaux de sortie ;
  • des transferts massifs ;
  • des flux vers des segments non prévus.

Ce qu’il faut chercher dans les stockages

Pour les données au repos, les signaux pertinents peuvent inclure :

  • lectures inhabituelles ;
  • changements soudains de permissions ;
  • accès à des heures atypiques ;
  • consultation par des identités qui n’interviennent pas d’ordinaire sur ces données ;
  • exports ou suppressions en nombre.

Surveiller n’est pas une option de confort, c’est une composante de la protection des données.

Dans une logique de responsabilité démontrable, la capacité à détecter rapidement une extraction ou un mésusage peut faire une différence majeure dans :

  • la limitation de l’impact ;
  • la qualification de l’incident ;
  • la notification à la CNIL si nécessaire ;
  • la gestion de crise.

L’identité : le maillon qui donne du sens au chiffrement des données

Enfin, il paraît essentiel de rappeler que cryptographie et gestion des identités ne peuvent pas être traitées séparément.

Si un attaquant vole des identifiants légitimes, il peut accéder à la donnée par les canaux normaux. Le système déchiffre alors pour lui, comme il l’aurait fait pour l’utilisateur légitime.

Conséquence directe

Le chiffrement des données devient beaucoup moins protecteur si l’organisation ne maîtrise pas :

  • l’authentification forte ;
  • le moindre privilège ;
  • la sécurité des sessions ;
  • la revue des comptes de service ;
  • la détection des comportements anormaux.

C’est pourquoi, pour les responsables conformité comme pour les responsables sécurité, une formule mérite d’être retenue : une donnée chiffrée reste exposée si les identités autorisées sont trop nombreuses, trop puissantes ou insuffisamment protégées.

Concevoir des contrôles compatibles avec le travail réel

Soyons réaliste, la première des faille est souvent humaine : lorsque les contrôles sont trop rigides ou mal adaptés, les équipes contournent.

Ce point est trop souvent traité comme un problème de discipline utilisateur, alors qu’il s’agit en réalité d’un problème de design organisationnel.

Quelques mécanismes de contournement prévisibles

  • stockage parallèle parce que l’outil officiel est trop difficile d’accès ;
  • partage via comptes personnels faute d’alternative approuvée ;
  • création d’exceptions permanentes pour répondre aux urgences ;
  • maintien de “portes de secours” non gouvernées pour les incidents.

“Si la sécurité ou la conformité empêche le travail, le travail finira par les contourner.” Jérôme, DPO Certifié chez Opt-on.

Pour les décideurs, cela implique d’intégrer à la politique de protection :

  • l’expérience utilisateur ;
  • les besoins d’exploitation ;
  • les scénarios de crise ;
  • les usages mobiles et hybrides ;
  • les exigences de récupération rapide.

La sécurité efficace agit comme un garde-fou, pas comme un verrou impraticable.

Résilience : protéger, c’est aussi savoir récupérer

Pour les organisations matures, la protection des données ne relève pas seulement de la prévention, mais aussi de la résilience.

Trois dimensions à ne pas négliger

1. Restaurer la disponibilité

Si un incident affecte l’accès à la donnée, il faut pouvoir restaurer :

  • les systèmes ;
  • les jeux de données ;
  • les accès légitimes.

2. Réagir à une compromission de clés

En cas d’exposition d’un secret cryptographique, l’organisation doit avoir prévu :

  • rotation ;
  • révocation ;
  • réémission ;
  • reconfiguration des dépendances.

3. Répondre vite à la question la plus difficile

Lors d’un incident, la question la plus sensible est souvent :

Quelles données ont réellement été exposées ?

Sans inventaire fiable des emplacements, copies, sauvegardes et flux, cette réponse devient lente, approximative et risquée.

Dans le cadre de la règlementation de la protection des données, cette incapacité peut aggraver autant le dommage opérationnel que l’exposition réglementaire.

Points clés à retenir sur le chiffrement des données

  • Le chiffrement des données n’est pas une politique d’accès : il réduit certains risques, mais ne remplace ni les habilitations ni le moindre privilège.
  • Les données sensibles se multiplient : base source, export, cache, sauvegarde, log et poste utilisateur doivent être intégrés au périmètre de protection.
  • TLS protège un lien, pas nécessairement tout le parcours : documentez précisément les points où les flux sont terminés, inspectés ou déchiffrés.
  • La segmentation limite la portée d’une compromission : restreignez les chemins réseau et applicatifs par lesquels les données peuvent circuler.
  • Qui contrôle les clés de chiffrement contrôle en pratique l’accès à la donnée : évaluez clairement la répartition des responsabilités entre organisation, équipes internes et prestataires.
  • Séparez les rôles liés aux clés : génération, garde et usage ne devraient pas être concentrés sans supervision.
  • Surveillez les usages anormaux : accès inhabituels, pics d’export, changements de permissions et destinations inattendues doivent déclencher des alertes.
  • Renforcez l’identité avant de compter sur la cryptographie : MFA, revue des privilèges, protection des comptes de service et sécurité des sessions sont indispensables.
  • Concevez des contrôles utilisables : une mesure trop contraignante génère des contournements et affaiblit la sécurité réelle.
  • Préparez la récupération : plans de sauvegarde, rotation des clés de chiffrement, inventaire des emplacements de données et scénarios d’incident doivent être formalisés.

Une lecture utile pour la conformité RGPD : passer d’une logique d’outil à une logique de maîtrise

Vous qui lisez cet article jusqu’à ce point, vous devez être chef d’entreprises, responsable de la conformité, ou encore Risk Manager, nous vous invitons à retenir cette conclusion : la protection des données n’est pas un paramètre technique isolé, mais une architecture de confiance.

Le chiffrement en transit répond à une partie du problème. Le chiffrement au repos en couvre une autre. Mais la solidité d’ensemble dépend aussi de :

  • la cartographie des flux ;
  • la qualité des identités ;
  • la cohérence des droits d’accès ;
  • la gouvernance des clés ;
  • la maîtrise des copies ;
  • la supervision ;
  • la résilience.

En d’autres termes, une organisation ne protège réellement ses données que lorsqu’elle peut répondre clairement à six questions :

  1. Où se trouvent les données sensibles ?
  2. Par quels chemins circulent-elles ?
  3. Qui peut y accéder directement ou indirectement ?
  4. Qui détient les clés permettant leur lecture ?
  5. Quelles copies secondaires existent en dehors du système principal ?
  6. Que se passe-t-il si une identité, un équipement ou une clé est compromis ?

Tant que ces réponses restent incomplètes, le chiffrement risque de n’être qu’un signal rassurant. Lorsqu’elles deviennent précises, documentées et pilotées, il devient au contraire un levier crédible de conformité, de sécurité et de confiance.