Le disque non chiffré qui va vous coûter cher : BitLocker sur tout le parc

BitLocker est le chiffrement de disque déjà inclus dans Windows Pro et Enterprise — la question qui compte n'est pas de savoir si vous l'avez activé un jour, mais s'il est encore actif aujourd'hui même sur chaque machine de votre parc, car il peut se désactiver tout seul après une réinstallation ou un changement de matériel sans que personne ne s'en aperçoive. La suite de cet article explique comment refermer cet angle mort sans passer machine par machine.

L'appel arrive un lundi à 8 h 40. « On m'a volé mon sac dans le taxi. Le portable était dedans. » À cet instant, la question importante n'est pas le prix de la machine — la remplacer règle ce point. La question, c'est une autre : ce disque était-il chiffré ?

Si la réponse est oui, vous avez perdu du matériel. Si la réponse est non — ou pire, « je ne sais pas » — vous avez perdu le contrôle de tout ce qu'il y avait dedans : la base clients exportée dans un Excel, les identifiants enregistrés dans le navigateur, les contrats dans Téléchargements, la session de messagerie restée ouverte.

Un disque non chiffré ne se vole pas : il se lit

Il existe une idée confortable selon laquelle le mot de passe Windows protège le contenu de la machine. C'est faux. Celui qui a la machine entre les mains n'a aucun mot de passe à deviner : il sort le disque, le branche sur un autre ordinateur comme disque externe, et lit chaque fichier comme sur une clé USB. Dix minutes, un tournevis, aucune compétence avancée.

Le chiffrement intégral du disque est la seule chose qui transforme ce scénario en non-événement : sans la clé, le disque n'est que du bruit illisible. Et sous Windows, cette protection a un nom et vous l'avez déjà payée : BitLocker, inclus dans Windows Pro et Enterprise. Aucune licence supplémentaire à acheter, aucun logiciel à évaluer.

Au-delà du dommage direct, il y a les conséquences de second ordre : les lois de protection des données de la région — LGPD au Brésil, LFPDPPP au Mexique, loi 1581 en Colombie et leurs équivalents — traitent un appareil perdu contenant des données personnelles lisibles comme un incident pouvant imposer une notification et entraîner des sanctions. Un disque chiffré change complètement cette conversation : les données n'ont pas été exposées.

BitLocker, c'est quoi et comment ça marche, sans jargon

BitLocker est la fonction de chiffrement intégral du disque intégrée à Windows : elle chiffre chaque secteur du disque en AES et, quand la machine dispose d'une puce TPM (Trusted Platform Module), y range la clé, de sorte que seul ce matériel précis peut la déverrouiller au démarrage. Elle est disponible dans Windows Pro, Enterprise et Education — pas dans Windows Home, qui n'embarque que le « chiffrement de l'appareil » (une version plus limitée) ou impose de changer d'édition pour accéder au BitLocker complet. À l'activation, Windows génère une clé de récupération de 48 chiffres qu'il faut sauvegarder ailleurs que sur la machine — compte Microsoft, Azure AD ou gestionnaire centralisé — car sans elle, un mot de passe oublié ou un changement de matériel peut rendre le disque inaccessible même à son propriétaire légitime. Pour la personne qui utilise le poste, une fois configuré, il est invisible : pas d'écran de chargement ni de mot de passe supplémentaire à retenir au quotidien.

Le vrai problème n'est pas d'activer BitLocker : c'est de le savoir tous les jours

Activer BitLocker sur une machine prend quelques minutes. Le vrai problème apparaît avec l'échelle et avec le temps :

• Des machines neuves intégrées à la va-vite, que personne n'a chiffrées.
• Des réinstallations de Windows après une panne, où le chiffrement n'a jamais été réactivé.
• Une protection suspendue pour une mise à jour du BIOS ou un changement de matériel… restée suspendue pour toujours.
• Le portable du commercial qui ne met presque jamais les pieds au bureau et que personne n'a vérifié depuis sa remise.
• Des éditions Home arrivées lors d'un achat pressé, sans BitLocker.

L'état de chiffrement d'un parc n'est pas une photo : c'est un film qui se dégrade tout seul. La question qui compte n'est pas « avons-nous activé BitLocker en 2024 ? » mais « combien de disques de mon parc sont non chiffrés aujourd'hui, là, maintenant ? ». Si y répondre exige de faire le tour machine par machine, la réponse pratique est « je ne sais pas ».

Ce qui change entre un disque chiffré et un disque en clair

| Scénario | Disque non chiffré | Disque avec BitLocker actif | |----------|--------------------|-----------------------------| | Portable volé dans la rue | Tous les fichiers lisibles en quelques minutes | Disque illisible sans la clé | | Machine mise au rebut ou revendue | Données récupérables même après « effacement » | Contenu inaccessible | | Disque extrait et branché sur un autre PC | Accès total au contenu | Du bruit chiffré | | Obligations face aux lois sur les données | Notification de fuite possible et sanctions | Données protégées : scénario défendable | | Conversation avec votre client | « Vos données sont peut-être exposées » | « La machine est perdue ; vos données, non » |

Cette dernière ligne fait la différence entre perdre un actif et perdre un client.

Voir le chiffrement de tout le parc sur un seul écran

C'est là qu'un RMM cesse d'être un outil de support pour devenir votre couche de sécurité. L'agent Argos remonte en continu la posture de sécurité de chaque machine — antivirus, pare-feu et état de BitLocker, le même bloc que vous pouvez explorer en détail dans les fonctions de sécurité — vers une console unique :

• Vue complète du parc : combien de machines ont le disque chiffré, lesquelles ne l'ont pas, et lesquelles ont changé d'état — sans toucher un seul PC.
• Des alertes quand quelque chose bouge : si BitLocker apparaît désactivé ou suspendu sur une machine, la notification vous parvient par le canal de votre choix — Telegram, webhook ou e-mail — selon des règles de sécurité que vous configurez. Vous l'apprenez le jour même, pas le jour du vol.
• Historique et contexte : le changement de posture est consigné dans la chronologie de la machine, avec son activité et son état général.
• Action immédiate : vous détectez une machine non chiffrée et le responsable est à trois succursales de là. Avec la prise de contrôle à distance intégrée, vous entrez sur cette machine en quelques secondes et vous corrigez sur-le-champ, sans programmer de déplacement.

La logique est la même pour toute la sécurité du parc : le standard n'est pas « on l'a configuré une fois », c'est une vérification continue, avec des preuves.

Commencez par le chiffre que vous ne connaissez pas

Il y a un exercice inconfortable mais salutaire : demandez-vous combien de machines compte votre parc, et pour combien d'entre elles vous pourriez jurer — aujourd'hui, preuves à l'appui — que le disque est chiffré. S'il y a un écart entre les deux chiffres, cet écart est votre exposition réelle, et aucun antivirus ne la couvre.

La bonne nouvelle : refermer cet écart ne demande pas d'acheter du chiffrement. Il faut de la visibilité pour repérer les disques sans protection, et de la constance pour qu'ils ne réapparaissent pas. C'est exactement ce qu'une console de parc fait pour vous, tous les jours.

Foire aux questions sur BitLocker

BitLocker est-il inclus dans toutes les versions de Windows ? Non. Il est fourni avec Windows Pro, Enterprise et Education. Windows Home ne l'inclut pas : il propose une version plus basique appelée « chiffrement de l'appareil », qui exige un compte Microsoft et un matériel compatible, ou impose de changer d'édition pour accéder au BitLocker complet avec toutes ses options de gestion.

BitLocker ralentit-il le PC ? Sur des machines de quelques années, l'impact est pratiquement imperceptible : les processeurs récents accélèrent le chiffrement AES au niveau matériel. Le vrai coût n'est pas dans les performances mais dans la gestion — sans visibilité centralisée, BitLocker peut facilement rester désactivé sans que personne ne s'en aperçoive.

Que se passe-t-il si la clé de récupération BitLocker est perdue ? Sans la clé de récupération de 48 chiffres, un disque protégé par BitLocker est irrécupérable, même pour son propriétaire légitime — c'est tout le principe du chiffrement. C'est pourquoi la clé doit être sauvegardée dans un endroit séparé de la machine (compte Microsoft, Azure AD ou gestionnaire centralisé), jamais uniquement dans la mémoire de la personne qui l'a activée.

Comment vérifier l'état de BitLocker sur des dizaines de machines sans les visiter une par une ? Contrôler chaque poste à la main ne tient pas au-delà d'une poignée de PC. Un RMM comme Argos remonte l'état de BitLocker de chaque machine en continu vers une console unique, avec des alertes automatiques si le chiffrement est désactivé ou suspendu — la vue complète du parc est détaillée dans le bloc des fonctions de sécurité.

Regardez votre parc comme le verrait un auditeur : réservez une démo d'Argos et nous vous montrons la vue des alertes de sécurité en direct — y compris l'allure d'une machine avec BitLocker éteint, avant qu'elle ne fasse les gros titres.