Chiffrement clé USB : protégez vos données même lorsqu’elles quittent l’entreprise
Soyons honnêtes : les clés USB sont toujours largement utilisées en entreprise.
Elles permettent de transférer rapidement une présentation, un rapport, un fichier d'installation ou une sauvegarde d'un ordinateur à un autre. Elles sont pratiques, peu coûteuses et ne nécessitent pas de connexion Internet.
Mais cette simplicité peut aussi en faire un point faible en matière de sécurité.
Une clé USB peut contenir des informations sensibles tout en étant considérée comme un simple support de stockage. Si elle est perdue, volée ou connectée à un ordinateur non géré par l'entreprise, celle-ci peut avoir très peu de contrôle sur ce qui arrive aux données qu'elle contient.
C'est pourquoi le chiffrement clé USB devrait faire partie des mesures mises en place pour protéger les données stockées sur les supports amovibles.
Le problème avec une clé USB non chiffrée
Prenons un cas simple.
Un collaborateur doit transférer un fichier depuis son ordinateur professionnel. Il le copie sur une clé USB et l'emporte avec lui.
Rien d'inhabituel jusque-là.
Mais si la clé est perdue, la personne qui la retrouve peut potentiellement accéder directement aux fichiers qu'elle contient. Les mesures de sécurité qui protègent l'ordinateur professionnel ne protègent pas nécessairement les données une fois celles-ci copiées sur un support amovible.
C'est l'une des limites d'une approche de la sécurité qui se concentre uniquement sur le réseau ou les appareils de l'entreprise.
Dès que les données sont transférées sur une clé USB, elles doivent également être protégées sur ce support.
Que fait réellement le chiffrement ?
Le chiffrement transforme les données stockées sur la clé afin qu'elles ne puissent pas être lues sans l'authentification ou la clé de chiffrement nécessaire.
Ainsi, si une clé USB chiffrée est perdue, le fait de retrouver le périphérique ne donne pas automatiquement accès à son contenu.
C'est particulièrement important pour les entreprises qui utilisent régulièrement des supports amovibles pour transférer des informations sensibles.
L'objectif est de protéger les données elles-mêmes, et pas uniquement le périphérique qui les stocke.
Quelles données doivent être protégées ?
Toutes les données présentes sur une clé USB ne présentent évidemment pas le même niveau de risque.
Cependant, les environnements professionnels contiennent de nombreuses informations qui peuvent devenir sensibles lorsqu'elles sont stockées sur un support amovible :
Données clients ou collaborateurs
Documents financiers
Rapports internes
Informations liées aux projets
Fichiers de configuration
Documentation des systèmes
Logiciels et fichiers d'installation
Données exportées depuis des applications métier
Le contexte d'utilisation compte également.
Une clé utilisée uniquement sur des postes professionnels gérés par l'entreprise ne présente pas le même niveau de risque qu'une clé connectée à des ordinateurs personnels, à des appareils tiers ou à des systèmes non gérés.
Il faut donc considérer à la fois les données transférées et les appareils sur lesquels elles seront utilisées.
Le chiffrement ne suffit pas à lui seul
Le chiffrement est une mesure importante, mais il ne règle pas tous les problèmes liés aux supports amovibles.
Les équipes IT doivent également se poser plusieurs questions :
Quels périphériques USB peuvent être connectés aux postes professionnels ?
Les collaborateurs peuvent-ils copier des données sensibles sur une clé ?
Certains types de données doivent-ils être bloqués lors des transferts ?
Comment gérer une clé perdue ou non autorisée ?
L'activité liée aux périphériques USB peut-elle être surveillée ?
Les clés USB personnelles peuvent-elles être utilisées sur les appareils de l'entreprise ?
Ces contrôles permettent de passer d'une approche consistant simplement à autoriser ou bloquer les périphériques USB à une véritable gestion de leur utilisation.
Le risque des périphériques que l'on oublie
Les clés USB présentent également un problème très simple : elles sont faciles à perdre.
Elles peuvent être oubliées dans une salle de réunion, égarées pendant un déplacement ou prêtées à un autre collaborateur. Contrairement à un ordinateur portable ou à un smartphone, une clé USB n'est pas toujours associée à un mécanisme permettant de l'identifier ou de la localiser facilement.
Si les données qu'elle contient ne sont pas chiffrées, la perte du périphérique peut donc devenir un problème de sécurité des données.
Avec le chiffrement, la situation est différente. La clé devra toujours être signalée comme perdue et remplacée, mais l'accès non autorisé aux données qu'elle contient devient beaucoup plus difficile.
Faire des supports amovibles une partie de la stratégie de sécurité
Les clés USB ne vont probablement pas disparaître des environnements professionnels. Il existe toujours des situations dans lesquelles le transfert de données par support amovible reste pratique ou nécessaire.
La solution n'est donc pas forcément de les interdire.
Il s'agit plutôt de les gérer correctement.
Cela implique de combiner le chiffrement clé USB avec les contrôles des terminaux, les politiques d'accès, les mesures de protection des données et la sensibilisation des utilisateurs.
Les entreprises doivent savoir quels périphériques sont utilisés, quelles données peuvent être transférées et quelles mesures de protection s'appliquent lorsque les informations quittent un poste géré.
La protection des données ne s'arrête pas lorsqu'un fichier quitte l'ordinateur de l'entreprise.
Elle doit continuer à s'appliquer au support sur lequel ce fichier est désormais stocké.
Conclusion
Les clés USB ne sont peut-être pas les périphériques les plus sophistiqués d'un environnement IT, mais elles peuvent transporter certaines des données les plus importantes d'une entreprise. Leur utilisation ne devrait donc pas être considérée comme un simple sujet de commodité.
Le chiffrement clé USB permet d'ajouter une protection supplémentaire lorsque les données quittent un poste ou un environnement géré. Associé à des politiques claires sur les supports amovibles, au contrôle des terminaux et à la sensibilisation des utilisateurs, il permet de réduire les risques liés à la perte ou au vol d'un périphérique.
Car sécuriser les données ne consiste pas seulement à contrôler où elles sont stockées. Il faut aussi savoir ce qui se passe lorsqu'elles quittent cet environnement.