4.1 Verrouillage de session, chiffrement, règle 3-2-1 des sauvegardes

Le verrouillage de session est la mesure de sécurité la plus simple, et pourtant l'une des plus négligées. Dès que vous vous éloignez de votre poste (5 minutes ou 5 heures), verrouillez. Pourquoi ?

• Vol opportuniste : un collègue, un client, un visiteur, un agent de nettoyage peut accéder à votre poste en quelques secondes
• Ingénierie sociale : un faux livreur, un faux technicien peut profiter d'une session ouverte pour exfiltrer des données
• Erreurs accidentelles : un proche / collègue qui tape un email en croyant être sur son propre poste
• Conformité : le verrouillage figure dans la quasi-totalité des chartes informatiques, et relève des mesures organisationnelles attendues au titre de l'article 32 du RGPD dès lors que le poste donne accès à des données personnelles

Raccourcis clavier à connaître par cœur :

• Windows : Windows + L (verrouille instantanément)
• macOS : Control + Cmd + Q ou Cmd + Option + Pouvoir
• Linux GNOME : Super + L ou Ctrl + Alt + L

Côté politique d'entreprise, configurer un verrouillage automatique au bout de 5 à 10 minutes d'inactivité. Plus court = trop frustrant ; plus long = trop risqué. Pour les postes en environnement ouvert (open space, accueil), descendre à 2-3 minutes.

« Dès que vos doigts quittent le clavier pour aller chercher un café, vos doigts doivent d'abord taper Win+L. C'est non négociable. »

— Mantra des SOC

Le chiffrement intégral du disque garantit qu'en cas de perte ou de vol de votre ordinateur, les données restent illisibles sans le mot de passe / la clé de chiffrement. Sans chiffrement, un voleur ou un curieux peut sortir le disque dur, le brancher sur un autre PC et lire l'intégralité du contenu en quelques minutes.

Solutions natives, toutes gratuites et performantes :

• Windows : BitLocker (Pro/Enterprise) ou Device Encryption (Home). Activation : Paramètres → Confidentialité & sécurité → Chiffrement de l'appareil.
• macOS : FileVault. Activation : Préférences Système → Confidentialité et sécurité → FileVault → Activer.
• Linux : LUKS (Linux Unified Key Setup) — activable à l'installation ou avec cryptsetup.
• Téléphones et tablettes : le chiffrement du stockage est actif par défaut sur les versions récentes d'iOS et d'Android, à condition qu'un code de déverrouillage soit défini — sans code, le chiffrement ne protège rien. À vérifier dans les paramètres de sécurité.

Sur un disque SSD récent, l'impact sur les performances est imperceptible à l'usage. Côté entreprise, le chiffrement est explicitement cité par l'article 32 du RGPD parmi les mesures appropriées. L'enjeu est très concret : le vol d'un ordinateur professionnel chiffré et éteint ne donne accès à rien ; le vol du même ordinateur non chiffré contenant des données personnelles constitue une violation de données, à notifier à la CNIL dans les 72 heures.

La règle 3-2-1 garantit la survivabilité des données face à tous les scénarios :

• 3 copies : si une copie tombe (corruption, suppression accidentelle, ransomware), il en reste 2. Si deux tombent simultanément (peu probable), il en reste 1.
• 2 supports différents : protège contre la défaillance d'un type de support (ex : tous les disques durs internes d'une même marque qui meurent au même âge). Mélanger SSD + cloud, ou disque local + disque réseau.
• 1 copie hors site : protège contre les sinistres physiques (incendie, dégât des eaux, cambriolage). Cette copie peut être un stockage en ligne chiffré ou un disque physique conservé dans un autre lieu.

Variante moderne 3-2-1-1-0 ajoute :

• +1 copie immuable : une copie qui ne peut être ni modifiée ni supprimée pendant une durée définie, même par quelqu'un disposant des accès d'administration. C'est la parade décisive contre le rançongiciel, qui cherche systématiquement à détruire les sauvegardes avant de chiffrer. La plupart des offres de stockage objet et des solutions de sauvegarde proposent aujourd'hui un verrouillage de ce type.
• 0 erreur vérifiée : les sauvegardes doivent être testées régulièrement par restauration. Une sauvegarde jamais testée est une sauvegarde qui ne fonctionne probablement pas le jour J.

Côté entreprise, la sauvegarde est la première parade contre le ransomware. Une entreprise qui a des sauvegardes 3-2-1 saines peut restaurer sans payer la rançon. Une entreprise qui n'a pas (ou que les sauvegardes ont été aussi chiffrées par l'attaquant qui avait accès) doit choisir entre payer et perdre.

L'exploitation de vulnérabilités est devenue le premier vecteur d'accès initial des compromissions (31 % selon le rapport Verizon 2026). Et dans le même temps, seules 26 % des vulnérabilités activement exploitées connues ont été entièrement corrigées en 2025, contre 38 % l'année précédente. L'écart entre la publication d'un correctif et son application effective est le principal terrain de jeu des attaquants.

Bonnes pratiques utilisateur :

• Activer les mises à jour automatiques du système d'exploitation (Windows Update, macOS Software Update, gestionnaire de paquets Linux)
• Laisser le navigateur se mettre à jour seul : tous les navigateurs courants le font automatiquement, il suffit de ne pas le bloquer et de redémarrer quand ils le demandent
• Mettre à jour les applications régulièrement, en particulier la suite bureautique, le lecteur de documents PDF et les applications métier
• Mettre à jour les firmware (carte mère / BIOS / UEFI) une fois par an
• Ne pas reporter les redémarrages — un patch installé n'est actif qu'après redémarrage
• Désinstaller les logiciels inutilisés : ce qui n'est pas installé n'a pas besoin d'être patché

Côté entreprise, cela suppose un processus formalisé de gestion des vulnérabilités : inventaire du parc, scans réguliers, priorisation selon la criticité et l'exposition réelle, déploiement contrôlé puis vérification. Des outils de télédistribution et de scan existent pour chaque environnement ; le facteur limitant est presque toujours la qualité de l'inventaire, pas l'outil.

L'antivirus traditionnel a évolué : on parle désormais d'EDR (Endpoint Detection and Response) et de XDR (Extended Detection and Response), qui combinent :

• Détection signature (l'antivirus classique) : reconnaître les malwares connus par leur empreinte
• Détection comportementale : repérer des comportements anormaux (chiffrement massif de fichiers, communication réseau suspecte, élévation de privilèges)
• Réponse automatisée : isoler la machine du réseau, terminer les processus malveillants, mettre en quarantaine
• Investigation forensique : remonter la chaîne d'événements pour comprendre l'attaque

Pour un usage personnel, la solution de protection intégrée au système d'exploitation et tenue à jour couvre l'essentiel des besoins : il n'est plus nécessaire d'empiler un antivirus tiers, et faire cohabiter deux moteurs temps réel dégrade souvent la protection au lieu de l'améliorer. En entreprise, le choix d'une solution de détection et de réponse relève de la DSI, avec supervision centralisée et capacité d'isoler un poste à distance.

Important : un EDR ne dispense pas des autres mesures (verrouillage, chiffrement, mises à jour, MFA). Il est une couche supplémentaire, pas une solution magique. Beaucoup d'incidents ransomware modernes contournent les EDR en désactivant leur agent ou en utilisant des binaires légitimes (« Living off the Land »).

Liste des paramètres à vérifier sur tout poste de travail :

1. Mot de passe / PIN / biométrie pour le déverrouillage
2. Verrouillage automatique après 5-10 minutes
3. Chiffrement intégral du disque activé (BitLocker / FileVault / LUKS)
4. Mises à jour automatiques activées
5. Antivirus / EDR actif et à jour
6. Firewall logiciel activé (par défaut sur Windows et macOS)
7. UAC (User Account Control) activé sur Windows — ne pas désactiver pour « confort »
8. Compte utilisateur standard (pas administrateur) pour l'usage quotidien
9. Sauvegarde 3-2-1 configurée et testée
10. Wi-Fi : utilisation uniquement de réseaux de confiance, VPN sur réseaux publics