Un ordinateur portable perdu ne devient une fuite de données que si le disque n'est pas chiffré. Le chiffrement intégral du disque transforme un appareil volé en presse-papier inutile plutôt qu'en tableur de données clients. Un MDM vous permet de l'imposer de façon centralisée : il active FileVault sur Mac, BitLocker sur Windows, met la clé de récupération sous séquestre pour qu'un utilisateur bloqué ne signifie pas une machine perdue, et indique quels appareils sont réellement chiffrés au lieu d'être supposés l'être.
Le faire à la main sur une flotte hétérogène ne tient pas la charge. Voici comment fonctionne le chiffrement de disque via MDM sur chaque plateforme, et l'étape que la plupart des équipes oublient.
Que fait concrètement un MDM quand il impose le chiffrement du disque ?
Il pousse un profil de configuration qui exige le chiffrement, puis vérifie le résultat. Le MDM ne chiffre pas le disque lui-même. Il demande au système d'exploitation de le faire, collecte la preuve, et signale tout ce qui sort du cadre.
Trois choses se produisent. Le MDM active le chiffrement (ou empêche l'utilisateur de le désactiver). Il récupère la clé de récupération et la stocke côté serveur. Et il expose un état de conformité exploitable : chiffré, non chiffré, ou clé pas encore mise sous séquestre. Ce dernier état compte davantage qu'il n'y paraît, et nous y reviendrons.
Comment imposer FileVault sur macOS ?
Vous envoyez une charge utile FileVault dans un profil de configuration. À l'inscription, le Mac chiffre à la prochaine connexion ou force l'utilisateur à activer FileVault, et vous pouvez autoriser un nombre défini de reports avant que cela devienne obligatoire. Mettez ce nombre à zéro pour les profils à risque : l'utilisateur chiffre avant même d'atteindre le bureau.
Sur les Mac Apple silicon et T2, les données sont déjà chiffrées au niveau matériel. Activer FileVault ne rechiffre pas tout le disque pendant la nuit, comme c'était le cas sur les anciens disques mécaniques. FileVault lie le chiffrement au mot de passe de l'utilisateur, ce qui rend le disque inexploitable sans les identifiants. Résultat : l'application est quasi instantanée, pas un chantier de deux heures qui gâche une journée.
FileVault utilise un chiffrement XTS-AES-128 avec une clé de 256 bits. À son activation, macOS génère une clé de récupération personnelle et l'affiche à l'utilisateur une seule fois. Si cette clé n'est pas capturée quelque part de façon centralisée, elle est perdue. C'est toute la raison d'être du séquestre.
Comment imposer BitLocker sur Windows ?
Windows utilise BitLocker, et le MDM le pilote via le fournisseur de services de configuration (CSP) BitLocker. Vous choisissez la méthode de chiffrement (XTS-AES 256 est le choix raisonnable sur du matériel récent), exigez le chiffrement du disque système et des disques de données fixes, et décidez si la machine peut rester non chiffrée le temps qu'un utilisateur termine sa configuration.
BitLocker s'appuie sur un module de plateforme sécurisée (TPM) pour conserver ses clés, et il fonctionne proprement avec le TPM 2.0, présent sur pratiquement tous les ordinateurs professionnels vendus ces dernières années. Les machines plus anciennes sans TPM peuvent quand même chiffrer, mais il faudra autoriser un code PIN de démarrage ou une clé USB, une friction que votre support ressentira.
La clé de récupération est ici un mot de passe numérique de 48 chiffres. Même principe que sur macOS : sans séquestre, un PIN oublié ou une réinitialisation du TPM après une mise à jour de firmware peut bloquer définitivement un utilisateur hors de sa propre machine.
Et pour l'iPhone, l'iPad et Android ?
Ce sont les cas faciles. iOS et iPadOS chiffrent le stockage par défaut dès qu'un code est défini, à l'aide d'un chiffrement au niveau des fichiers, ancré dans le matériel et lié à la Secure Enclave. Android fait du chiffrement basé sur les fichiers par défaut depuis Android 10. On n'active pas le chiffrement avec un profil comme sur un ordinateur portable.
Ce que vous imposez, c'est la politique de code qui le déverrouille : longueur minimale, complexité, délai de verrouillage automatique. Pas de code, pas de chiffrement utile. Sur mobile, le chiffrement de disque via MDM revient donc à imposer un code, plus une vérification que l'appareil se déclare chiffré et non jailbreaké ou rooté.
Séquestre de la clé de récupération : l'étape que les équipes sautent
Activer le chiffrement, tout le monde y arrive. Stocker la clé de récupération, c'est ce qui vous rattrape six mois plus tard.
Imaginez une responsable financière qui oublie le mot de passe de son Mac après de longues vacances, ou un portable Windows qui réclame une clé BitLocker après une mise à jour du BIOS que personne n'avait planifiée. Sans clé sous séquestre, cet appareil est un presse-papier et les données qu'il contient sont irrécupérables. Avec le séquestre, un administrateur récupère la clé depuis le MDM et l'utilisateur retravaille en cinq minutes.
La vraie définition de « terminé » n'est donc pas chiffrement activé. C'est chiffrement activé et clé de récupération confirmée sous séquestre. Considérez un appareil comme non conforme tant que les deux ne sont pas vrais. Si votre outillage rapporte l'état du chiffrement mais pas celui du séquestre, vous avez un angle mort qui ressortira au pire moment.
Comment transformer le chiffrement en signal de conformité ?
Les auditeurs ne veulent pas d'un document de politique disant que les disques devraient être chiffrés. Ils veulent la preuve qu'ils le sont, sur quelles machines, à l'instant présent. Un MDM vous donne cela : un inventaire en temps réel de l'état de chiffrement sur macOS et Windows, avec les manques nommés.
Reliez cet état à vos règles d'accès. Un appareil non chiffré, ou dont la clé n'est pas sous séquestre, ne devrait pas atteindre la messagerie ni les applications internes tant qu'il n'est pas corrigé. C'est la différence entre un chiffrement en case à cocher et un chiffrement en contrôle imposé, ce que des référentiels comme SOC 2, ISO 27001 et HIPAA demandent réellement. Pour la mécanique du conditionnement de l'accès à l'état de l'appareil, voyez notre guide sur l'accès conditionnel et la conformité des appareils.
Une seule console pour une flotte hétérogène
La plupart des équipes n'ont pas que des Mac ou que des Windows. Elles ont les deux, plus une pile de téléphones. Gérer FileVault dans un outil, BitLocker dans un autre, et la politique de code dans un troisième, c'est ainsi que des appareils passent entre les mailles sans être chiffrés. Un MDM multiplateforme comme Appaloosa impose le chiffrement et met les clés sous séquestre pour macOS, Windows, iOS et Android depuis une seule console : « tous les appareils sont-ils chiffrés ? » devient une question à laquelle vous répondez sur un seul écran plutôt que trois.
Commencez par votre groupe le plus exposé, mettez les reports à zéro, confirmez que les clés arrivent bien sous séquestre, puis élargissez la politique. Si vous cartographiez d'abord des contrôles d'appareils plus larges, notre introduction à la solution MDM situe le chiffrement à côté du déploiement de correctifs et du contrôle des applications.