Activer BitLocker sur tous les postes Windows à distance

Un ordinateur portable volé sans chiffrement, c'est une fuite de données quasi assurée — et, si des données personnelles sont concernées, une violation RGPD à notifier à la CNIL sous 72 heures. À l'inverse, un poste chiffré avec BitLocker rend le disque illisible pour quiconque n'a pas les identifiants : le vol du matériel n'est plus une fuite de données. La différence entre un incident mineur et une crise tient à une politique de chiffrement bien appliquée, sur l'ensemble du parc et pas seulement sur quelques machines.

Le problème, c'est que BitLocker activé poste par poste ne passe pas à l'échelle : impossible de faire le tour de chaque machine, de vérifier que la clé est sauvegardée, et de le prouver ensuite en cas d'audit. Microsoft Intune permet de déployer BitLocker sur l'ensemble du parc via une seule politique, avec sauvegarde automatique des clés. Encore faut-il connaître les réglages qui comptent et les pièges à éviter, car un déploiement mal préparé peut rendre un poste inaccessible.

Ce qu'une bonne politique BitLocker impose

Un bon paramétrage ne se limite pas à cocher « activer BitLocker ». Il définit précisément quoi chiffrer, comment, et comment garantir que la clé sera récupérable. Voici les réglages qui font la différence entre une protection réelle et un pari.

• Chiffrement du disque système activé automatiquement au démarrage, silencieux pour l'utilisateur.
• Méthode de chiffrement XTS-AES 256 bits pour les disques fixes, plus robuste que l'AES-CBC historique.
• Sauvegarde automatique de la clé de récupération dans Entra ID, avant que le chiffrement ne démarre.
• Chiffrement exigé pour les supports amovibles via BitLocker To Go.
• Refus de l'écriture sur un support amovible non chiffré, pour éviter les fuites par clé USB.

Le point vital : la clé de récupération

C'est l'erreur la plus coûteuse en pratique. Sans sauvegarde de la clé de récupération, un simple événement — mise à jour du firmware, réinitialisation du TPM, changement matériel, modification de l'ordre de démarrage — peut déclencher une demande de clé au démarrage. Si personne ne l'a, le poste et ses données deviennent définitivement inaccessibles. La clé doit impérativement être escrowée dans Entra ID, où un administrateur peut la récupérer à la demande.

Une bonne politique impose donc que la sauvegarde de la clé réussisse avant d'autoriser le chiffrement. C'est un réglage explicite dans Intune, trop souvent laissé de côté, qui distingue un déploiement sûr d'un pari risqué. Vérifier que les clés remontent réellement dans Entra ID, et pas seulement que la politique est assignée, est une étape à ne jamais sauter.

Déployer proprement, étape par étape

1. 1Vérifier les prérequis : TPM présent et activé, Windows Pro ou Enterprise, appareils inscrits dans Intune.
2. 2Créer la politique de chiffrement avec XTS-AES 256 bits et escrow de la clé dans Entra ID.
3. 3Imposer la réussite de la sauvegarde de clé avant de démarrer le chiffrement.
4. 4Assigner d'abord la politique à un groupe pilote pour valider le comportement.
5. 5Vérifier que les clés remontent bien dans Entra ID pour les postes pilotes.
6. 6Étendre l'assignation à l'ensemble du parc, puis suivre l'état de chiffrement dans le temps.

Un exemple concret : chiffrer un parc de cinquante portables

Une entreprise dispose de cinquante portables Windows, dont une quinzaine achetés récemment et une poignée de modèles plus anciens. L'administrateur crée une politique de chiffrement et l'assigne d'abord à un groupe pilote de cinq machines. En vérifiant Entra ID, il constate que quatre clés sont bien remontées, mais qu'un poste ancien, dépourvu de TPM activé dans le BIOS, n'a pas démarré le chiffrement.

Il corrige le BIOS de ce poste, confirme la remontée de sa clé, puis étend la politique à tout le parc. En quelques jours, les cinquante machines se chiffrent en arrière-plan sans qu'un seul utilisateur ne signale de gêne. Les cinq modèles les plus anciens, sans TPM, sont planifiés pour remplacement. Résultat : un parc entièrement chiffré, des clés en sécurité, et une preuve datée prête pour le prochain audit — le tout sans déplacement physique.

Ne pas oublier les supports amovibles

Chiffrer le disque système est indispensable, mais insuffisant. Une part importante des fuites de données passe par les clés USB et les disques externes, souvent transportés sans précaution et faciles à perdre. BitLocker To Go étend le chiffrement à ces supports : un lecteur amovible copié sur un poste géré est chiffré, et devient illisible pour quiconque le récupère sans les identifiants.

La bonne pratique consiste à refuser l'écriture sur un support amovible non chiffré. Concrètement, l'utilisateur peut toujours lire une clé USB reçue de l'extérieur, mais il ne peut y copier des données professionnelles qu'après son chiffrement. Cela ferme un canal de fuite discret sans bloquer les usages légitimes, et complète la protection du disque système pour couvrir l'ensemble des données au repos.

Suivre l'état réel du chiffrement

Une politique assignée n'est pas une politique appliquée. Certains postes peuvent rester en attente d'un redémarrage, bloqués par un prérequis matériel ou en cours de chiffrement. Il faut donc suivre l'état réel, poste par poste, et traiter les exceptions plutôt que de supposer que tout est chiffré. C'est ce suivi qui transforme une intention en une couverture démontrable.

Les erreurs fréquentes

• Chiffrer sans imposer la sauvegarde de clé : le premier incident matériel rend un poste inaccessible.
• Oublier BitLocker To Go : le disque système est chiffré, mais les données fuient par clé USB.
• Assigner à un groupe incomplet : des postes anciens ou récemment inscrits échappent au chiffrement.
• Ignorer les postes sans TPM : ils nécessitent une configuration spécifique ou un remplacement.
• Ne pas suivre l'état réel : une politique assignée n'est pas une politique appliquée partout.

Le déployer sans risque avec AuPoint

Dans AuPoint, « Chiffrement du disque » est un contrôle prêt à l'emploi, décrit en français. Il configure BitLocker, la méthode XTS-AES 256 bits et l'escrow de clé dans Entra ID, puis l'assigne au groupe de votre choix. Avant d'appliquer, l'aperçu d'impact affiche précisément les postes concernés, ce qui évite les surprises. Si besoin, la politique est réversible en un clic, sans laisser de configuration résiduelle.

Côté conformité, le chiffrement du disque répond directement aux exigences d'ISO 27001, de NIS2 et de l'article 32 du RGPD. AuPoint mappe le contrôle à ces référentiels et l'intègre à votre rapport de conformité exportable — vous protégez le parc et vous en apportez la preuve datée dans le même geste. En cas de perte d'un appareil, cette preuve peut faire la différence entre une violation à notifier et un non-événement.

Questions fréquentes

L'utilisateur va-t-il remarquer le chiffrement ?

Non. Le chiffrement au démarrage est silencieux et s'exécute en arrière-plan. L'utilisateur continue de travailler normalement pendant que le disque se chiffre, sans redémarrage imposé ni perte de performance perceptible.

Où retrouver la clé de récupération en cas de besoin ?

Dans Entra ID, associée à l'appareil correspondant. Un administrateur la récupère à la demande, par exemple lorsqu'un utilisateur voit apparaître l'écran de récupération BitLocker après un changement matériel ou une mise à jour du firmware.

Que faire des postes sans TPM ?

Ils nécessitent une configuration spécifique (par exemple une méthode de déverrouillage alternative) ou, idéalement, un remplacement par du matériel doté d'un TPM 2.0, désormais standard sur toutes les machines professionnelles récentes.

Connectez votre tenant à AuPoint, prévisualisez les postes concernés et activez le chiffrement BitLocker sur tout votre parc en quelques minutes — avec les clés en sécurité dans Entra ID. Démarrez gratuitement.