Points clés
- Le chiffrement sans classification des données conduit à une protection uniforme inefficace : trop lourde là où elle n'est pas nécessaire, trop légère là où elle est critique.
- La classification des données est le prérequis fonctionnel du chiffrement différencié — elle définit quelles données exigent quelle protection.
- L'alignement entre politique de classification et politique de chiffrement doit être formalisé dans un référentiel opposable.
- La mise en œuvre technique doit s'appuyer sur des marqueurs de classification exploitables par les systèmes de chiffrement automatisé (DLP, IRM).
Pourquoi le chiffrement sans classification échoue
Une organisation qui applique le même niveau de chiffrement à toutes ses données — ou qui n'en applique pas du tout de manière systématique — opère sans boussole. Chiffrer le catalogue de produits public avec le même niveau de protection qu'un contrat commercial confidentiel est à la fois inutilement coûteux et potentiellement trompeur sur le niveau de protection réel. À l'inverse, traiter toutes les données comme peu sensibles laisse des actifs critiques exposés.
La classification des données résout ce problème en définissant des catégories d'actifs (public, interne, confidentiel, secret) auxquelles correspondent des exigences de protection différenciées. Le chiffrement est alors l'un des leviers de protection dont les paramètres (algorithme, longueur de clé, gestion des clés, durée de rétention) varient selon la catégorie.
Construire la correspondance classification-chiffrement
La correspondance entre catégories de classification et exigences de chiffrement doit être définie dans une politique formelle. Pour une classification à quatre niveaux, la correspondance typique serait : données publiques (pas de chiffrement obligatoire, HTTPS pour le transport) ; données internes (chiffrement des canaux de communication, chiffrement au repos optionnel selon la sensibilité) ; données confidentielles (chiffrement au repos AES-256 ou équivalent, chiffrement des communications avec authentification mutuelle, accès aux clés tracé) ; données secrètes (chiffrement au repos avec HSM, accès aux clés soumis à double contrôle, journalisation exhaustive).
Ces correspondances doivent tenir compte des exigences réglementaires qui peuvent imposer des standards spécifiques : PCI-DSS impose AES-256 pour les données de paiement stockées, les réglementations bancaires europénnes référencent les recommandations de l'ENISA, la qualification ANSSI impose des exigences précises pour les systèmes d'information d'importance vitale.
Les marqueurs de classification comme levier d'automatisation
Pour que la classification se traduise en protection effective, elle doit être opérationnalisée via des marqueurs techniques exploitables par les systèmes de sécurité. Les solutions DLP (Data Loss Prevention) comme Microsoft Purview, Forcepoint, ou Symantec DLP utilisent des étiquettes (labels) pour appliquer automatiquement des politiques de protection — chiffrement, blocage de copie, restrictions de partage — en fonction de la classification du document ou du fichier.
L'IRM (Information Rights Management) applique une logique similaire en embarquant les droits d'accès dans le document lui-même via le chiffrement. Un document IRM chiffré ne peut être ouvert que par les utilisateurs dont les identités sont autorisées dans la politique associée à ce document, indépendamment de l'environnement dans lequel il se trouve (serveur interne, mail, cloud).
Défis de mise en œuvre : données non structurées et shadow IT
La classification des données structurées (bases de données, ERP, CRM) est techniquement plus accessible car les champs et tables ont une sémantique définie. Les données non structurées — fichiers bureautiques, emails, archives, documents de travail — représentent 80 % des données d'une organisation typique et sont beaucoup plus difficiles à classifier et chiffrer de manière systématique.
Le shadow IT complexifie encore la situation : des employés qui stockent des données confidentielles dans des outils cloud non approuvés (Dropbox personnel, Google Drive, WeTransfer) sortent du périmètre de contrôle, rendant l'application automatique du chiffrement impossible. La politique doit donc combiner des contrôles techniques (blocage des services non approuvés via DLP, proxy) et des contrôles organisationnels (sensibilisation, usage de services approuvés en alternative).
Gouvernance et révision de la classification
La classification des données n'est pas une opération unique — les données évoluent en sensibilité au fil du temps. Un contrat commercial est confidentiel pendant sa négociation et les premières années d'exécution, puis peut devenir interne voire public lors de sa publication. Une donnée personnelle peut devenir anonymisée après traitement. La politique de chiffrement doit intégrer des mécanismes de révision périodique de la classification et de re-chiffrement si nécessaire.