Comment rédiger une politique de chiffrement

Pourquoi une politique de chiffrement

Le chiffrement ne vaut que par les décisions qui le sous-tendent : quelles données, quels algorithmes, qui détient les clés. Une politique de chiffrement consigne ces décisions pour qu'elles soient cohérentes, défendables et auditables — plutôt que laissées à celui qui a configuré chaque système.

Quoi inclure

Périmètre — données au repos, en transit, sauvegardes et supports amovibles.
Algorithmes approuvés — nommez les standards actuels (ex. AES-256 au repos, TLS 1.2+ en transit) et retirez explicitement les faibles.
Gestion des clés — génération, stockage, rotation, révocation et recouvrement ; les clés ne résident jamais à côté des données qu'elles protègent.
Responsabilités — qui détient les clés, qui peut demander un déchiffrement, séparation des tâches.
Données en transit — versions TLS minimales, gestion des certificats, trafic interne.
Postes utilisateurs — chiffrement intégral du disque sur ordinateurs et téléphones.
Exceptions — comment une exception est demandée, approuvée et limitée dans le temps.

Erreurs fréquentes

Lister les algorithmes une fois sans jamais retirer les obsolètes (TLS 1.0/1.1, SHA-1).
Traiter la gestion des clés comme un détail — c'est la partie la plus difficile et la plus auditée.
Aucun processus d'exception, donc les équipes contournent discrètement la politique.

Alignement référentiels

Correspond à l'Annexe A 8.24 d'ISO 27001:2022 (utilisation de la cryptographie), aux critères de confidentialité SOC 2, et à la fonction Protéger du NIST CSF (PR.DS).

Sources de référence

ISO/IEC 27001:2022 — contrôle 8.24 de l'Annexe A, usage de la cryptographie (iso.org/standard/27001).
NIST Cybersecurity Framework — fonction Protéger, sécurité des données (nist.gov/cyberframework).
ANSSI — guide des mécanismes cryptographiques et gestion des clés (ssi.gouv.fr).

Générez-la en quelques minutes

Voir un exemple de politique de chiffrement ou générez la vôtre gratuitement.

Questions fréquentes

Quels algorithmes la politique doit-elle approuver ?

Nommez explicitement les standards actuels — par exemple AES-256 pour les données au repos et TLS 1.2 ou supérieur en transit — et retirez explicitement les faibles comme TLS 1.0/1.1 et SHA-1. Revoyez la liste périodiquement, car « approuvé une fois, jamais mis à jour » est un écart d’audit fréquent.

Pourquoi la gestion des clés est-elle la partie la plus difficile ?

Parce que le chiffrement ne vaut que par la façon dont les clés sont générées, stockées, renouvelées, révoquées et recouvrées. Les clés ne doivent jamais résider à côté des données qu’elles protègent, et leur accès exige une séparation des tâches. C’est la partie la plus scrutée en audit : traitez-la comme centrale, pas comme un détail.

Que couvrir au-delà des algorithmes ?

Le périmètre (données au repos, en transit, sauvegardes, supports amovibles), la gestion des clés, les responsabilités, les versions TLS minimales et la gestion des certificats, le chiffrement intégral des postes utilisateurs, et un processus d’exception demandé, approuvé et limité dans le temps pour éviter les contournements discrets.