Politique d’accès aux stockages mobiles chiffrés
Le chiffrement des stockages mobiles gère l'accès aux supports chiffrés au moyen de clés et de politiques applicables aux terminaux. Gestion des clés, création du support, diffusion de la politique et vérification réelle en lecture-écriture sont des étapes distinctes. Créer une clé ou enregistrer une politique ne chiffre pas automatiquement un stockage ordinaire.
Cette fonction diffère de l'attribution des appareils, de l'affichage des risques et du contrôle d'accès aux appareils. L'accès dépend aussi de l'état du terminal, des licences et des autres politiques applicables.
Les procédures utilisent les libellés anglais de la console d'administration.
Préparer l'opération
- Vérifiez les droits de gestion des stratégies DLP ; créer ou modifier des clés exige les droits de gestion des clés correspondants. Les terminaux pilotes doivent être connectés, licenciés et capables de recevoir la stratégie ; vérifiez séparément la prise en charge des plateformes et supports avant déploiement.
- Prévoyez usage, conservation, sauvegarde et restauration des clés. Leur valeur est sensible : ne l'inscrivez pas dans un ticket ordinaire, un document public ou une discussion non autorisée.
- Avant création ou modification, vérifiez l'identité de l'appareil et les données existantes et sauvegardez selon les règles de l'organisation. Commencez avec un appareil pilote récupérable et des fichiers de test non sensibles.
Préparer une clé
Vérifiez d’abord les clés existantes adaptées, leur état, leur validité et leur correspondance avec le support cible. Une clé appropriée peut être réutilisée dans la politique ; il n’est pas nécessaire d’en créer une par politique. Si nécessaire seulement, une personne habilitée en crée une par l’entrée ci-dessous ; les étapes complètes figurent dans gestion des clés. Évaluez les effets sur les politiques et supports concernés avant toute modification.
Sous DLP, ouvrez les applications, puis Portable Storage Encryption et Key Maintenance.
Vérifiez nom et état dans la liste. Les valeurs existantes sont masquées ; le masque n'est pas la clé réelle et la liste ne doit pas être considérée comme un moyen de récupérer la valeur initiale. Documentez de façon sécurisée les liens entre clé, politique et support, sans conserver la clé en clair dans un inventaire ordinaire.
Les espaces en début et en fin de nom et de valeur de clé sont supprimés avant l’enregistrement ; une valeur composée uniquement d’espaces ne permet pas de créer une clé. Lors de la modification, une valeur vide ou composée uniquement d’espaces conserve la valeur existante au lieu de l’effacer. Ne dépendez pas d’espaces en début ou en fin de clé lors de sa génération et de sa conservation. Vérifiez l’accès avec un support contrôlé et ne transmettez pas la valeur par les canaux de communication ordinaires pour la comparer.
Configurer les droits des terminaux
- Sous DLP, créez ou modifiez la politique cible et vérifiez période d'effet ainsi que terminaux, groupes ou étiquettes. Commencez de préférence avec quelques terminaux pilotes.
- Activez Removable Storage Encryption, ouvrez les paramètres et utilisez Select Keys pour sélectionner et confirmer les clés nécessaires.
- Dans la liste des clés choisies, attribuez à chacune Read Only ou Full Control selon le besoin. Par exemple, pour un terminal devant seulement lire le support pilote, commencez par Read Only, puis testez les comportements de lecture et d'écriture attendus.
- Confirmez la fenêtre et enregistrez l'ensemble de la politique. Après réception, testez lecture et écriture avec le support chiffré correspondant et des fichiers de test. L'enregistrement ne signifie pas que le terminal l'a appliquée.
Clés et droits configurent l'accès du terminal ; cette fenêtre de politique ne crée pas le support chiffré. Si plusieurs supports utilisent des clés différentes, vérifiez séparément les clés et droits nécessaires à chaque terminal.
Problèmes courants
Création impossible : vérifiez nom, valeur, doublon et droits. Ne fournissez pas la clé en clair au cours du dépannage.
Clé absente de la politique : vérifiez existence, état, validité, droits et chargement, puis rouvrez la sélection.
Support illisible : vérifiez clé correspondante, périmètre, réception de la politique et autres restrictions. Évitez les modifications ou suppressions répétées et contactez le support selon la procédure de restauration.
Lecture possible mais pas écriture : vérifiez le droit de la clé dans la politique applicable, les autres règles et l'état du terminal.
Support absent de la liste d'actifs : vérifiez fin de création dans l'assistant, enregistrement et actualisation. Ne répétez pas une opération potentiellement destructive au seul motif que la liste est vide.
Mis à jour le