Gérez BitLocker sur chaque ordinateur de bureau à partir d'une seule console

Endpoint Central n'invente pas son propre chiffrement. Le cryptage est toujours Windows BitLocker lui-même, fonctionnant sur chaque PC exactement comme Microsoft l'a construit. La console gère tout autour d'elle :

1. Politique : une définition de « chiffré correctement » : quels lecteurs, quelle méthode de déverrouillage (TPM, TPM avec code PIN, phrase secrète), quel algorithme.
2. Déploiement : la stratégie est appliquée à des groupes de machines ; ManageEngine documente les push jusqu'à 250 appareils à la fois, et les nouvelles machines peuvent récupérer automatiquement la stratégie.
3. Séquestre de clé : la clé de récupération de chaque lecteur est collectée et stockée de manière centralisée, sur le serveur Endpoint Central ou sauvegardée dans Active Directory / Azure AD.
4. Statut : chaque machine gérée indique Chiffré, Chiffrement en attente ou Non conforme, de sorte que les lacunes sont visibles au lieu d'être devinées.

Une protection qui mérite d'être copiée exactement : selon la documentation de ManageEngine, le cryptage ne démarre même pas tant que la clé de récupération n'a pas été stockée en toute sécurité sur le serveur. Cette règle unique évite le désastre classique : un disque qui a bien chiffré puis verrouillé son propriétaire pour toujours.

La console ne peut gérer que ce qu'elle peut voir. Chaque PC a besoin que l'agent Endpoint Central soit installé et fasse rapport. Soyez honnête avec vous-même à ce stade :

1. Répertoriez les machines dans la zone de gestion de la console.
2. Comparez-le à ce que le bureau possède réellement : les enregistrements d'achat, la liste des ordinateurs AD, l'analyse du réseau.
3. Tout PC sans agent est invisible dans tous les rapports de ce guide. Ce n’est pas « probablement crypté » – c’est inconnu, et le risque est inconnu.

Les projets de chiffrement de flotte échouent généralement ici, pas lors de l’étape de chiffrement. Comblez d’abord l’écart de visibilité.

Créez la stratégie BitLocker de manière centralisée au lieu de décider des paramètres machine par machine :

1. Choisissez le protecteur : TPM uniquement pour les postes de travail qui ne quittent jamais le bâtiment ; TPM avec code PIN pour les ordinateurs portables qui voyagent (le raisonnement complet se trouve dans le guide des règles relatives aux ordinateurs portables de cette série).
2. Choisissez le type de chiffrement : l'espace utilisé uniquement est rapide et convient aux machines flambant neuves ; le disque complet convient aux machines qui conservent des données depuis des années.
3. Choisissez l'algorithme dont vous avez besoin en matière de conformité : la console propose les choix BitLocker standard, notamment XTS-AES 256.
4. Choisissez le stockage des clés : serveur, AD ou les deux. Les deux constituent la réponse honnête à tout ce qui est important.
5. Incluez les lecteurs de données fixes sur lesquels le bureau conserve le travail partagé, et pas seulement le lecteur C:.

Une politique, écrite une seule fois, appliquée partout – c’est tout l’intérêt de le faire de manière centralisée.

Le chiffrement de flotte n’est pas un projet qui se termine ; les machines rejoignent, partent et dérivent. La console réduit l'entretien :

1. Ouvrez la vue d'état : toute machine placée en Non conforme obtient un nom et une raison – recherchez-les, pas les vertes.
2. Vérifiez que les nouveaux membres ont automatiquement adopté la politique.
3. Séquestre de contrôle ponctuel : choisissez une machine au hasard et récupérez sa clé. Si vous ne le pouvez pas, le coffre-fort est une rumeur, pas un coffre-fort.
4. Avant qu'un auditeur ne vous le demande, exportez le rapport de chiffrement afin que la preuve existe déjà (le guide d'audit de cette série couvre ce sujet en profondeur).

Honnêteté, car les pages de chiffrement ignorent généralement cette partie :

1. La console gère BitLocker ; Les PC doivent exécuter une édition Windows incluant BitLocker (Pro, Enterprise ou Education). Les machines Windows Home ne peuvent pas rejoindre ce système.
2. Le cryptage protège une machine éteinte ou volée. Il ne fait rien contre les logiciels malveillants sur un PC en cours d’exécution et déverrouillé : il s’agit d’une couche de défense différente.
3. Escrow ne vous protège que si la console et sa base de données de clés sont elles-mêmes protégées : des mots de passe administrateur forts, des comptes administrateur limités et des sauvegardes du serveur font partie du travail.
4. Un tableau de bord vert couvre les machines gérées par un agent. Gardez l'étape 1 vraie pour toujours.