Sauvegarde d'entreprise : ce que les ransomwares ont changé et comment s'adapter

Il y a dix ans, sauvegarder ses données sur un disque externe ou un NAS connecté au réseau était considéré comme une bonne pratique suffisante. Les ransomwares modernes ont invalidé cette approche. Aujourd'hui, les logiciels malveillants sont programmés pour parcourir l'ensemble des ressources réseau accessibles depuis le poste infecté avant de chiffrer — ce qui inclut les disques de sauvegarde connectés en permanence, les lecteurs réseau partagés et parfois même les sauvegardes cloud synchronisées en temps réel.

Des entreprises croyant disposer d'une sauvegarde se retrouvent ainsi avec leurs données et leur sauvegarde chiffrées simultanément. C'est l'une des révélations les plus brutales qu'un chef d'entreprise puisse traverser : découvrir que son filet de sécurité a été emporté en même temps que le reste.

La règle 3-2-1 est le standard de référence pour les sauvegardes d'entreprise. Elle stipule que chaque donnée critique doit exister en trois copies au minimum, sur deux supports ou technologies différents, dont une copie stockée hors site — physiquement ou dans le cloud, à l'écart du réseau principal.

Sa mise en application reste insuffisante dans la majorité des PME françaises. La copie hors site, en particulier, est souvent absente ou mal implémentée : une synchronisation cloud qui écrase les données infectées n'est pas une copie hors site au sens de la règle 3-2-1. Il faut une copie qui ne soit pas directement accessible depuis le réseau compromis.

La sauvegarde immuable est devenue le standard incontournable face aux rançongiciels. Le principe est simple : les données sauvegardées ne peuvent être ni modifiées ni supprimées pendant une période déterminée, même par un administrateur système disposant des droits les plus élevés sur le réseau. Un ransomware qui accède au système de sauvegarde ne peut donc pas chiffrer ni effacer les copies protégées.

Cette immutabilité peut être implémentée de plusieurs façons : stockage objet avec verrou WORM (Write Once Read Many), sauvegarde sur bande hors ligne, ou solutions cloud spécialisées avec isolation réseau. L'important est que la copie immuable soit réellement inaccessible depuis le réseau de l'entreprise — techniquement, pas seulement contractuellement.

Une sauvegarde non testée est une fausse sécurité. Des dizaines d'entreprises ont découvert, au moment d'une attaque ou d'une panne, que leurs sauvegardes étaient corrompues, incomplètes ou illisibles sur le matériel de restauration disponible. Tester une sauvegarde ne signifie pas vérifier qu'elle s'exécute sans erreur : cela signifie restaurer effectivement des données sur un environnement de test et vérifier qu'elles sont exploitables.

Un test de restauration complet au moins une fois par trimestre est un minimum raisonnable pour toute entreprise qui prend ses données au sérieux. Ce test doit être documenté et ses résultats conservés — notamment pour les entreprises soumises à des obligations de conformité.