Stratégie de sauvegarde : 3-2-1, immutabilité et ransomwares

Une sauvegarde n'a de valeur que le jour où l'on restaure. Or les ransomwares visent désormais les sauvegardes avant les données de production, pour priver l'entreprise de toute issue. Voici les étapes d'une stratégie qui résiste : quelles copies garder, où, comment les protéger, et comment prouver qu'elles fonctionnent.

Étape 1 : fixer les objectifs de reprise

Tout part de deux indicateurs, définis avec les métiers :

• RPO (Recovery Point Objective) : la perte de données maximale acceptable, qui fixe la fréquence des sauvegardes.
• RTO (Recovery Time Objective) : la durée maximale d'interruption, qui détermine la technologie de restauration.

Ils varient selon les applications : la messagerie, la paie et l'ERP n'ont pas les mêmes exigences. Classez vos applications par criticité, puis déduisez la politique de chacune. Le glossaire PRA et PCA précise ces notions.

Étape 2 : appliquer la règle 3-2-1

La règle 3-2-1 reste le socle :

• 3 copies des données : la production et deux sauvegardes.
• 2 supports différents : par exemple disque et bande, ou disque et stockage objet.
• 1 copie hors site : dans un autre bâtiment, un autre centre de données ou un cloud.

La variante 3-2-1-1-0 ajoute deux exigences face aux ransomwares : 1 copie hors ligne ou immuable, et 0 erreur constatée lors des vérifications de restauration. C'est aujourd'hui la référence pour une politique de sauvegarde sérieuse.

Étape 3 : rendre une copie immuable

Une copie immuable ne peut être ni modifiée ni supprimée avant l'échéance fixée, même par un administrateur. Plusieurs moyens existent :

• Object Lock sur un stockage objet compatible S3, comme Backblaze B2 ou Wasabi.
• Coffres verrouillés des clouds : Vault Lock d'AWS Backup, coffres immuables d'Azure Backup.
• Dépôts durcis proposés par les éditeurs, sur un serveur Linux aux accès restreints.
• Modes en ajout seul des outils libres comme Restic, Borg ou Kopia.

Choisissez la durée de verrouillage avec soin : trop courte, elle n'offre pas de recul ; trop longue, elle fige des volumes et des coûts.

Étape 4 : garder une copie hors ligne

L'air gap isole physiquement ou logiquement une copie du réseau. La bande éjectée et stockée à l'écart en reste l'exemple classique. Un coffre cloud isolé dans un compte séparé, sans identifiants partagés avec la production, s'en approche logiquement. L'objectif : qu'un attaquant maître du système d'information ne puisse pas atteindre cette copie.

Étape 5 : séparer les identités et protéger l'accès

Une sauvegarde est aussi solide que les comptes qui l'administrent. Bonnes pratiques :

• Comptes d'administration de la sauvegarde distincts de l'annuaire de production.
• Authentification multifacteur sur les consoles.
• Validation à plusieurs pour les opérations destructrices quand l'outil le permet.
• Droits minimaux pour les agents et les clés d'accès au stockage.

Étape 6 : chiffrer les sauvegardes

Le chiffrement protège la confidentialité des copies, notamment hors site. Chiffrez en transit et au repos, et traitez les clés comme un actif critique : conservées hors de l'infrastructure sauvegardée, documentées, accessibles en cas de sinistre. Une clé perdue rend la sauvegarde inutile.

Étape 7 : tester les restaurations

C'est l'étape la plus souvent négligée. Planifiez :

• Des restaurations ponctuelles régulières de fichiers, de machines et de bases.
• Des exercices de reprise complets sur les applications critiques, chronométrés pour vérifier le RTO.
• Des vérifications automatiques d'intégrité proposées par l'outil.

Documentez les résultats : ce sont des preuves attendues par les auditeurs, notamment dans le cadre de NIS 2 ou de DORA.

Étape 8 : superviser et alerter

Une sauvegarde qui échoue en silence est une fausse sécurité. Remontez les échecs, les dérives de durée et les anomalies de volume dans votre supervision ou votre SOC. Une hausse brutale du taux de modification peut signaler un chiffrement malveillant en cours. Suivez aussi la couverture : toute nouvelle machine ou application doit entrer dans le périmètre.

Étape 9 : préparer la restauration après attaque

Restaurer après un ransomware ne se fait pas comme après une panne. Il faut identifier une copie saine, restaurer dans un environnement isolé, analyser avant de reconnecter, et prioriser selon la criticité métier. Ces procédures s'écrivent et s'exercent à froid, avec la sécurité et les métiers.

FAQ

La règle 3-2-1 est-elle encore suffisante ? Elle reste le socle, mais face aux ransomwares la variante 3-2-1-1-0 est plus adaptée : elle impose une copie immuable ou hors ligne et des restaurations vérifiées.

La réplication remplace-t-elle la sauvegarde ? Non. La réplication copie aussi les erreurs et les chiffrements malveillants. La sauvegarde conserve un historique dans le temps.

À quelle fréquence tester les restaurations ? Selon la criticité : régulièrement pour les applications critiques, au moins après chaque changement d'infrastructure significatif.

ForTeam IT à vos côtés

Vous voulez auditer ou renforcer votre stratégie de sauvegarde ? ForTeam IT mobilise des administrateurs backup, des experts cybersécurité et des architectes sélectionnés. Consultez notre panorama des solutions de sauvegarde d'entreprise, nos guides et notre comparatif Veeam vs Commvault vs NetBackup.

Rejoindre la communauté