Votre sauvegarde survivrait-elle à un rançongiciel ?
Une sauvegarde accessible en écriture depuis le réseau au moment de l’attaque est chiffrée avec le reste. C’est la différence entre une entreprise qui redémarre le lendemain et une autre qui repart de zéro — et elle ne dépend ni du logiciel de sauvegarde, ni de sa fréquence, mais d’une seule propriété : la copie de secours doit être hors d’atteinte au moment où l’attaque se déclenche.
Le malentendu de départ
Une sauvegarde classique répond à une question précise : « comment récupérer un fichier supprimé par erreur ? » Elle y répond très bien. Le problème est qu’on lui prête une seconde capacité qu’elle n’a pas : résister à un attaquant qui a pris la main sur le réseau.
Un rançongiciel moderne ne se contente pas de chiffrer le poste où il s’exécute. Il cherche activement les lecteurs réseau montés, les partages accessibles, les disques externes connectés — et les sauvegardes en font partie, parce qu’elles sont par nature branchées à ce qu’elles protègent.
Pire : les sauvegardes sont devenues une cible en soi. L’attaquant cherche à les localiser et les neutraliser avant de se manifester, pour priver la victime de toute alternative au paiement. Quand la demande de rançon s’affiche, le travail sur les copies de secours peut déjà être fait.
Les trois questions à se poser
1. Ma sauvegarde est-elle accessible en écriture depuis un poste du réseau ?
Si oui, elle est vulnérable. Un disque USB branché en permanence sur le serveur, un dossier partagé sur un NAS avec des droits d’écriture, un lecteur réseau monté sur le poste comptable : dans les trois cas, ce qui peut écrire peut chiffrer.
2. Existe-t-il une copie que personne — même un administrateur — ne peut supprimer aujourd’hui ?
C’est le critère décisif. Deux formes le satisfont. La copie hors ligne : un disque branché le temps de la sauvegarde, puis débranché et rangé. La copie immuable : un stockage où les versions sont verrouillées pendant une durée fixée et ne peuvent être ni modifiées, ni effacées avant ce délai, y compris par le compte qui les a créées.
La seconde forme est supérieure sur un point : elle ne dépend d’aucun geste humain hebdomadaire.
3. Ai-je déjà restauré, pour de vrai ?
Une tâche de sauvegarde qui affiche « succès » ne prouve pas que les données sont exploitables. Elle prouve que le programme s’est terminé sans erreur — ce qui reste vrai s’il sauvegarde un dossier devenu vide, ou une base de données copiée pendant une écriture et donc inutilisable.
Le seul test valable : prendre un fichier au hasard dans une sauvegarde d’il y a un mois, le restaurer, et l’ouvrir. Une fois par trimestre. C’est aussi le seul moyen de mesurer combien de temps prend réellement une restauration — information qu’il vaut mieux ne pas découvrir un lundi de crise.
La règle 3-2-1, et ce qui lui manque désormais
La règle classique — trois copies, deux supports différents, une hors site — reste la bonne base. Elle a été pensée contre l’incendie, le vol et la panne matérielle, pas contre un adversaire actif.
Deux compléments comblent l’écart. Une copie hors ligne ou immuable, pour la raison exposée plus haut. Et une vérification de restauration au lieu d’une simple vérification d’exécution. Sans ces deux ajouts, on peut respecter le 3-2-1 à la lettre et se retrouver avec trois copies chiffrées : elles étaient toutes accessibles depuis le même réseau.
Le guide de l’ANSSI et du ministère de la Justice (Attaques par rançongiciels, tous concernés) va dans le même sens : il fait des sauvegardes régulières « la mesure prioritaire » contre les pertes liées à un rançongiciel, rappelle que de plus en plus de cybercriminels s’en prennent aux sauvegardes elles-mêmes, et demande que les plus critiques soient déconnectées du système d’information.
Combien de temps pouvez-vous perdre ?
Deux durées se décident à l’avance, et elles commandent tout le reste du dispositif.
Combien de données puis-je me permettre de perdre ? Si la sauvegarde tourne chaque nuit, une attaque en fin d’après-midi coûte une journée complète de saisie. Si ce n’est pas acceptable pour votre activité, la fréquence doit augmenter — pas le budget du logiciel.
Combien de temps puis-je rester à l’arrêt ? Restaurer depuis un stockage distant est limité par votre débit descendant. Le calcul minimal : volume en Go × 8 000 ÷ débit en Mbit/s donne une durée en secondes — pour 500 Go à 100 Mbit/s, environ 11 heures, avant même de réinstaller les postes. Ce délai se mesure une fois, à froid, et se compare à ce que votre activité supporte.
Ces deux réponses ne se déduisent d’aucune norme : elles dépendent de votre métier. Mais tant qu’elles ne sont pas posées, le dispositif de sauvegarde est dimensionné au hasard.
À retenir
Une sauvegarde protège contre l’erreur humaine ; seule une sauvegarde hors ligne ou immuable protège contre une attaque. Vérifiez les trois points : accessible en écriture depuis le réseau, existence d’une copie non supprimable, restauration déjà testée. Puis fixez vos deux durées — perte de données tolérable, arrêt tolérable. C’est ce dimensionnement, et la vérification de restauration périodique, qui distinguent une sauvegarde supervisée d’un disque branché qu’on espère utile.