Sauvegarde hors ligne : la protection contre le chiffrement
Une copie de secours connectée en permanence peut être chiffrée ou supprimée avec les fichiers de travail. Face aux rançongiciels, isoler une sauvegarde hors ligne et tester sa restauration renforcent concrètement la sécurité des données.
Une stratégie solide combine plusieurs protections plutôt que de miser sur un seul appareil ou service. La règle 3-2-1, l’immuabilité et le stockage déconnecté forment des couches complémentaires, adaptées aussi aux particuliers et aux petites structures.
À retenir :
- Copies multiples sur des supports différents, dont une hors site
- Copie immuable ou déconnectée, inaccessible aux comptes compromis
- Tests réguliers de restauration des fichiers et des systèmes
- Procédure de réaction rapide en cas de chiffrement malveillant
Sauvegarde hors ligne et protection contre les rançongiciels
Cette stratégie répond à un risque concret : une attaque peut viser les sauvegardes avant de chiffrer les postes. Pour une TPE comme pour un foyer, une copie inaccessible au réseau peut éviter une perte définitive.
Pourquoi les copies connectées restent vulnérables
Un NAS monté sur le réseau ou un disque branché en permanence reste accessible à un attaquant ayant compromis un compte. Il peut alors chercher, chiffrer ou effacer ces données avant le déclenchement visible du chiffrement malveillant.
Selon IBM, l’isolation d’une sauvegarde limite son exposition aux menaces qui circulent sur le réseau. Un historique de versions dans un service synchronisé n’offre pas automatiquement cette garantie : ses fichiers peuvent rester accessibles avec les mêmes identifiants compromis.
Dans un cabinet comptable, par exemple, un disque externe branché sans interruption ne constitue pas une vraie barrière. La protection commence lorsqu’il est débranché après la sauvegarde et conservé séparément de l’ordinateur.
Les protections à distinguer :
- Synchronisation : réplique les changements, y compris certaines suppressions
- NAS connecté : facilite les copies, mais reste exposé au réseau
- Copie immuable : bloque les changements durant une période définie
- Air gap : rend la copie physiquement inaccessible lorsqu’elle est débranchée
« Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une hypothèse. »
Laura C.
Immuabilité et air gap, deux défenses complémentaires
L’immuabilité repose notamment sur le principe WORM : les données écrites ne peuvent être modifiées ou supprimées pendant une durée définie. Selon IBM, l’isolement des copies participe à une meilleure protection contre les attaques réseau.
Des services de stockage objet proposent des mécanismes de verrouillage tels qu’Object Lock. Il faut toutefois configurer correctement la durée de rétention, les accès et les clés, puis vérifier que le verrou s’applique aux sauvegardes attendues.
L’air gap, lui, repose sur la déconnexion physique : un disque externe rangé après usage ne peut pas être atteint à distance. Ces deux approches ne se remplacent pas ; une copie immuable reste en ligne, tandis qu’une copie déconnectée n’est pas disponible pour une restauration immédiate.
Une combinaison adaptée peut inclure :
- Un support local pour les restaurations courantes
- Un stockage distant avec verrouillage immuable
- Un disque externe débranché après chaque copie
- Des accès administrateur séparés et protégés
| Méthode | Atout principal | Limite à connaître |
|---|---|---|
| Synchronisation cloud | Copie accessible et pratique | Peut répliquer une suppression |
| NAS connecté | Restauration locale rapide | Exposé au réseau compromis |
| Stockage immuable | Blocage temporaire des modifications | Configuration et accès à vérifier |
| Disque déconnecté | Inaccessible aux attaques réseau | Manipulation et rotation manuelles |
Construire une copie de secours fiable et restaurable
Une fois les risques identifiés, l’enjeu devient l’organisation des copies et leur vérification. Une sauvegarde utile n’est pas seulement créée : elle doit rester lisible et permettre une reprise dans des délais acceptables.
Appliquer la règle 3-2-1 à son activité
La règle 3-2-1 recommande trois copies des données, réparties sur deux types de supports, avec une copie hors site. Pour renforcer la résilience informatique, on ajoute une copie immuable ou déconnectée, puis des tests sans erreur de restauration.
Selon IBM, la séparation des sauvegardes du réseau de production réduit leur exposition aux compromissions de ce réseau. Pour un particulier, l’ordinateur, un service distant protégé et un disque externe débranché peuvent former une architecture simple.
Une petite entreprise peut conserver une copie locale pour redémarrer rapidement, envoyer une autre copie vers un stockage objet verrouillé et faire tourner des disques hors site. Le choix dépend du volume, des délais de reprise et des moyens disponibles.
Exemples d’organisation des copies :
- Particulier : ordinateur, stockage distant, disque externe débranché
- Indépendant : poste de travail, copie cloud, support séparé
- Petite équipe : NAS local, stockage distant immuable, disque tournant
- Chaque profil : identifiants distincts et copie hors des locaux
Tester la restauration et maîtriser les accès
Un voyant vert confirme qu’une tâche s’est exécutée, mais pas que les fichiers sont récupérables. Des données corrompues, une clé oubliée ou une base incohérente peuvent bloquer la restauration des fichiers au moment critique.
Il est donc utile de restaurer périodiquement quelques fichiers, puis un ensemble plus complet dans un environnement isolé. Selon IBM, l’isolement constitue une mesure de protection ; le test confirme, lui, que la copie reste exploitable.
Il faut aussi séparer les comptes utilisés pour produire les sauvegardes de ceux qui administrent le réseau quotidien. Une compromission unique ne devrait pas permettre à un attaquant de modifier toutes les copies disponibles.
« J’ajouterais une erreur plus subtile : confondre RAID et sauvegarde. »
Laura C.
Restaurer sans exposer les autres copies :
- Choisir un appareil sain ou un environnement isolé
- Vérifier l’intégrité des fichiers avant leur remise en service
- Conserver une copie intacte pendant les opérations
- Noter les étapes et le temps nécessaire à la reprise
| Profil | Copie locale | Copie hors site | Copie isolée |
|---|---|---|---|
| Particulier | Ordinateur ou disque de travail | Service distant protégé | Disque externe débranché |
| Indépendant | Ordinateur ou petit NAS | Stockage objet verrouillé | Support tournant conservé ailleurs |
| Petite entreprise | NAS ou dépôt de sauvegarde | Stockage distant immuable | Disque déconnecté hors site |
| Équipe multisite | Copie proche des postes | Copie dans un site distinct | Support isolé à rotation planifiée |
La fréquence des tests doit correspondre à l’importance des données et à leur rythme de changement. Une procédure écrite aide aussi une personne non spécialiste à retrouver les accès et à lancer la reprise.
« Mes conseils sont simples mais réellement efficaces lorsqu’ils sont appliqués avec discipline. »
Laura C.
Réagir au chiffrement malveillant sans aggraver l’incident
Une architecture solide réduit les dégâts, mais les premières décisions comptent lorsqu’un poste affiche une demande de rançon. L’objectif immédiat est de contenir la propagation et de préserver les options de reprise.
Isoler les appareils et préserver les éléments utiles
Déconnecter rapidement l’appareil suspect du réseau peut limiter la propagation vers les autres postes et les supports partagés. Couper le Wi-Fi et débrancher le câble réseau sont des gestes concrets, sans manipuler les sauvegardes intactes.
Évitez de redémarrer précipitamment l’ordinateur : cela peut compliquer l’analyse ou la préservation d’éléments utiles. Photographier le message affiché et contacter un professionnel aide à structurer les actions suivantes.
Selon les recommandations mentionnées par Cybermalveillance.gouv.fr dans les données disponibles, signaler l’incident permet également d’obtenir une orientation adaptée. Ne branchez pas une copie de secours avant d’avoir évalué l’état des appareils et choisi un environnement sain.
« La déconnexion physique elle-même fait toute la protection. »
Laura C.
Organiser la reprise et prévenir les récidives
La reprise commence par l’identification des copies intactes, puis par une restauration contrôlée sur un système assaini. Une copie hors ligne ne doit être reconnectée qu’au moment utile, afin de ne pas l’exposer à un appareil compromis.
Après l’incident, changez les mots de passe concernés, examinez les accès administrateur et corrigez les failles utilisées. Cette démarche transforme la sauvegarde en élément d’une politique de cybersécurité, plutôt qu’en simple tâche automatique.
Pour réduire les pertes futures, consignez qui peut restaurer les données, où se trouvent les supports et comment accéder aux clés. La prévention des pertes de données dépend autant de cette préparation que des outils choisis.
« Une sauvegarde classique est protégée par des droits d’accès, et tout droit d’accès peut être volé. »
Laura C.
Source : IBM, « Qu’est-ce qu’une sauvegarde isolée (« air gap ») ? ».
