Sauvegardes 3-2-1 : le guide anti-ransomware pas à pas

Un lundi matin, un dirigeant de PME arrive au bureau. Les fichiers comptables sont illisibles, l'ERP refuse de démarrer et un message réclame une rançon en cryptomonnaie. Le prestataire informatique confirme le pire : un ransomware a chiffré les serveurs pendant le week-end. La question qui décide de la survie de l'entreprise tient en une phrase : « Est-ce qu'on a une sauvegarde propre, et est-ce qu'on sait la restaurer ? »

Ce scénario n'a rien d'exceptionnel. Les rançongiciels frappent désormais autant les PME et les ETI que les grands groupes, précisément parce que ces structures disposent rarement d'une stratégie de sauvegarde robuste. Et les attaquants ont appris : avant de chiffrer les données, ils cherchent et détruisent les sauvegardes. Une sauvegarde connectée au réseau et accessible avec les mêmes identifiants que le reste du système ne vous protège pas.

La bonne nouvelle, c'est qu'une méthode éprouvée existe depuis des années et qu'elle ne demande pas un budget de grand compte : la règle 3-2-1. Ce guide la déroule pas à pas, dans sa version durcie 3-2-1-1-0, avec des étapes actionnables pour une PME. L'objectif n'est pas de « faire des sauvegardes » — presque tout le monde en fait — mais de pouvoir réellement redémarrer après une attaque.

La règle 3-2-1, puis 3-2-1-1-0

La règle historique tient en trois chiffres, faciles à retenir pour un comité de direction :

• 3 copies de vos données importantes : l'original en production, plus deux sauvegardes.
• 2 supports différents : par exemple un NAS local et un stockage cloud, ou disque interne et bande. L'idée est de ne pas dépendre d'une seule technologie qui pourrait tomber en panne de la même façon.
• 1 copie hors site : conservée dans un autre lieu physique (autre bâtiment, cloud, coffre), pour survivre à un incendie, un dégât des eaux ou un vol.

Face aux ransomwares modernes, cette base ne suffit plus. La version durcie ajoute deux chiffres et devient 3-2-1-1-0 :

• 1 copie hors ligne ou immuable : déconnectée du réseau (air-gap) ou verrouillée en écriture, donc impossible à chiffrer ou à supprimer par l'attaquant.
• 0 erreur : chaque sauvegarde est vérifiée et testée, sans erreur de restauration détectée.

Ces deux derniers chiffres sont ceux qui font la différence le jour de l'attaque. Le reste, c'est de l'hygiène de base.

La copie hors ligne ou immuable : votre dernière ligne de défense

Un ransomware qui obtient les droits d'administrateur peut atteindre tout ce qui est connecté : partages réseau, NAS monté, et même certains espaces cloud synchronisés en permanence. C'est pourquoi la copie hors ligne ou immuable est votre ultime filet de sécurité.

Plusieurs options concrètes, adaptées à une PME :

• Immutabilité côté cloud : la plupart des stockages objet (type S3 et équivalents européens) proposent un verrouillage d'objet (« object lock » / WORM) qui empêche toute modification ou suppression pendant une durée définie, même avec les identifiants.
• Air-gap physique : un disque externe ou une bande que l'on branche pour la sauvegarde, puis que l'on débranche et range ailleurs. Rudimentaire, mais imbattable pour la partie « hors ligne ».
• Rétention verrouillée chez un prestataire de sauvegarde qui garantit des snapshots inaltérables.

Le principe : au moins une copie doit être hors de portée d'un compte compromis. Si un attaquant qui contrôle votre réseau peut effacer une sauvegarde, alors cette sauvegarde ne compte pas dans votre défense anti-ransomware.

Une sauvegarde non testée n'existe pas

C'est le point le plus négligé, et le plus douloureux le jour J. Des dizaines d'entreprises ont découvert, en pleine crise, que leurs sauvegardes étaient corrompues, incomplètes, ou qu'aucune procédure de restauration n'avait jamais été écrite.

Une sauvegarde n'a de valeur que si vous pouvez la restaurer dans un délai acceptable. Cela se prépare :

• Testez une restauration réelle, pas seulement le fait que le job « passe au vert ». Restaurez quelques fichiers, puis à intervalle régulier un système complet dans un environnement isolé.
• Chronométrez : combien de temps pour remettre le serveur comptable en ligne ? Ce délai, c'est votre RTO (objectif de temps de reprise). S'il est de trois jours, votre direction doit le savoir.
• Documentez la procédure pour qu'une personne autre que « celui qui sait » puisse l'exécuter, y compris s'il est en congés le jour de l'attaque.
• Planifiez un test au moins trimestriel et notez-le dans le calendrier, comme un exercice incendie.

Fréquence, chiffrement et séparation des identifiants

Trois derniers réglages transforment une sauvegarde correcte en sauvegarde de confiance.

La fréquence dépend de ce que vous acceptez de perdre : c'est le RPO (objectif de point de reprise). Si perdre une journée de saisie comptable est inacceptable, une sauvegarde quotidienne ne suffit pas — il faut plusieurs points dans la journée. Posez la question métier par métier, plutôt que d'appliquer un rythme unique.

Le chiffrement protège les sauvegardes elles-mêmes. Une copie hors site ou dans le cloud contient toutes vos données sensibles ; si elle est volée ou exposée, elle devient une fuite de données à déclarer à la CNIL. Chiffrez les sauvegardes au repos et en transit, et conservez les clés de déchiffrement à part, dans un coffre à secrets — jamais dans le même espace que les sauvegardes.

La séparation des identifiants est la contre-mesure la plus sous-estimée. Le compte qui gère les sauvegardes ne doit pas être un administrateur du domaine, ni partager son mot de passe avec la production. Objectif : qu'un attaquant qui compromet votre Active Directory n'obtienne pas automatiquement les clés du système de sauvegarde. Ajoutez-y une authentification forte (MFA) sur les consoles de sauvegarde et le portail cloud.

Votre plan d'action

Une feuille de route réaliste pour une PME, à dérouler dans l'ordre :

1. Inventoriez ce qui doit être sauvegardé : données comptables, ERP/CRM, messagerie, fichiers partagés, configurations serveurs. On ne protège bien que ce qu'on a listé.
2. Appliquez le 3-2-1 : trois copies, deux supports, une hors site. Vérifiez que vous y êtes vraiment aujourd'hui.
3. Ajoutez une copie hors ligne ou immuable (object lock, air-gap ou rétention verrouillée) hors de portée d'un compte compromis.
4. Chiffrez les sauvegardes et rangez les clés dans un coffre à secrets, séparé des données.
5. Isolez les identifiants de sauvegarde du reste du SI et activez le MFA sur les consoles et portails.
6. Définissez RPO et RTO métier par métier, puis calez la fréquence de sauvegarde dessus.
7. Testez une restauration complète, chronométrez-la, documentez la procédure et planifiez un test trimestriel récurrent.
8. Intégrez la sauvegarde à votre plan de reprise : qui fait quoi, dans quel ordre, avec quels contacts, le jour de l'incident.

Comment Sedona peut aider

Une stratégie de sauvegarde solide vit à l'intérieur d'un système d'information, et les ransomwares y entrent souvent par la porte extérieure : un service exposé sur Internet, un sous-domaine oublié, un certificat TLS périmé, une configuration e-mail (SPF/DKIM/DMARC) qui laisse passer le phishing. C'est là que Sedona Radar intervient : notre SaaS d'audit de la surface d'attaque externe cartographie ce qui est visible depuis Internet et met en évidence les points d'entrée à corriger en priorité, avec un score de conformité indicatif au regard de plusieurs référentiels. Il ne remplace pas votre plan de sauvegarde — il réduit la probabilité qu'on ait à s'en servir. Pour aller plus loin, notre audit de surface manuel et notre veille cyber personnalisée vous aident à suivre les remédiations dans le temps, et nos formations (via partenaire Qualiopi, finançables OPCO) sensibilisent vos équipes.

Première étape simple et gratuite : testez votre exposition avec le plan Découverte de Sedona Radar, ou parlez-en à un expert pour bâtir un plan de résilience adapté à votre PME.