Sauvegardes : le filet de sécurité d’une TPE-PME

Octobre est le mois européen de la cybersécurité, une bonne occasion de revenir sur une mesure peu spectaculaire mais décisive : la sauvegarde.

Face à un rançongiciel, qui rend les fichiers illisibles et réclame de l’argent, une entreprise qui dispose de sauvegardes saines et testées peut reprendre son activité sans négocier. Sans elles, la perte de données peut devenir durable.

Une sauvegarde utile est une sauvegarde que l’on sait restaurer

Beaucoup de sauvegardes existent sans jamais avoir été vérifiées. Le jour de l’incident, on découvre alors qu’elles sont incomplètes, anciennes, chiffrées elles aussi ou impossibles à relire.

Trois questions permettent de savoir où l’on en est :

1. Que sauvegarde-t-on exactement ?
2. Où se trouvent les copies, et qui peut y accéder ?
3. À quand remonte le dernier test de restauration ?

Pourquoi une copie connectée au réseau ne suffit pas

Un rançongiciel chiffre ce qu’il peut atteindre : le poste infecté, les dossiers partagés, mais aussi un disque de sauvegarde resté branché ou un lecteur réseau accessible avec les mêmes droits.

C’est pourquoi les recommandations officielles insistent sur la même idée. La fiche réflexe de Cybermalveillance.gouv.fr demande de réaliser des sauvegardes régulières en gardant des copies déconnectées, et, en cas d’attaque, de débrancher les sauvegardes du réseau si elles y sont connectées.

La règle 3-2-1, un repère facile à retenir

Cette règle, très répandue, sert de point de départ :

• 3 copies des données importantes (l’original et deux sauvegardes) ;
• 2 supports différents (par exemple un disque externe et un service de stockage distant) ;
• 1 copie hors site ou déconnectée, hors de portée d’une attaque, d’un incendie ou d’un vol.

Ce n’est pas une obligation réglementaire, mais une grille de lecture simple. Elle peut être adaptée à la taille de l’entreprise, à ses moyens et à la sensibilité des données.

Une méthode en cinq étapes

1. Identifier ce qui doit être sauvegardé

Commencez par les ressources dont l’absence bloquerait l’activité :

• documents comptables et administratifs ;
• données clients et fichiers de production ;
• messagerie et agendas ;
• bases de données des logiciels métiers ;
• configurations des équipements réseau ;
• documents partagés et postes essentiels.

Première action : dressez la liste des cinq ressources les plus critiques.

2. Choisir une fréquence adaptée

Posez-vous cette question : combien de travail l’entreprise peut-elle accepter de refaire ? Une sauvegarde quotidienne convient souvent à des documents qui évoluent chaque jour, une fréquence plus faible peut suffire pour des archives.

Première action : notez, pour chaque ressource critique, la durée de perte maximale acceptable.

3. Isoler au moins une copie

Une copie doit rester hors de portée d’un poste compromis :

• support déconnecté après la sauvegarde, rangé dans un lieu différent ;
• ou stockage distant dont les accès sont protégés par un compte distinct et une authentification multifacteur ;
• ou sauvegarde dont les versions précédentes ne peuvent pas être effacées immédiatement.

Première action : vérifiez qu’au moins une copie n’est pas accessible depuis les postes de travail habituels.

4. Protéger les accès à la sauvegarde

Le compte qui administre les sauvegardes ne doit pas être le compte utilisé au quotidien. Limitez le nombre de personnes qui y ont accès et protégez-le par un mot de passe unique et une authentification multifacteur.

Première action : listez les personnes et les comptes qui peuvent modifier ou supprimer les sauvegardes.

5. Tester la restauration

C’est l’étape la plus souvent oubliée. Choisissez un dossier important, restaurez-le dans un emplacement de test et vérifiez que les fichiers s’ouvrent correctement.

À contrôler :

• le temps nécessaire pour restaurer ;
• l’intégrité des fichiers ;
• la personne capable de réaliser l’opération ;
• la présence d’une procédure écrite, accessible même si le système informatique est à l’arrêt.

Première action : planifiez un test de restauration dans les trente prochains jours, puis renouvelez-le à intervalle régulier.

Les erreurs fréquentes

• Croire que la synchronisation d’un dossier (un service de stockage en ligne) équivaut à une sauvegarde : une suppression ou un chiffrement se propage souvent aux copies synchronisées.
• Laisser le disque de sauvegarde branché en permanence.
• Ne jamais tester la restauration.
• Oublier les téléphones, les messageries ou les logiciels hébergés chez un prestataire : il faut savoir ce que celui-ci sauvegarde réellement.
• Ne pas documenter la procédure et dépendre d’une seule personne.

Que faire en cas de rançongiciel ?

La fiche réflexe de Cybermalveillance.gouv.fr recommande notamment de :

• couper la connexion du réseau attaqué à Internet et déconnecter les machines touchées ;
• débrancher les sauvegardes du réseau si elles y sont connectées ;
• ne pas payer la rançon, car rien ne garantit que les attaquants tiendront parole ;
• déposer plainte avant de réinstaller les équipements touchés (dans les 72 heures si l’entreprise dispose d’une assurance cyber) ;
• notifier la CNIL si des données personnelles sont compromises.

Pour le détail des premières minutes, consultez la ressource Incident cyber : les premiers réflexes.

Mini-diagnostic

Répondez par oui ou non :

1. Savons-nous quelles données sont sauvegardées ?
2. Existe-t-il au moins deux copies en plus de l’original ?
3. Une copie est-elle déconnectée ou isolée du réseau ?
4. Le compte de sauvegarde est-il protégé par une authentification multifacteur ?
5. Avons-nous restauré un fichier ou un dossier au cours des douze derniers mois ?
6. Une procédure de restauration existe-t-elle hors du système informatique ?

Moins de quatre réponses positives indiquent qu’il est utile de revoir l’organisation des sauvegardes.

À retenir

• Une sauvegarde n’a de valeur que si elle est restaurable.
• Au moins une copie doit rester déconnectée ou isolée du réseau.
• La règle 3-2-1 est un repère simple pour commencer.
• Le test de restauration est l’étape qui fait la différence.
• Une procédure écrite évite d’improviser le jour de l’incident.

Sources officielles pour aller plus loin

• Cybermalveillance.gouv.fr — Fiche réflexe : rançongiciels, professionnels
• ANSSI — Guide d’hygiène informatique
• Cybermalveillance.gouv.fr — Les ressources de sensibilisation

Cette ressource présente des repères pédagogiques généraux. Elle ne remplace pas une analyse de risques ni l’accompagnement d’un prestataire informatique pour définir une politique de sauvegarde adaptée.