Quand on parle de sauvegarde des données professionnelles, la question n’est plus de savoir si un incident surviendra, mais quand. Le Veeam Ransomware Trends Report 2024, mené auprès de 1 200 responsables sécurité, révèle que les dépôts de sauvegarde ont été visés dans 96 % des attaques par rançongiciel. Mesurer l’écart entre les pratiques actuelles et le niveau de protection réel permet de comprendre où se situent les failles.
Taux de compromission des sauvegardes : ce que les chiffres du rapport Veeam révèlent
Le même rapport Veeam 2024 indique que les dépôts de sauvegarde ont été compromis avec succès dans 76 % des cas où ils ont été ciblés. Autrement dit, sur la quasi-totalité des attaques, les attaquants s’en prennent aux copies de secours, et trois fois sur quatre, ils y parviennent.
Lire également : ODT en DOCX en toute sécurité : protéger vos documents sensibles
Ce chiffre change la perspective sur la sauvegarde. Disposer de copies ne suffit plus si ces copies restent accessibles depuis le réseau principal. Une sauvegarde connectée en permanence au système d’information devient un actif vulnérable, pas un filet de sécurité.
Les PME et ETI de services (cabinets RH, comptabilité, conseil) figurent parmi les structures les plus touchées par les incidents ransomware en France sur les douze derniers mois. Leur infrastructure de sauvegarde, souvent limitée à un disque réseau ou un serveur local, ne résiste pas à une attaque qui cible délibérément les fichiers de backup.
A découvrir également : Les attaques par phishing évoluent avec l'intelligence artificielle
Règle de sauvegarde 3-2-1 face au modèle 3-2-1-1-0 : tableau comparatif
La stratégie classique 3-2-1 reste un socle répandu, mais elle présente des lacunes face aux attaques actuelles. Le modèle 3-2-1-1-0 y répond en ajoutant deux exigences concrètes.
| Critère | Règle 3-2-1 | Règle 3-2-1-1-0 |
|---|---|---|
| Nombre de copies | 3 copies des données | 3 copies des données |
| Types de supports | 2 supports différents | 2 supports différents |
| Copie hors site | 1 copie hors site | 1 copie hors site |
| Copie hors ligne ou immuable | Non prévue | 1 copie hors ligne ou immuable |
| Vérification de restauration | Non formalisée | Zéro erreur de restauration vérifiée |
L’ajout d’une copie hors ligne ou immuable bloque la propagation d’un rançongiciel vers les sauvegardes. Un stockage immuable empêche toute modification ou suppression pendant une durée définie, même par un compte administrateur compromis.
L’exigence de zéro erreur de restauration vérifiée oblige à tester régulièrement la capacité réelle de récupération. Une sauvegarde qui n’a jamais été restaurée n’offre aucune garantie. Ce test périodique distingue une politique de sauvegarde documentée d’une simple copie de fichiers.
Contraintes juridiques et stockage des sauvegardes en France
Le cadre réglementaire impose des obligations spécifiques sur la localisation physique des sauvegardes. Le référentiel HDS (hébergeur de données de santé), révisé par un arrêté du 26 avril 2024, exige désormais que les données de santé, sauvegardes comprises, soient stockées physiquement dans l’Espace économique européen pour les activités d’infrastructure physique.
Cette contrainte ne concerne pas uniquement les établissements de santé. Tout prestataire qui héberge ou sauvegarde des données de santé pour le compte d’un tiers doit s’y conformer. Les hébergeurs doivent informer clairement leurs clients des conditions d’hébergement et de transfert.
Pour les entreprises soumises au RGPD sans relever du secteur santé, la logique reste similaire : le responsable de traitement doit savoir où ses sauvegardes sont stockées et s’assurer que les transferts hors EEE respectent les mécanismes prévus par le règlement. Un backup automatique vers un cloud dont les serveurs se trouvent hors de l’EEE peut poser un problème de conformité, même si l’entreprise n’en a pas conscience.
Points de vérification pour la conformité des sauvegardes
- Identifier la localisation physique de chaque copie de sauvegarde (serveur local, cloud, bande externalisée) et vérifier qu’elle reste dans le périmètre réglementaire applicable
- Exiger de l’hébergeur ou du prestataire de backup une attestation écrite précisant le lieu de stockage et les éventuels transferts de données
- Documenter la politique de sauvegarde dans le registre des traitements, en mentionnant la fréquence, le support, la durée de rétention et la procédure de restauration
Fréquence de sauvegarde et objectif de récupération : calibrer selon l’activité
La fréquence de sauvegarde dépend directement du volume de données qu’une entreprise peut se permettre de perdre. Ce paramètre se mesure par le RPO (Recovery Point Objective) : l’intervalle maximal acceptable entre la dernière sauvegarde et l’incident.
Un cabinet comptable en période de clôture fiscale ne tolère pas la même perte qu’un bureau d’études dont les projets évoluent sur plusieurs semaines. Calibrer le RPO revient à poser une question concrète : combien d’heures de travail l’équipe peut-elle reconstituer manuellement sans impact critique sur l’activité ?
- RPO court (quelques heures) : sauvegarde incrémentielle plusieurs fois par jour, adaptée aux environnements transactionnels ou aux données financières
- RPO moyen (24 heures) : une sauvegarde quotidienne couvre la plupart des activités de bureau, fichiers partagés et messagerie
- RPO long (plusieurs jours) : acceptable uniquement pour des archives ou des données peu modifiées, jamais pour des fichiers de production
Le RTO (Recovery Time Objective), qui mesure le délai de remise en service après un incident, dépend quant à lui du support choisi. Une restauration depuis un stockage cloud prend plus de temps qu’une restauration locale, mais le cloud offre une meilleure résilience face à un sinistre physique. L’arbitrage entre les deux repose sur la criticité du délai de reprise.
La combinaison RPO et RTO détermine le budget et l’architecture de sauvegarde. Une entreprise qui fixe ces deux paramètres sans les documenter prend le risque de découvrir ses propres limites le jour de l’incident. Tester la restauration au moins une fois par trimestre reste le seul moyen de valider que la stratégie fonctionne en conditions réelles.
