Air Gap physique ou logique : quelles différences pour une sauvegarde ?

Un Air Gap protège une sauvegarde en limitant la possibilité qu’un incident atteigne simultanément les données de production et leur copie. Mais l’isolation peut être physique, logique ou simplement organisée dans le temps : ces approches ne couvrent pas les mêmes risques.

Qu’est-ce qu’un Air Gap de sauvegarde ?

Un Air Gap est une séparation destinée à empêcher qu’un même chemin technique, un même compte ou une même erreur puisse atteindre la production et toutes les sauvegardes. Il ne désigne pas un produit unique. C’est un mécanisme d’isolation qui combine une architecture, des droits d’accès et une procédure d’exploitation.

L’objectif est de conserver au moins une copie exploitable lorsque les systèmes connectés sont chiffrés, supprimés, corrompus ou rendus indisponibles. Cette copie doit aussi être identifiable, suffisamment récente et restaurable dans le délai attendu. L’Air Gap complète donc une stratégie de sauvegarde ; il ne remplace ni la surveillance des tâches ni les tests de restauration.

Air Gap physique : une coupure matérielle vérifiable

L’Air Gap physique repose sur une séparation matérielle. Après la sauvegarde, le support est retiré du lecteur ou le système de stockage est physiquement déconnecté. Il n’existe alors plus de chemin réseau actif permettant d’atteindre cette copie.

• Atout principal : la coupure est simple à constater et ne dépend pas uniquement d’une règle logicielle.
• Contrainte : la rotation, le transport et le stockage doivent être documentés et réellement exécutés.
• Risque résiduel : un support laissé dans le lecteur, mal étiqueté, détérioré ou emporté sans protection n’offre pas le niveau attendu.

Une rotation de cartouches RDX peut fournir cette séparation si le média est effectivement éjecté après la tâche, puis conservé dans un emplacement sécurisé. Notre guide sur la rotation des supports en cinq étapes détaille l’organisation quotidienne de ce processus.

Air Gap logique : isoler les accès et les chemins

L’Air Gap logique maintient généralement la copie sur une infrastructure connectée, mais réduit son exposition grâce à des contrôles techniques : réseau segmenté, identités séparées, accès temporaire, stockage immuable, règle de conservation ou dépôt auquel le serveur de production ne peut pas écrire directement.

• Atout principal : les opérations peuvent être automatisées et la copie rendue rapidement disponible.
• Contrainte : la protection dépend de la qualité de la configuration et de la séparation des privilèges.
• Risque résiduel : une identité trop puissante, une console commune ou une mauvaise règle de rétention peut recréer un chemin vers la copie.

Air Gap opérationnel : réduire la fenêtre d’exposition

Entre les deux se trouve l’Air Gap opérationnel. La copie est accessible uniquement pendant une fenêtre définie, puis retirée ou rendue indisponible. Cette approche associe automatisation et procédure humaine. Elle est utile lorsqu’une déconnexion permanente n’est pas réaliste, mais elle exige une supervision précise des horaires, des échecs et de l’éjection.

Par exemple, un support peut être connecté pour la sauvegarde nocturne, vérifié, puis éjecté avant le début de la journée. La qualité de l’Air Gap dépend alors de la durée d’exposition et de la capacité à détecter une tâche incomplète ou une éjection qui n’a pas eu lieu.

Comparer les trois approches

Approche	Séparation	Point fort	Contrôle indispensable
Physique	Support retiré ou système déconnecté	Coupure matérielle vérifiable	Prouver le retrait et le stockage sécurisé
Logique	Accès, réseau, identité ou conservation isolés	Automatisation et disponibilité	Tester les privilèges et les possibilités de suppression
Opérationnelle	Accès limité à une fenêtre définie	Compromis entre automatisation et isolement	Surveiller la tâche, l’éjection et la durée d’exposition

Quelle forme d’Air Gap choisir ?

Le choix dépend moins d’une préférence technique que des scénarios de risque et de la capacité de l’équipe à exploiter la solution chaque semaine. Une PME peut combiner plusieurs formes plutôt que chercher une réponse unique.

Privilégier une séparation physique lorsque…

• une copie doit rester hors réseau pendant plusieurs jours ;
• l’organisation peut assurer une rotation et un stockage hors site ;
• la simplicité de vérification est prioritaire.

Privilégier une séparation logique lorsque…

• les volumes ou la fréquence rendent les manipulations permanentes difficiles ;
• les identités, réseaux et responsabilités peuvent être réellement séparés ;
• les règles d’immutabilité et de conservation sont contrôlées et auditées.

Combiner les deux lorsque…

Les données critiques justifient plusieurs couches : une copie logique rapidement disponible pour la reprise courante et une copie physique déconnectée pour résister à un incident plus large. Cette logique rejoint la règle de sauvegarde 3-2-1-1-0, dont le « 1 » supplémentaire représente une copie hors ligne, isolée ou immuable.

Les erreurs qui annulent l’isolation

• laisser le support amovible connecté après la sauvegarde ;
• utiliser le même compte administrateur pour la production et toutes les copies ;
• confondre réplication et sauvegarde isolée ;
• conserver tous les médias dans le même bâtiment ;
• ne jamais tester la restauration depuis la copie isolée ;
• ne pas documenter qui retire, transporte et remet le support en circulation.

Checklist de validation

• La copie isolée ne partage pas les mêmes identifiants que la production.
• Le retrait ou la fermeture de l’accès est vérifiable après chaque tâche.
• Une copie est conservée dans un lieu séparé.
• Les échecs de sauvegarde et d’éjection déclenchent une alerte.
• Un test de restauration est planifié et documenté.