Sauvegarde anti-ransomware : 10 contrôles avant l’incident

Une sauvegarde anti-ransomware ne se résume pas à l’existence d’une copie. Avant l’incident, l’entreprise doit pouvoir prouver que ses sauvegardes sont séparées, surveillées, conservées assez longtemps et restaurables sans dépendre entièrement de l’environnement compromis.

Pourquoi auditer les sauvegardes avant une attaque ?

Un incident peut rendre indisponibles les postes, les serveurs, les partages réseau, les comptes administrateurs et parfois les sauvegardes accessibles depuis le même environnement. L’objectif de cet audit n’est pas de prédire toutes les attaques, mais de vérifier que plusieurs obstacles empêchent une compromission unique de supprimer simultanément les données et leurs possibilités de restauration.

La checklist suivante est conçue pour une PME ou une équipe IT réduite. Elle peut être adaptée aux logiciels, au cloud, aux NAS et aux supports amovibles déjà utilisés. Elle complète la règle 3-2-1-1-0 et la comparaison entre Air Gap physique, logique et opérationnel.

1. Séparer les identités d’administration

À vérifier : le compte qui administre la production ne doit pas pouvoir supprimer seul toutes les sauvegardes, modifier leur conservation et désactiver les alertes.

• Preuve : export des rôles, comptes et droits du serveur ou de la console de sauvegarde.
• Fréquence : chaque trimestre et après tout changement d’administrateur.

2. Conserver une copie réellement hors ligne

À vérifier : au moins une copie n’est pas accessible en permanence depuis le réseau ou les comptes compromis. Un média amovible ne constitue un Air Gap physique que lorsqu’il est effectivement retiré et stocké.

• Preuve : registre de rotation indiquant le support, la date d’éjection, l’opérateur et l’emplacement.
• Fréquence : après chaque sauvegarde prévue comme copie hors ligne.

3. Détecter les sauvegardes et éjections en échec

À vérifier : une tâche en erreur, incomplète ou anormalement courte déclenche une alerte traitée. Il faut également détecter le support resté connecté alors que la procédure exige son retrait.

• Preuve : journal de tâches, notification de test et ticket montrant qui a traité l’alerte.
• Fréquence : contrôle quotidien des dernières tâches et test mensuel des notifications.

4. Vérifier la durée de conservation

À vérifier : les points de restauration couvrent une période suffisante pour retrouver une version saine même si l’incident est détecté tardivement. Une rotation trop courte peut remplacer toutes les copies utiles avant l’alerte.

• Preuve : politique de conservation et liste réelle des dates disponibles par jeu de données.
• Fréquence : contrôle mensuel et après toute modification du volume ou de la capacité.

5. Protéger les journaux et la traçabilité

À vérifier : l’équipe peut reconstituer qui a modifié une tâche, supprimé une copie, changé une règle de conservation ou utilisé un média. Les journaux utiles ne doivent pas disparaître avec le système principal.

• Preuve : échantillon de journaux exportés, durée de rétention et test de recherche d’un événement.
• Fréquence : revue trimestrielle, plus une vérification après chaque changement majeur.

6. Tester une restauration représentative

À vérifier : la restauration ne s’arrête pas au message « tâche réussie ». Un fichier, une base ou une configuration représentative doit être restauré dans un environnement contrôlé, ouvert puis validé par son propriétaire.

• Preuve : compte rendu avec source, date de sauvegarde, durée réelle, contrôle d’intégrité, résultat et écart.
• Fréquence : au minimum chaque trimestre pour les données critiques, selon le risque et les objectifs de reprise.

7. Disposer d’une copie hors site

À vérifier : un incendie, un vol, une inondation ou une indisponibilité du bâtiment ne doit pas rendre inaccessibles toutes les copies. Le transport et le lieu de stockage doivent eux-mêmes être sécurisés.

• Preuve : inventaire des médias ou dépôts hors site, chaîne de garde et dernière date de rotation.
• Fréquence : vérification à chaque transfert et rapprochement mensuel de l’inventaire.

8. Contrôler l’immutabilité et les possibilités de suppression

À vérifier : si une copie est présentée comme immuable ou protégée, testez concrètement quels comptes peuvent réduire la rétention, réinitialiser le dépôt ou supprimer les points de restauration avant l’échéance.

• Preuve : capture ou rapport du test d’autorisation, règle de conservation et identité utilisée.
• Fréquence : chaque trimestre et après toute évolution de configuration ou de contrat.

9. Préparer les accès de secours

À vérifier : les informations nécessaires à la restauration restent disponibles si l’annuaire, le gestionnaire de mots de passe principal, le réseau ou les postes administrateurs sont indisponibles.

• Preuve : procédure hors ligne, contacts, clés ou accès de secours protégés et testés sans utiliser la session habituelle.
• Fréquence : revue semestrielle et après chaque changement d’outil, de personne ou de prestataire.

10. Répéter une procédure d’urgence

À vérifier : chacun sait qui décide de l’isolement, qui contacte les prestataires, qui choisit le point de restauration et qui valide le retour en production. La procédure doit éviter une restauration précipitée dans un environnement encore compromis.

• Preuve : compte rendu d’exercice, chronologie, décisions, contacts vérifiés et actions correctives attribuées.
• Fréquence : exercice annuel au minimum et après tout changement majeur d’organisation.

Tableau de suivi mensuel

Contrôle	Dernière preuve	Résultat	Action / responsable
Identités séparées	À compléter	Conforme / écart	Nom et échéance
Copie hors ligne	À compléter	Conforme / écart	Nom et échéance
Alertes et journaux	À compléter	Conforme / écart	Nom et échéance
Restauration testée	À compléter	Conforme / écart	Nom et échéance
Copie hors site	À compléter	Conforme / écart	Nom et échéance

Transformer la checklist en routine

Commencez par les données dont l’arrêt aurait l’impact le plus élevé. Réunissez les preuves existantes, testez un scénario représentatif puis corrigez les écarts mesurables. Le futur guide sur le test de restauration détaillera le protocole, les critères de réussite et le suivi du RPO/RTO.