Les ransomwares récents ne se contentent plus de chiffrer les serveurs de production. Ils ciblent en priorité les référentiels de sauvegarde, modifiant ou supprimant les copies avant même de lancer le chiffrement principal. Automatiser les sauvegardes de données ne suffit donc plus si le processus n’intègre pas une couche de protection contre ce scénario précis. Le sujet a changé de nature : il ne s’agit plus de planifier des copies régulières, mais de garantir qu’elles restent exploitables après une attaque.
Sauvegardes ciblées par les ransomwares : ce que montrent les rapports récents
Selon les données du rapport Veeam Ransomware Trends 2024-2025, la grande majorité des attaques vise d’abord les sauvegardes. Une part significative des copies de restauration est modifiée ou détruite avant que le ransomware ne s’active sur les systèmes principaux. Le schéma est devenu systématique : les attaquants cartographient l’infrastructure de sauvegarde, identifient les dépôts accessibles en écriture, puis les neutralisent.
Ce constat change la hiérarchie des priorités. Un système de sauvegarde automatisé qui réplique fidèlement les données toutes les heures perd toute utilité si un attaquant peut écraser les fichiers de restauration. La fiabilité du processus de copie devient secondaire par rapport à l’intégrité des copies stockées.
Les entreprises qui découvrent ce problème au moment de la restauration se retrouvent face à un choix binaire : payer la rançon ou reconstruire depuis zéro. Les retours terrain divergent sur le taux de récupération effective après paiement, ce qui rend la prévention d’autant plus déterminante.
Stockage immuable et automatisation des sauvegardes : la combinaison qui change la donne
La réponse technique qui s’impose depuis 2024 repose sur les sauvegardes immuables. Le principe : une fois écrite, la copie ne peut être ni modifiée, ni supprimée pendant une durée définie. Les technologies WORM (Write Once Read Many), Object Lock sur le stockage cloud ou les snapshots en lecture seule rendent les données de sauvegarde résistantes à toute altération, y compris par un compte administrateur compromis.
L’automatisation prend ici un rôle structurant. Programmer des sauvegardes régulières vers un stockage immuable garantit que chaque copie produite reste intacte. Les organisations qui combinent automatisation et stockage immuable restaurent leurs données bien plus souvent que celles qui conservent des sauvegardes classiques modifiables.
Trois conditions techniques encadrent cette approche :
- Le dépôt de sauvegarde doit être physiquement ou logiquement séparé du réseau de production, pour empêcher un attaquant de pivoter depuis un poste compromis vers le stockage.
- La politique de rétention immuable doit couvrir une durée suffisante pour détecter une compromission latente, certains ransomwares restant dormants plusieurs semaines avant activation.
- Les tests de restauration doivent être eux-mêmes automatisés et périodiques, car une sauvegarde immuable corrompue à l’écriture reste inutilisable.
Directive NIS2 : obligations réglementaires sur la protection des sauvegardes
La directive européenne NIS2 (UE 2022/2555), applicable depuis le 18 octobre 2024, impose aux entités moyennes et grandes de 18 secteurs des mesures organisationnelles et techniques de cybersécurité. Parmi ces mesures figure la capacité de restauration après incident, ce qui implique directement la mise en place de sauvegardes fiables et protégées.
NIS2 ne prescrit pas une technologie particulière. En revanche, elle crée une obligation de résultat : l’entreprise doit démontrer sa capacité à reprendre son activité après une cyberattaque. Un processus de sauvegarde automatisé sans protection contre la suppression malveillante des copies ne satisfait pas cette exigence.
Pour les entreprises concernées, la conformité passe par une documentation du processus de sauvegarde, des preuves de tests de restauration et une traçabilité des accès aux dépôts de stockage. L’automatisation facilite la conformité NIS2 en produisant des journaux horodatés exploitables lors d’un audit.
Règle 3-2-1 et sauvegardes cloud : structurer une stratégie de restauration
La méthode 3-2-1, largement documentée, préconise de conserver trois copies des données, sur deux supports différents, dont un hors site. Appliquée à un contexte d’automatisation, cette règle se traduit par un processus qui réplique les fichiers vers un stockage cloud distant en complément d’un dépôt local.
Le cloud apporte la composante géographique : en cas de sinistre physique (incendie, inondation), la copie distante reste accessible. Les solutions de sauvegarde cloud actuelles intègrent nativement le chiffrement en transit et au repos, la déduplication pour réduire les volumes stockés, et la planification granulaire (horaire, quotidienne, hebdomadaire).
Quelques limites méritent attention :
- La bande passante disponible conditionne le temps de sauvegarde et surtout de restauration. Pour des volumes importants, une restauration complète depuis le cloud peut prendre plusieurs jours.
- Les coûts de sortie de données (egress fees) chez certains fournisseurs cloud alourdissent la facture au moment précis où l’entreprise a besoin de récupérer ses fichiers.
- La localisation géographique des serveurs du prestataire doit être compatible avec les exigences de conformité, notamment pour les données personnelles soumises au RGPD.
Une stratégie hybride, combinant stockage local rapide et réplication cloud immuable, offre le meilleur compromis entre vitesse de restauration et résilience face aux attaques.
Tester la restauration : le maillon souvent absent du processus automatisé
Automatiser la sauvegarde sans automatiser les tests de restauration laisse un angle mort. Une copie qui s’exécute sans erreur dans les journaux peut produire des fichiers inexploitables : corruption silencieuse, incompatibilité de version, dépendance manquante.
Un test de restauration régulier valide l’ensemble de la chaîne, du déclenchement de la sauvegarde jusqu’à la remise en service effective d’un système ou d’un jeu de données. Certaines solutions permettent de monter automatiquement un environnement de test, d’y restaurer la dernière copie et de vérifier l’intégrité des fichiers sans intervention humaine.
Les données disponibles ne permettent pas de conclure sur la fréquence idéale de ces tests, qui dépend du volume de données, de la criticité métier et des ressources disponibles. Un test trimestriel constitue un minimum raisonnable pour la plupart des structures, mais les environnements à forte volumétrie ou à contraintes réglementaires strictes gagnent à raccourcir ce cycle.
La sécurité des sauvegardes de données repose aujourd’hui sur trois piliers simultanés : l’automatisation du processus de copie, l’immuabilité du stockage de destination et la vérification périodique de la capacité réelle de restauration. Négliger l’un de ces trois éléments fragilise l’ensemble, quel que soit le niveau d’investissement sur les deux autres.
