Sauvegardes : pourquoi de nombreuses entreprises ne peuvent toujours pas récupérer leurs données après une cyberattaque

Inscrivez-vous à notre newsletter

recevez nos actus Cloud & Cybersécurité

Beaucoup de dirigeants pensent être protégés contre une cyberattaque dès lors qu’une sauvegarde existe. En pratique, la réalité est plus brutale. Après un ransomware, de nombreuses PME découvrent que leurs sauvegardes sont inexploitables, incomplètes, trop anciennes, chiffrées elles aussi ou impossibles à restaurer dans des délais acceptables. La question n’est donc pas seulement de savoir si vous avez une copie de vos données, mais si votre sauvegarde ransomware permet réellement une reprise d’activité. Pour un dirigeant ou un DSI, l’enjeu est stratégique : limiter l’arrêt de production, préserver la trésorerie, respecter les obligations contractuelles et éviter qu’un incident technique ne se transforme en crise majeure.

Pourquoi une sauvegarde ne garantit pas la reprise après un ransomware

Dans beaucoup de PME, la sauvegarde est encore abordée comme une simple tâche informatique. Or, face aux cyberattaques actuelles, cette vision est insuffisante. Les groupes malveillants ne se contentent plus de chiffrer les serveurs de production. Ils cherchent aussi à compromettre les consoles d’administration, les comptes à privilèges, les baies de stockage, les hyperviseurs et les dépôts de sauvegarde.

Résultat : au moment critique, l’entreprise découvre souvent l’un des scénarios suivants :

• les sauvegardes ont été supprimées ou chiffrées par l’attaquant ;
• les données sauvegardées sont corrompues ou incomplètes ;
• la restauration n’a jamais été testée en conditions réelles ;
• le délai de restauration est incompatible avec les besoins métier ;
• les droits d’accès à la plateforme de sauvegarde ont été compromis ;
• les postes, serveurs, applications SaaS et environnements cloud ne sont pas tous couverts.

Autrement dit, disposer d’une sauvegarde n’est pas la même chose que disposer d’une capacité de récupération. C’est cette confusion qui explique pourquoi tant d’entreprises restent paralysées malgré des investissements pourtant significatifs.

Les vraies causes d’échec de récupération après une cyberattaque

1. Les sauvegardes sont connectées et donc attaquables

Une sauvegarde accessible en permanence depuis le système d’information principal est exposée. Si un attaquant obtient des privilèges élevés, il peut désactiver les tâches de sauvegarde, effacer les versions historiques ou chiffrer les dépôts. C’est particulièrement fréquent lorsque l’infrastructure de sauvegarde repose sur les mêmes annuaires, les mêmes identifiants ou les mêmes segments réseau que la production.

Dans ce contexte, une vraie stratégie de sauvegarde ransomware doit intégrer des copies isolées, des mécanismes d’immuabilité et une séparation stricte des accès d’administration.

2. Les tests de restauration sont insuffisants

De nombreuses PME vérifient que les jobs de sauvegarde se terminent sans erreur, mais ne testent pas régulièrement la restauration complète d’un serveur, d’une base de données, d’un environnement virtualisé ou d’une application métier. Pourtant, un rapport de sauvegarde “vert” ne garantit pas que les données seront exploitables.

Les points de défaillance sont multiples : dépendances applicatives oubliées, ordre de redémarrage non documenté, volumes manquants, licences indisponibles, lenteur réseau, incompatibilité de versions ou absence de procédure pour reconstruire l’infrastructure.

3. Le périmètre sauvegardé ne correspond pas au périmètre critique

Beaucoup d’entreprises sauvegardent les fichiers et les serveurs, mais oublient certains éléments essentiels : configuration réseau, annuaire, environnements Microsoft 365, ERP hébergé, bases SQL, machines virtuelles spécifiques, postes de direction, dossiers RH, solutions SaaS ou journaux nécessaires à l’investigation.

En cas d’attaque, il suffit qu’un maillon critique manque pour empêcher la reprise. Une comptabilité restaurée sans l’application qui l’exploite, ou un ERP remis en ligne sans son annuaire d’authentification, ne permet pas un redémarrage opérationnel.

4. Les objectifs de reprise ne sont pas définis

Sans clarification des objectifs métier, la sauvegarde est souvent dimensionnée “au mieux”, sans lien avec les contraintes réelles. Deux indicateurs sont pourtant décisifs :

• RPO : quantité de données que l’entreprise peut se permettre de perdre ;
• RTO : temps maximal acceptable avant remise en service.

Si votre PME peut perdre au maximum une heure de données, une sauvegarde quotidienne est insuffisante. Si votre activité ne peut pas s’arrêter plus de quatre heures, une restauration qui prend deux jours n’est pas une solution viable, même si la donnée existe.

5. Les droits à privilèges ne sont pas cloisonnés

Les attaquants exploitent souvent les comptes administrateurs trop puissants ou trop largement utilisés. Lorsque les mêmes identifiants permettent de gérer les serveurs, l’Active Directory, l’hyperviseur et la plateforme de sauvegarde, le risque systémique est majeur.

Une architecture résiliente impose au contraire :

• des comptes d’administration dédiés ;
• une authentification forte ;
• une séparation des rôles ;
• une journalisation des actions sensibles ;
• des accès réseau limités à ce qui est strictement nécessaire.

6. La sauvegarde est pensée comme un produit, pas comme un dispositif de résilience

Installer un logiciel de backup ne suffit pas. La récupération après ransomware dépend d’un ensemble cohérent : architecture, procédures, supervision, gouvernance, tests, documentation, priorisation métier et accompagnement de crise. C’est précisément là que beaucoup de projets échouent : la technologie est présente, mais le dispositif n’est pas exploitable sous pression.

Ce qu’attendent réellement les dirigeants et les DSI d’une stratégie de sauvegarde ransomware

Pour un décideur, la question n’est pas “quelle solution achetons-nous ?” mais “comment garantissons-nous la continuité d’activité après un incident majeur ?”. Une stratégie crédible doit répondre à cinq exigences concrètes :

• résister à l’attaque grâce à des copies protégées contre la modification ou la suppression ;
• restaurer vite selon des priorités alignées sur les processus critiques ;
• prouver la capacité de reprise via des tests réguliers et documentés ;
• couvrir le bon périmètre incluant serveurs, cloud, SaaS, postes sensibles et configurations ;
• réduire le risque de décision sous stress avec un plan clair, des rôles définis et un partenaire compétent.

Cette approche change profondément la logique d’investissement. On ne parle plus seulement de stockage, mais de résilience cyber et de protection du chiffre d’affaires.

Les composants d’une sauvegarde ransomware vraiment efficace

Des copies immuables

L’immuabilité empêche la modification ou la suppression des sauvegardes pendant une durée définie. C’est un mécanisme déterminant contre les attaquants qui cherchent à neutraliser les moyens de reprise avant de déclencher le chiffrement.

Concrètement, cela permet de conserver un point de restauration fiable, même si des identifiants d’administration ont été compromis. Pour une PME, c’est souvent l’un des meilleurs leviers de réduction du risque.

Une règle de diversification des copies

Une bonne pratique largement reconnue consiste à appliquer une logique de type 3-2-1, voire 3-2-1-1-0 :

• 3 copies des données ;
• 2 supports différents ;
• 1 copie hors site ;
• 1 copie hors ligne ou immuable ;
• 0 erreur lors des vérifications de restauration.

Cette approche limite les risques de perte simultanée et améliore la capacité de récupération, même en cas d’attaque étendue.

Une isolation logique et administrative

La plateforme de sauvegarde doit être séparée de la production autant que possible : comptes distincts, segmentation réseau, durcissement des accès, MFA, supervision spécifique, restrictions de communication inter-systèmes. Plus cette séparation est forte, plus il est difficile pour un attaquant de compromettre à la fois la production et les sauvegardes.

Des tests de restauration scénarisés

Un test utile ne consiste pas seulement à restaurer un fichier isolé. Il faut valider des scénarios proches du réel :

• restauration d’une machine virtuelle critique ;
• reprise d’une base de données métier ;
• reconstruction d’un contrôleur de domaine ;
• remise en service d’un environnement complet après compromission ;
• restauration de données Microsoft 365 ou d’un environnement cloud.

Ces exercices permettent de mesurer les temps réels, d’identifier les blocages et d’améliorer les procédures avant la crise.

Une priorisation métier

Toutes les données n’ont pas la même criticité. Une sauvegarde ransomware performante repose sur une hiérarchisation claire :

• ce qui doit repartir en moins de 4 heures ;
• ce qui peut attendre 24 heures ;
• ce qui relève de l’archivage ou du confort opérationnel.

Cette priorisation évite de mobiliser les ressources sur des systèmes secondaires alors que la production, la relation client ou la facturation restent bloquées.

Comparatif : sauvegarde classique vs sauvegarde pensée contre le ransomware

Sauvegarde classique

• objectif principal : perte de données accidentelle ou panne technique ;
• stockage souvent accessible depuis le SI ;
• tests de restauration limités ;
• protection faible contre la suppression malveillante ;
• pilotage technique plus que métier ;
• couverture parfois partielle du cloud et du SaaS.

Sauvegarde ransomware

• objectif principal : reprise après cyberattaque ciblée ;
• copies isolées, hors site, hors ligne ou immuables ;
• scénarios de restauration testés régulièrement ;
• contrôles d’accès renforcés et séparation des privilèges ;
• alignement sur les RPO/RTO et les priorités métier ;
• vision élargie incluant environnements hybrides, cloud et SaaS.

La différence majeure n’est pas seulement technologique. Elle réside dans la capacité à restaurer rapidement un système sain sans dépendre d’éléments compromis.

Cas concret : pourquoi une PME équipée en sauvegarde est restée bloquée 6 jours

Imaginons une PME industrielle de 120 salariés. Elle dispose d’un logiciel de sauvegarde reconnu, de jobs quotidiens et d’un NAS local répliqué vers un second site. Sur le papier, le dispositif semble sérieux.

À la suite d’une compromission d’un compte administrateur, les attaquants prennent le contrôle de l’annuaire, des serveurs virtuels et de la console de sauvegarde. Ils suppriment plusieurs points de restauration récents avant de lancer le chiffrement. L’équipe informatique pense pouvoir repartir depuis la réplication distante, mais découvre trois problèmes :

• la réplication a synchronisé des données déjà altérées ;
• les comptes d’administration du backup n’étaient pas séparés de ceux du domaine ;
• la restauration complète de l’ERP n’avait jamais été testée.

Conséquence : l’entreprise met six jours à rétablir une activité partielle. Pendant ce temps, la production est ralentie, les expéditions sont désorganisées et la relation client se dégrade fortement.

Dans le même scénario, avec une copie immuable, un cloisonnement des accès et un test trimestriel de reprise ERP, la remise en service aurait pu être engagée beaucoup plus vite. Ce type d’écart illustre pourquoi la maturité opérationnelle compte davantage que la simple présence d’un outil.

Comment évaluer rapidement la maturité de votre sauvegarde ransomware

Un dirigeant ou un DSI peut déjà se poser les questions suivantes :

• disposez-vous d’au moins une copie immuable ou réellement isolée ?
• les accès à la console de sauvegarde sont-ils séparés du reste du SI ?
• avez-vous testé une restauration complète d’un système critique au cours des 6 derniers mois ?
• vos données Microsoft 365, vos environnements cloud et vos applications métier sont-ils couverts ?
• connaissez-vous vos RPO/RTO par application critique ?
• savez-vous dans quel ordre remettre en service vos systèmes après une attaque ?
• disposez-vous d’une documentation exploitable même si l’infrastructure principale est indisponible ?
• un partenaire externe peut-il intervenir rapidement pour piloter la reprise ?

Si plusieurs réponses sont négatives ou incertaines, le risque de non-récupération reste élevé, même si des sauvegardes existent.

Les erreurs les plus fréquentes à éviter

• croire qu’une sauvegarde locale suffit face à un ransomware ;
• confondre réussite des jobs et capacité réelle de restauration ;
• laisser les mêmes comptes gérer production et sauvegarde ;
• négliger les environnements SaaS et cloud ;
• ne pas documenter les procédures de reprise ;
• attendre un incident pour définir les priorités métier ;
• ne pas impliquer la direction dans les arbitrages de continuité ;
• choisir une solution sur le prix seul, sans analyser les délais de reprise.

Quelle démarche mettre en place pour sécuriser durablement la reprise

1. Cartographier les actifs critiques

Il faut identifier les applications, données, services et dépendances sans lesquels l’activité s’arrête. Cette étape permet de sortir d’une approche générique et de concentrer les efforts là où l’impact business est maximal.

2. Définir des objectifs de reprise réalistes

Les RPO/RTO doivent être validés avec les métiers, la direction et l’IT. Ils servent ensuite à dimensionner l’architecture, les fréquences de sauvegarde, les capacités de stockage et les scénarios de restauration.

3. Concevoir une architecture résiliente

Cela implique généralement une combinaison de sauvegardes locales pour la rapidité, de copies externalisées pour la sécurité, et d’options d’immuabilité pour résister à la suppression malveillante.

4. Sécuriser les accès d’administration

La protection des comptes à privilèges, l’authentification multifacteur, la segmentation et le durcissement des consoles sont indispensables pour éviter qu’un attaquant ne compromette la chaîne de sauvegarde.

5. Tester, documenter, améliorer

Une stratégie fiable évolue dans le temps. Les tests doivent être planifiés, les résultats analysés, les procédures mises à jour et les écarts corrigés. Sans cette discipline, le niveau de confiance affiché n’a pas de valeur opérationnelle.

Pourquoi se faire accompagner peut faire la différence

Dans une PME, les équipes internes n’ont pas toujours le temps ni les ressources pour concevoir seules une stratégie de reprise robuste. Un accompagnement spécialisé apporte généralement trois bénéfices immédiats :

• un regard externe sur les angles morts techniques et métier ;
• une accélération dans le choix de l’architecture et des priorités ;
• une méthodologie de test et de gouvernance éprouvée.

Pour un dirigeant, c’est aussi une façon de réduire l’incertitude. Au lieu de supposer que “tout ira bien”, vous obtenez une vision claire de votre capacité réelle à redémarrer après une attaque. C’est cette visibilité qui permet de prendre des décisions d’investissement rationnelles, de rassurer les parties prenantes et de limiter le risque financier.

FAQ sur la sauvegarde ransomware

Une sauvegarde protège-t-elle automatiquement contre un ransomware ?

Non. Elle ne protège réellement que si elle reste intègre, accessible au bon moment et restaurable dans des délais compatibles avec l’activité. Une sauvegarde connectée, non testée ou administrée avec des comptes compromis peut devenir inutilisable.

Quelle est la différence entre sauvegarde et plan de reprise ?

La sauvegarde concerne la copie des données. Le plan de reprise couvre la remise en service complète : priorités, procédures, dépendances techniques, rôles, délais, environnement de restauration et coordination de crise. L’un sans l’autre reste insuffisant.

Faut-il sauvegarder Microsoft 365 ou d’autres services SaaS ?

Oui, dans la plupart des cas. Beaucoup d’entreprises pensent à tort que le fournisseur couvre tous les besoins de restauration. En réalité, les exigences de rétention, de granularité, de récupération après suppression malveillante ou de continuité métier imposent souvent une stratégie complémentaire.

À quelle fréquence faut-il tester les restaurations ?

Il n’existe pas une fréquence unique, mais un test ponctuel annuel est rarement suffisant. Pour les systèmes critiques, des tests réguliers, scénarisés et documentés sont recommandés, avec une fréquence adaptée au niveau de risque et à l’évolution du SI.

Une copie dans le cloud suffit-elle ?

Pas nécessairement. Tout dépend de son niveau d’isolation, de son immuabilité, des accès d’administration et des scénarios de restauration. Une copie cloud mal sécurisée peut également être affectée en cas de compromission des privilèges.

Faut-il payer la rançon si les données sont chiffrées ?

Le paiement ne garantit ni la récupération complète, ni l’absence de revente des données, ni la non-récidive. Une stratégie de sauvegarde ransomware solide vise justement à éviter cette impasse en rendant la reprise possible sans dépendre des attaquants.

Ce qu’il faut retenir

Si autant d’entreprises ne parviennent toujours pas à récupérer leurs données après une cyberattaque, ce n’est pas parce qu’elles n’ont aucune sauvegarde. C’est parce que leur dispositif n’a pas été conçu pour résister à un adversaire actif, contourner la compromission des accès et restaurer l’activité dans des délais acceptables. Une sauvegarde ransomware efficace repose sur des copies protégées, une architecture cloisonnée, des tests réels, une priorisation métier et une gouvernance claire.

Pour un dirigeant de PME ou un DSI, l’enjeu est simple : transformer la sauvegarde d’un poste de dépense technique en un levier concret de continuité d’activité. Si vous voulez savoir si votre dispositif actuel permettra réellement de redémarrer après une attaque, un audit de résilience et des tests de restauration ciblés sont souvent le point de départ le plus rentable.