Une entreprise peut disposer de sauvegardes quotidiennes et pourtant ne pas être suffisamment protégée. Comment sécuriser les sauvegardes d’une entreprise lorsque les cyberattaques cherchent elles aussi à atteindre les copies de secours ? En cas de ransomware, un attaquant peut en effet tenter de chiffrer ou de supprimer les sauvegardes afin de compliquer la récupération des données.
En 2026, la question n’est donc plus seulement de savoir si l’entreprise dispose d’une solution de sauvegarde. Il faut aussi vérifier que les sauvegardes sont bien réalisées, qu’elles peuvent réellement être restaurées et que les données restent sous le contrôle de l’entreprise.
Tests de restauration, suivi des sauvegardes, souveraineté des données et mesures de sécurité constituent ainsi les principaux piliers d’une stratégie de sauvegarde fiable.
1. Pourquoi les sauvegardes sont-elles devenues une cible ?
Pendant longtemps, la sauvegarde était surtout envisagée comme une solution de secours en cas de panne, d’erreur humaine ou de suppression accidentelle. Le contexte des cyberattaques a changé la donne.
Lorsqu’un ransomware s’introduit dans le système d’information, son objectif peut être de rendre les données de l’entreprise inutilisables. Mais l’attaque ne s’arrête pas nécessairement aux serveurs et aux postes de travail. Les sauvegardes accessibles depuis le même environnement peuvent également être recherchées et compromises.
L’ANSSI recommande ainsi de ne pas s’appuyer uniquement sur des sauvegardes connectées au réseau. Elle préconise notamment de compléter le dispositif par des sauvegardes déconnectées et d’appliquer la règle dite « 3-2-1 » : trois copies des données, sur deux supports différents, dont une hors ligne.
Microsoft rappelle que les sauvegardes accessibles aux cyberattaquants peuvent elles aussi être compromises et devenir inutilisables pour la reprise d’activité. Pour limiter ce risque, l’éditeur recommande notamment de renforcer les accès aux sauvegardes avec des mesures comme le MFA et de privilégier, lorsque cela est possible, des stockages immuables ou hors ligne. – Learn Microsoft, Recommandations de protection contre les ransomwares.
La question n’est donc plus seulement de savoir si l’entreprise possède une sauvegarde. Il faut aussi se demander qui peut y accéder, qui peut la modifier ou la supprimer et si elle resterait disponible après une attaque.
2. Une sauvegarde doit avant tout pouvoir être restaurée
Avez-vous déjà testé vos sauvegardes ? C’est une question simple, mais essentielle. Une entreprise peut disposer d’une solution de sauvegarde, recevoir des rapports indiquant que les opérations se déroulent correctement et pourtant découvrir, au moment d’un incident, que certaines données ne peuvent pas être restaurées.
Être facturé pour une solution de sauvegarde ne signifie pas qu’elle fonctionne réellement.
Une sauvegarde non testée n’est donc pas une sauvegarde sur laquelle l’entreprise peut compter.
Vérifier ses sauvegardes régulièrement
Avant même de parler de restauration, il est essentiel de contrôler régulièrement que les sauvegardes sont bien réalisées.
Ce contrôle doit permettre de vérifier, point par point, que les opérations prévues ont bien été effectuées et d’identifier rapidement les éventuelles erreurs. Chez XBLINE, ces vérifications sont réalisées 5 jours sur 7, avec un suivi tracé dans un cahier consultable et partageable avec le client.
L’objectif est de ne pas attendre un incident pour découvrir qu’une sauvegarde n’a pas fonctionné.
Tester réellement la restauration
Un contrôle de sauvegarde ne remplace toutefois pas un véritable test de restauration.
Pour vérifier qu’une sauvegarde est réellement exploitable, il faut pouvoir la démarrer sur un serveur distinct de l’environnement de production et vérifier concrètement son fonctionnement.
Le test porte notamment sur :
- la récupération des données ;
- le fonctionnement des applications ;
- la restauration et le fonctionnement des bases de données.
C’est ce type de test qui permet de vérifier que les sauvegardes ne sont pas seulement réalisées, mais qu’elles peuvent réellement servir à redémarrer l’activité en cas d’incident.
L’ANSSI recommande d’ailleurs de tester régulièrement les sauvegardes afin de vérifier leur bon fonctionnement et leur capacité à être restaurées.
3. Maîtrisez où sont stockées vos sauvegardes
Tester une sauvegarde et vérifier qu’elle peut être restaurée ne suffit pas toujours. L’entreprise doit également savoir où ses données sont stockées, qui peut y accéder et dans quel environnement elles sont hébergées.
La question de la souveraineté des données peut ainsi entrer dans le choix d’une solution de sauvegarde. Selon son activité, son secteur et ses contraintes, une entreprise peut avoir besoin de connaître précisément la localisation de ses données et les conditions dans lesquelles elles sont stockées et accessibles.
Il est donc utile de vérifier :
- où sont hébergées les sauvegardes ;
- qui peut y accéder ;
- quelles règles encadrent leur stockage ;
- comment les données peuvent être récupérées ;
- et si la solution répond aux exigences spécifiques de l’entreprise.
La sauvegarde ne doit pas être considérée comme une simple copie externalisée. Elle constitue une partie du patrimoine numérique de l’entreprise et doit rester maîtrisée.
4. Protégez l’accès aux sauvegardes avec le MFA
Pour vous assurer que vos sauvegardes restent exploitables et protégées contre les actions malveillantes, le premier niveau de protection concerne les personnes qui peuvent administrer les sauvegardes. Si un compte disposant de droits importants est compromis, l’attaquant peut potentiellement tenter de modifier la configuration ou de supprimer les copies disponibles.
Pourquoi activer le MFA sur une solution de sauvegarde ?
L’authentification multifacteur, ou MFA, ajoute une étape de vérification lors de la connexion. Le mot de passe seul ne suffit plus : l’utilisateur doit également fournir un second élément d’authentification.
Cette protection prend tout son intérêt lorsqu’elle s’applique aux comptes administrateurs, car ceux-ci disposent de droits suffisants pour modifier la configuration ou intervenir sur les sauvegardes.
Microsoft recommande notamment de rendre le MFA obligatoire pour les comptes administrateurs et de prévoir une étape supplémentaire avant toute opération sensible sur les sauvegardes en ligne.
Mais le MFA ne doit pas être considéré comme une solution isolée. Il est également pertinent de limiter le nombre de personnes pouvant administrer les sauvegardes et de n’accorder à chaque utilisateur que les droits dont il a réellement besoin.
Séparer les accès pour limiter les risques
Un compte utilisé quotidiennement pour travailler ne devrait pas nécessairement disposer des mêmes privilèges qu’un compte réservé à l’administration des sauvegardes.
Cette séparation permet de limiter les conséquences d’une compromission. Si les identifiants d’un utilisateur sont dérobés, l’attaquant ne dispose pas automatiquement de tous les droits nécessaires pour intervenir sur les sauvegardes.
La protection repose donc sur plusieurs éléments complémentaires : MFA, droits d’accès limités et comptes d’administration correctement protégés.
5. Cryptez vos sauvegardes pour protéger vos données
Sécuriser l’accès aux sauvegardes est une première étape. Il faut également protéger les données elles-mêmes. C’est là que le cryptage, ou chiffrement des données, intervient.
Pourquoi crypter les sauvegardes d’une entreprise ?
Le principe est simple : le cryptage transforme les données afin qu’elles ne puissent pas être lues sans disposer de la clé permettant de les déchiffrer.
Pour une entreprise, cette protection peut être utile à différents moments. Les données peuvent être cryptées lorsqu’elles sont transférées vers le système de sauvegarde, mais également lorsqu’elles sont stockées.
Si une copie de sauvegarde était récupérée par une personne non autorisée, son contenu resterait ainsi illisible sans la clé de déchiffrement.
Le cryptage ne protège toutefois pas une sauvegarde contre tous les risques. Une copie chiffrée mais accessible à un compte compromis peut toujours être supprimée ou rendue indisponible. Il doit donc s’inscrire dans une stratégie de sécurité plus globale, avec notamment le MFA, des droits d’accès limités et des sauvegardes protégées contre la modification.
Cryptage ou chiffrement : quelle différence ?
Dans le langage courant, les termes « cryptage » et « chiffrement » sont souvent utilisés comme des synonymes. Dans le domaine de la cyberscurité, chiffrement est le terme technique le plus approprié : il s’agit de rendre des données illisibles sans la clé permettant de les retrouver sous leur forme d’origine.
Pour un article destiné aux entreprises, employer les deux expressions permet donc de rester accessible tout en utilisant le vocabulaire technique adapté.
La gestion des clés est tout aussi importante
Le cryptage soulève une question essentielle : qui peut accéder aux clés permettant de retrouver les données ?
Une clé de chiffrement doit être protégée avec autant d’attention que les sauvegardes elles-mêmes. Si elle est facilement accessible ou conservée au même endroit que les copies, une partie de la protection recherchée peut être perdue.
Il est donc important de définir précisément qui peut utiliser ces clés, où elles sont conservées et comment elles peuvent être récupérées en cas d’incident.
L’objectif n’est pas simplement de vérifier que le « cryptage » est activé, mais de s’assurer que l’ensemble de la chaîne de protection des sauvegardes est correctement maîtrisé.
6. Misez sur l’immutabilité des sauvegardes
Le chiffrement protège la confidentialité des données. L’immutabilité répond à un autre problème : empêcher qu’une sauvegarde soit modifiée ou supprimée pendant une période définie.
Qu’est-ce qu’une sauvegarde immuable ?
Une sauvegarde immuable est une copie qui, pendant une durée déterminée, ne peut pas être modifiée ou supprimée selon les règles définies par le système de stockage.
Cette protection est particulièrement intéressante face aux ransomwares. Lorsqu’un attaquant prend le contrôle d’un système, il peut chercher à supprimer les sauvegardes avant de chiffrer les données de l’entreprise.
Avec une copie immuable correctement configurée, cette opération n’est pas possible pendant la période de protection prévue.
À retenir : Une sauvegarde immuable ne rend pas l’entreprise invulnérable à une cyberattaque. Elle permet en revanche de conserver une copie protégée contre certaines opérations de modification ou de suppression, afin de disposer d’un point de restauration après un incident.
Pourquoi l’immutabilité est-elle importante contre les ransomwares ?
Imaginons qu’un attaquant obtienne les identifiants d’un compte disposant de droits importants. Il peut chercher à atteindre la solution de sauvegarde et à supprimer les copies disponibles.
Si toutes les sauvegardes peuvent être modifiées ou supprimées depuis ce même environnement, l’entreprise risque de perdre une partie de ses possibilités de récupération.
L’immutabilité ajoute donc une barrière supplémentaire. Elle ne remplace ni le MFA, ni le chiffrement, ni une bonne gestion des droits, mais elle complète efficacement ces protections.
Microsoft recommande notamment l’utilisation de sauvegardes immuables ou hors ligne dans le cadre d’une stratégie de protection contre les ransomwares.
7. Isolez une partie de vos sauvegardes du réseau
Même avec du MFA, du chiffrement et des sauvegardes immuables, il reste important de réfléchir à l’emplacement des copies.
Pourquoi ? Parce qu’un incident qui touche l’environnement informatique de l’entreprise peut également atteindre les sauvegardes qui lui sont directement accessibles.
Pourquoi ne faut-il pas conserver toutes ses sauvegardes au même endroit ?
Une sauvegarde connectée au réseau est pratique pour effectuer rapidement une restauration. Mais cette connexion peut également constituer un point d’exposition supplémentaire en cas de compromission.
C’est pourquoi il est pertinent de conserver au moins une copie dans un environnement séparé du système de production. Selon les besoins de l’entreprise, il peut s’agir d’une sauvegarde déconnectée, d’un stockage isolé ou d’une copie externalisée.
L’objectif est simple : si le système principal est compromis, toutes les copies ne doivent pas pouvoir être compromises de la même manière.
La règle 3-2-1 reste une bonne base
Comme évoqué plus haut, pour structurer une stratégie de sauvegarde, l’ANSSI recommande notamment la règle « 3-2-1 » : conserver au moins trois copies des données, sur deux supports différents, dont une copie déconnectée du réseau.
Cette règle constitue une base solide pour éviter de dépendre d’une seule copie ou d’un seul emplacement. Elle doit toutefois être adaptée aux données réellement utilisées par l’entreprise et au délai nécessaire pour reprendre son activité.
L’enjeu est de trouver le bon équilibre entre accessibilité, sécurité et capacité de restauration.
8. Combinez plusieurs protections pour sécuriser vos sauvegardes
Aucune mesure ne suffit à elle seule pour protéger efficacement les sauvegardes d’une entreprise.
Le MFA permet de mieux contrôler les accès. Le chiffrement protège les données contre une lecture non autorisée. L’immutabilité limite les possibilités de modification ou de suppression pendant une période définie. L’isolation réduit quant à elle le risque qu’un même incident touche simultanément les données de production et toutes leurs copies.
Une protection efficace repose sur plusieurs niveaux
On peut donc résumer une stratégie de sauvegarde renforcée de la manière suivante :
| Protection | Son rôle |
| MFA | Sécuriser les accès aux sauvegardes |
| Cryptage | Protéger la confidentialité des données |
| Immutabilité | Empêcher certaines copies d’être modifiées ou supprimées pendant une durée définie |
| Isolation | Éviter qu’un même incident compromette toutes les copies |
| Tests de restauration | Vérifier que les données peuvent réellement être récupérées |
L’enjeu est donc de construire un dispositif dans lequel les différentes protections se complètent, depuis l’accès aux sauvegardes jusqu’à leur restauration.
Il ne s’agit donc pas d’accumuler les outils de sécurité, mais de vérifier que chaque protection répond à un risque précis et complète les autres.
9. Adaptez votre stratégie de sauvegarde aux besoins de votre entreprise
Toutes les entreprises n’ont pas les mêmes données, les mêmes outils ni les mêmes contraintes. Une petite structure qui travaille principalement avec des documents bureautiques n’aura pas les mêmes besoins qu’une entreprise dont l’activité dépend d’un logiciel métier ou d’une base de données accessible en permanence.
Quelles données faut-il protéger en priorité ?
La première étape consiste donc à identifier les données et applications indispensables au fonctionnement de l’entreprise.
Il faut ensuite déterminer à quelle fréquence elles doivent être sauvegardées et dans quel délai elles doivent pouvoir être récupérées après un incident.
Cette réflexion permet notamment de définir deux éléments importants : la quantité de données que l’entreprise peut accepter de perdre et le délai maximum dans lequel elle doit pouvoir reprendre son activité.
Une stratégie de sauvegarde pertinente doit donc être adaptée au fonctionnement réel de l’entreprise, et pas seulement aux capacités techniques de la solution utilisée.
10. Faites-vous accompagner pour sécuriser vos sauvegardes
Mettre en place une sauvegarde est une chose. Vérifier régulièrement qu’elle est correctement protégée, que les accès sont maîtrisés et que les données peuvent réellement être restaurées en est une autre.
Pour une entreprise qui ne dispose pas de ressources informatiques en interne, un prestataire d’infogérance peut assurer le suivi de cette stratégie dans la durée.
Il peut notamment vérifier les sauvegardes, contrôler les accès, suivre les mises à jour, surveiller les éventuelles erreurs et organiser des tests de restauration. Il peut également aider l’entreprise à faire évoluer son dispositif lorsque son infrastructure ou ses besoins changent.
Chez XBLINE, cet accompagnement peut s’inscrire dans une démarche plus globale de maintenance, qu’il s’agisse de surveillance informatique, de sécurité ou de gestion de l’infrastructure informatique.
Le risque, au moment d’un incident, serait de découvrir que la dernière sauvegarde exploitable date de plusieurs semaines ou que personne ne sait réellement comment restaurer les données.
Vos sauvegardes sont-elles réellement protégées contre une cyberattaque ? XBLINE peut vous accompagner pour évaluer votre stratégie de sauvegarde, renforcer les accès, sécuriser les données et vérifier vos procédures de restauration.
FAQ : sécuriser les sauvegardes d’une entreprise
Comment savoir si une sauvegarde fonctionne réellement ?
Un suivi régulier permet d’abord de vérifier que les sauvegardes sont bien réalisées et de détecter les éventuelles erreurs. Mais seul un test réel de restauration, réalisé sur un environnement séparé, permet de vérifier que les données et les bases de données peuvent effectivement être récupérées et utilisées.
À quelle fréquence faut-il tester la restauration d’une sauvegarde ?
La fréquence dépend de l’importance des données et des besoins de l’entreprise. Dans tous les cas, les restaurations doivent être testées régulièrement et après toute modification importante de l’environnement de sauvegarde.
Où doivent être stockées les sauvegardes d’une entreprise ?
Il est important de connaître où sont hébergées les sauvegardes, qui peut y accéder et dans quelles conditions elles sont stockées. Selon les contraintes de l’entreprise, la question de la souveraineté des données peut également être prise en compte.
Pourquoi utiliser le MFA pour protéger ses sauvegardes ?
Le MFA ajoute une vérification supplémentaire lors de la connexion à une solution de sauvegarde. Il renforce notamment la protection des comptes disposant de droits d’administration et limite le risque qu’un simple mot de passe compromis permette d’accéder aux sauvegardes.
Une sauvegarde immuable protège-t-elle contre les ransomwares ?
L’immutabilité peut empêcher la modification ou la suppression de certaines copies pendant une durée définie. Elle constitue donc une protection supplémentaire face aux ransomwares, mais elle ne remplace pas les autres mesures de cybersécurité, notamment le MFA, la gestion des droits, l’isolation et les tests de restauration.