Une sauvegarde immuable est une copie de vos données qu’aucun compte, même administrateur, ne peut modifier ni supprimer avant la fin d’une durée fixée à l’avance. C’est aujourd’hui le seul mécanisme qui garantit qu’un ransomware ayant pris le contrôle de votre domaine ne pourra pas détruire vos sauvegardes en même temps que vos serveurs.
Pourquoi l’immuabilité change l’issue d’une attaque
Dans la quasi-totalité des intrusions par rançongiciel, le chiffrement n’est que la dernière étape. Avant de chiffrer, l’attaquant cherche la console de sauvegarde, s’y connecte avec des identifiants volés et supprime les points de restauration. Le guide #StopRansomware publié par la CISA place d’ailleurs la protection des sauvegardes au même niveau que la segmentation réseau, précisément pour cette raison.
Une sauvegarde classique répond à la question « puis-je restaurer ? ». Une sauvegarde immuable répond à une question différente : « puis-je restaurer alors que l’attaquant est administrateur de mon système d’information ? ». Tant que la réponse à la seconde question est non, votre plan de reprise repose sur l’hypothèse que l’attaquant sera négligent.
La mise en place tient en cinq étapes. Aucune ne demande un budget de grand groupe : la plupart des PME peuvent la boucler en deux à trois semaines avec les outils qu’elles possèdent déjà.
Étape 1 : délimitez le périmètre à rendre immuable
Ne cherchez pas à rendre immuable l’intégralité de vos données. Le coût de stockage et la complexité explosent, et le projet s’enlise. Listez plutôt ce sans quoi l’entreprise ne peut pas facturer, produire ou payer ses salariés sous 72 heures.
Concrètement, pour une PME-ETI, ce socle contient presque toujours : la base de données de l’ERP ou du logiciel métier, les partages de fichiers de production, les boîtes aux lettres et les documents Microsoft 365 ou Google Workspace, l’Active Directory, et la configuration des équipements réseau. Le reste (postes de travail, environnements de test, archives froides) peut rester sur une sauvegarde standard.
Notez pour chaque élément son volume actuel et sa croissance annuelle. Ces deux chiffres déterminent directement la facture de l’étape 2.
Étape 2 : choisissez le support d’immuabilité
Trois familles de solutions existent, et le bon choix dépend surtout de votre infrastructure existante.
Le stockage objet avec verrouillage
C’est l’option la plus simple pour une PME qui sauvegarde déjà vers le cloud. Amazon S3 Object Lock et le stockage immuable de Microsoft Azure permettent d’appliquer une rétention au niveau de l’objet : une fois la donnée écrite, elle devient illisible en écriture pour tout le monde, y compris pour le compte propriétaire du bucket. Les principaux logiciels de sauvegarde du marché savent écrire dans ce mode nativement.
Deux modes coexistent. Le mode gouvernance autorise un compte très privilégié à lever le verrou : pratique, mais il réintroduit exactement le risque que vous cherchez à éliminer. Le mode conformité ne peut être levé par personne, pas même par le support du fournisseur. Pour une protection anti-ransomware, choisissez le mode conformité sur une durée courte plutôt que le mode gouvernance sur une durée longue.
Les appliances et NAS à instantanés verrouillés
Si vos sauvegardes restent sur site, la plupart des NAS et appliances de sauvegarde professionnels proposent des instantanés en lecture seule, ou un mode « hardened repository » sur serveur Linux dédié. L’intérêt : la restauration est rapide, sans dépendre de votre débit Internet. La contrainte : l’appliance doit être administrée par un compte totalement distinct de votre annuaire, sinon le verrou tombe avec le domaine.
La copie hors ligne
La bande LTO ou un disque externe débranché après chaque rotation restent la forme d’immuabilité la plus radicale : ce qui n’est pas connecté ne se chiffre pas. C’est lent et manuel, mais pour une PME de vingt personnes dont les données critiques tiennent sur quelques téraoctets, c’est une option parfaitement défendable comme troisième copie.
Étape 3 : calez la rétention sur votre délai de détection
La durée de verrouillage est le paramètre que l’on règle le plus souvent au hasard. La règle est pourtant simple : la rétention immuable doit être plus longue que le temps qu’il vous faudrait pour vous apercevoir d’une intrusion.
Un attaquant qui reste discret trois semaines avant de chiffrer aura rendu inutile une rétention de sept jours : toutes les copies encore verrouillées contiendront déjà sa porte dérobée. Si vous n’avez aucune surveillance continue, partez sur 30 jours minimum. Si vous disposez d’une détection opérationnelle, 14 jours suffisent généralement pour le socle critique, avec une rétention plus longue sur un jeu hebdomadaire.
Ce raisonnement fonctionne dans les deux sens : réduire son délai de détection coûte souvent moins cher que d’allonger la rétention de plusieurs téraoctets. C’est exactement ce que permet une surveillance continue, dont nous détaillons les signaux précoces dans notre article sur la détection d’une intrusion ransomware avant le chiffrement.
Étape 4 : isolez les identités qui pilotent la sauvegarde
L’immuabilité technique ne sert à rien si le compte qui configure la rétention est un compte de votre Active Directory. C’est l’erreur la plus fréquente, et elle annule tout le dispositif.
Appliquez trois règles. Créez des comptes d’administration de la sauvegarde totalement séparés de l’annuaire d’entreprise, avec une authentification multifacteur obligatoire. Retirez au serveur de sauvegarde son appartenance au domaine quand la solution le permet. Et vérifiez que les clés d’accès au stockage objet utilisées par le logiciel n’ont que le droit d’écrire, jamais celui de supprimer ni de modifier une politique de rétention.
Ajoutez une alerte sur toute tentative de modification de la politique de rétention ou de suppression d’un point de restauration : dans un scénario réel, ce signal arrive souvent plusieurs heures avant le chiffrement.
Étape 5 : testez la restauration et chronométrez-la
Une sauvegarde immuable jamais restaurée n’est pas une sauvegarde, c’est une facture de stockage. Planifiez un test trimestriel et mesurez trois choses : le temps de restauration complet du service le plus critique, la quantité de données réellement perdues entre le dernier point sain et l’incident, et le nombre d’interventions manuelles nécessaires.
Restaurez dans un environnement isolé, jamais par-dessus la production, et analysez la copie restaurée avant de la remettre en service : rien ne garantit que le point de restauration choisi soit antérieur à la compromission initiale. Consignez les résultats dans une fiche d’une page ; c’est aussi le document que votre assureur cyber vous demandera.
Une sauvegarde immuable limite l’impact d’un chiffrement, mais elle ne raccourcit pas le délai pendant lequel l’attaquant circule sur votre réseau : c’est la surveillance continue qui joue ce rôle, et nos analystes la couvrent dans notre SOC managé 24/7 pour PME et ETI. Pour comprendre pourquoi le seul paiement de la rançon ne restaure rien, voyez également notre analyse de la résilience face à l’extorsion moderne.
Ce qu’il faut retenir
- Une sauvegarde immuable protège contre un attaquant devenu administrateur ; une sauvegarde classique, non.
- Limitez le périmètre immuable au socle sans lequel l’entreprise s’arrête sous 72 heures.
- Préférez le mode conformité du verrouillage objet au mode gouvernance, qui reste révocable.
- La durée de rétention doit dépasser votre délai de détection réel, pas un chiffre rond.
- Sans test de restauration chronométré, le dispositif reste une hypothèse non vérifiée.