Panne matérielle, suppression accidentelle, vol d’un ordinateur ou attaque par rançongiciel : plusieurs événements peuvent rendre les données d’une entreprise indisponibles en quelques minutes.
Disposer d’une sauvegarde est donc indispensable. Encore faut-il qu’elle ne soit pas enregistrée au même endroit que les fichiers d’origine et qu’elle puisse réellement être restaurée.
La règle 3-2-1 permet de construire une stratégie de sauvegarde simple et efficace :
- 3 copies des données ;
- sur 2 types de supports différents ;
- avec 1 copie conservée dans un autre lieu.
3 copies des données
Le chiffre 3 comprend les données utilisées quotidiennement et deux copies de sauvegarde.
Prenons l’exemple d’une PME qui conserve ses devis, ses factures et ses fichiers clients sur un serveur :
- les fichiers présents sur le serveur constituent la copie principale ;
- une première sauvegarde est réalisée sur un équipement distinct ;
- une seconde sauvegarde est conservée dans un autre environnement.
Pourquoi ne pas se contenter d’une seule sauvegarde ? Parce que celle-ci peut elle-même tomber en panne, être mal configurée, supprimée ou touchée par une cyberattaque.
Cybermalveillance.gouv.fr recommande d’effectuer plusieurs sauvegardes sur différents supports et de protéger les copies avec le même niveau de vigilance que les données originales.
2 types de supports différents
Les différentes copies ne doivent pas toutes dépendre du même équipement ou de la même technologie.
Une entreprise peut, par exemple, combiner :
- un serveur ou un NAS ;
- un disque dur externe ;
- un espace de sauvegarde dans le cloud ;
- un support amovible ;
- une solution de sauvegarde externalisée.
L’objectif est d’éviter qu’une panne ou une attaque compromette simultanément l’ensemble des copies.
Enregistrer deux sauvegardes sur le même serveur ne respecte donc pas réellement la règle 3-2-1. Si le serveur tombe en panne, est volé ou chiffré, les deux copies peuvent devenir inutilisables en même temps.
1 copie conservée ailleurs
Au moins une sauvegarde doit être stockée dans un lieu différent de celui où se trouvent les données principales.
Cette copie externalisée protège notamment l’entreprise en cas :
- d’incendie ;
- de dégât des eaux ;
- de vol ;
- de sinistre dans les locaux ;
- d’attaque généralisée du réseau informatique.
Elle peut être conservée dans un centre de données, un espace cloud sécurisé ou sur un support physique placé dans un autre bâtiment.
La CISA, agence américaine de cybersécurité, recommande également de suivre cette règle : trois copies des fichiers importants, deux types de stockage et une copie conservée hors site.
Une sauvegarde connectée peut être attaquée
Une sauvegarde présente sur le réseau et accessible en permanence peut être touchée par le même rançongiciel que les fichiers d’origine.
Les attaquants cherchent fréquemment à supprimer ou à chiffrer les sauvegardes accessibles afin d’empêcher l’entreprise de redémarrer sans payer de rançon. Les autorités recommandent donc de conserver des copies hors ligne, isolées ou protégées contre la modification.
Un disque dur externe peut, par exemple, être déconnecté une fois la sauvegarde terminée. Certaines solutions professionnelles permettent également de rendre les sauvegardes immuables, c’est-à-dire impossibles à modifier ou à supprimer pendant une durée définie.
Synchronisation et sauvegarde : quelle différence ?
La synchronisation conserve automatiquement les mêmes fichiers sur plusieurs appareils ou espaces. Elle est pratique pour travailler, mais elle ne remplace pas toujours une véritable sauvegarde.
Lorsqu’un fichier est supprimé, modifié ou chiffré, cette modification peut être répercutée sur les espaces synchronisés. Une solution de sauvegarde doit permettre de retrouver une version antérieure du fichier, avant sa suppression ou son altération.
Il est donc important de vérifier que la solution utilisée conserve un historique et permet une restauration à une date précise.
À quelle fréquence faut-il sauvegarder ?
La bonne fréquence dépend de la quantité de données que l’entreprise accepte de perdre.
Une entreprise qui réalise une sauvegarde chaque vendredi pourrait perdre jusqu’à une semaine de travail en cas d’incident le jeudi. Pour les données mises à jour quotidiennement, une sauvegarde automatique chaque jour, voire plusieurs fois par jour, peut être nécessaire.
Cybermalveillance.gouv.fr recommande de planifier les sauvegardes selon les besoins de l’organisation et de vérifier que l’automatisation fonctionne correctement.
Une sauvegarde doit être testée
Une sauvegarde peut apparaître comme réussie alors que certains fichiers sont absents, corrompus ou impossibles à restaurer.
Il faut donc réaliser régulièrement des tests de récupération :
- restaurer quelques fichiers ;
- vérifier leur intégrité ;
- tester une application critique ;
- mesurer le temps nécessaire au redémarrage ;
- contrôler les alertes d’échec de sauvegarde.
Les autorités françaises et américaines recommandent de tester régulièrement la disponibilité et l’intégrité des sauvegardes.
Une règle simple pour protéger l’activité
La règle 3-2-1 constitue une base accessible pour toutes les entreprises : plusieurs copies, plusieurs supports et une sauvegarde conservée ailleurs.
Mais une sauvegarde efficace doit également être automatisée, surveillée, protégée contre les attaques et régulièrement testée. L’objectif n’est pas seulement de copier des fichiers : il est de pouvoir reprendre l’activité rapidement après un incident.
MB2I accompagne les entreprises dans la définition, la mise en place et la supervision de leurs solutions de sauvegarde. Une stratégie adaptée permet de protéger les données essentielles et de réduire fortement les conséquences d’une panne ou d’une cyberattaque.
Sources :
- « Pourquoi et comment bien gérer ses sauvegardes ? », Cybermalveillance.gouv.fr.
- Guide StopRansomware, CISA.
- Recommandations officielles sur la règle 3-2-1, CISA.
Que faire dans les premières heures d’une cyberattaque ?
Temps de lecture : 4 minutes
Fichiers devenus inaccessibles, ordinateur au comportement inhabituel, messagerie piratée ou demande de rançon : les premières heures d’une cyberattaque sont décisives.
Sous l’effet du stress, une mauvaise manipulation peut favoriser la propagation de l’attaque ou supprimer des éléments utiles à l’enquête. La priorité consiste à contenir l’incident, alerter les bons interlocuteurs et préserver les preuves.
1. Déconnecter les équipements touchés
Un ordinateur semble compromis ? Débranchez immédiatement son câble réseau et désactivez le Wi-Fi, le Bluetooth ainsi que toute connexion VPN.
Cette isolation permet d’empêcher le logiciel malveillant de communiquer avec l’extérieur ou de se propager vers les serveurs et les autres postes de l’entreprise.
En revanche, n’éteignez pas l’appareil. Certaines informations utiles aux investigations sont conservées temporairement dans sa mémoire et peuvent disparaître lors de l’arrêt.
Si plusieurs équipements sont touchés, le service informatique pourra décider de couper plus largement les connexions à Internet ou certaines parties du réseau.
2. Alerter immédiatement le service informatique
Contactez sans attendre le responsable informatique, le prestataire d’infogérance ou l’interlocuteur prévu dans le plan de gestion de crise.
Transmettez-lui les premiers éléments disponibles :
- l’heure de découverte de l’incident ;
- les équipements et comptes concernés ;
- les messages affichés ;
- les actions réalisées juste avant l’incident ;
- les éventuels liens, fichiers ou e-mails suspects ;
- les personnes déjà informées.
Ne tentez pas de supprimer vous-même un virus, de réinstaller un poste ou de restaurer une sauvegarde. Une intervention précipitée peut effacer des traces ou réintroduire l’attaquant dans un système encore compromis.
3. Constituer une petite cellule de crise
Une cyberattaque ne concerne pas uniquement l’informatique. Selon son ampleur, elle peut mobiliser la direction, les ressources humaines, le juridique, la communication, la comptabilité et les responsables opérationnels.
Une personne doit être chargée de coordonner les décisions. Une autre peut tenir un journal précis des événements :
- heure de chaque constat ;
- équipements isolés ;
- personnes contactées ;
- décisions prises ;
- communications envoyées ;
- opérations techniques réalisées.
Cybermalveillance.gouv.fr recommande de constituer rapidement une équipe de gestion de crise et de conserver la trace de toutes les actions engagées.
4. Préserver les preuves
Conservez les e-mails frauduleux, captures d’écran, fichiers suspects, demandes de rançon, journaux de connexion et coordonnées utilisées par les attaquants.
Ne supprimez pas les comptes compromis et ne formatez pas les équipements avant l’intervention d’un spécialiste. Ces éléments peuvent aider à comprendre l’origine de l’attaque, mesurer son étendue et identifier les données consultées ou volées.
Ils seront également utiles lors du dépôt de plainte, des échanges avec l’assureur et des éventuelles déclarations réglementaires.
5. Protéger les comptes et les accès
Depuis un équipement sain, le service informatique doit identifier les comptes susceptibles d’avoir été compromis et révoquer les sessions actives.
Il pourra notamment :
- réinitialiser les mots de passe ;
- bloquer temporairement certains comptes ;
- activer l’authentification multifacteur ;
- supprimer les règles de transfert frauduleuses ;
- contrôler les comptes administrateurs ;
- vérifier les connexions inhabituelles.
Il faut éviter de modifier tous les accès sans coordination. L’ordre des opérations doit être défini par les personnes chargées de l’investigation afin de ne pas alerter prématurément l’attaquant ou de perdre des informations utiles.
6. Contacter les organismes compétents
L’entreprise peut utiliser 17Cyber, le service public proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, afin d’obtenir un diagnostic et des recommandations adaptées à sa situation.
Elle doit également :
- prévenir son assureur cyber dans les délais prévus au contrat ;
- déposer plainte auprès de la police ou de la gendarmerie ;
- contacter immédiatement sa banque en cas de fraude financière ;
- avertir les clients ou partenaires directement menacés.
En cas de rançongiciel, les autorités recommandent de ne pas payer la rançon : le paiement ne garantit ni la récupération des fichiers ni la suppression des données volées.
7. Évaluer la présence de données personnelles
Une cyberattaque peut provoquer la perte, la modification, l’indisponibilité ou la divulgation de données personnelles.
L’entreprise doit documenter l’incident et déterminer :
- quelles données sont concernées ;
- combien de personnes peuvent être touchées ;
- si les données ont été consultées ou copiées ;
- quelles conséquences sont possibles pour les victimes.
Lorsque la violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais, et si possible dans les 72 heures suivant sa constatation. Une première notification peut être complétée par la suite si toutes les informations ne sont pas encore disponibles.
Redémarrer uniquement après sécurisation
La reprise de l’activité ne doit pas être précipitée. Restaurer les données trop tôt peut permettre à l’attaque de recommencer si la porte d’entrée n’a pas été identifiée et corrigée.
Avant le redémarrage, il faut notamment :
- comprendre l’étendue de la compromission ;
- corriger la faille utilisée ;
- vérifier les comptes et les équipements ;
- restaurer des sauvegardes saines ;
- renforcer la surveillance du réseau.
MB2I accompagne les entreprises dans la détection, le confinement et le traitement des incidents de cybersécurité. Une procédure préparée à l’avance permet de gagner un temps précieux et de limiter l’interruption de l’activité.
Sources :
- Guide « Que faire en cas de cyberattaque ? », Cybermalveillance.gouv.fr.
- Consignes destinées aux collaborateurs en cas de cyberattaque, Cybermalveillance.gouv.fr.
- Guide de gestion de crise cyber, ANSSI.
- Règles de notification des violations de données, CNIL.
- Service public d’assistance 17Cyber.