Une sauvegarde hors ligne est une copie de données stockée sur un support physiquement déconnecté de tout réseau. Cette déconnexion crée une barrière que les attaques réseau, y compris les ransomwares, ne peuvent pas franchir par voie logicielle. Le principe paraît simple, mais sa mise en pratique soulève des questions que le seul isolement physique ne résout pas.
Comptes d’administration compromis : le maillon que la sauvegarde hors ligne ne protège pas seule
Les opérateurs de ransomware ciblent désormais l’infrastructure de sauvegarde avant de chiffrer les données de production. Leur premier objectif n’est plus le serveur de fichiers, mais les identifiants des comptes d’administration de sauvegarde.
Un attaquant qui obtient ces identifiants peut modifier les politiques de rétention, supprimer les points de restauration ou désactiver les tâches planifiées avant de lancer le chiffrement. La copie hors ligne reste intacte uniquement si elle a été déconnectée avant la compromission.
Ce décalage temporel pose un problème concret. Si la dernière sauvegarde hors ligne date de plusieurs jours et que l’attaquant a résidé dans le réseau pendant une semaine, la copie restaurée peut contenir des fichiers déjà altérés ou des portes dérobées. La sauvegarde hors ligne protège contre la destruction, pas contre la contamination silencieuse.
Les recommandations opérationnelles convergent vers une mesure complémentaire : isoler les identifiants de sauvegarde du domaine Active Directory principal. Des comptes dédiés, avec une authentification distincte, réduisent la surface d’attaque même si le reste du réseau est compromis.
Modèle de sauvegarde 3-2-1-1-0 : pourquoi le hors ligne ne suffit plus seul
La règle 3-2-1, longtemps considérée comme le standard, prévoit trois copies des données, sur deux types de supports différents, dont une hors site. La pratique a évolué vers le modèle 3-2-1-1-0, qui ajoute deux exigences.
- Le premier « 1 » supplémentaire désigne une copie immuable ou hors ligne, c’est-à-dire un support sur lequel les données ne peuvent être ni modifiées ni supprimées pendant une période définie.
- Le « 0 » exige zéro erreur lors des tests de restauration. Une sauvegarde qui n’a jamais été testée n’offre qu’une protection théorique.
- La copie hors site reste distincte de la copie hors ligne : un disque déconnecté dans la même salle serveur est hors ligne mais pas hors site.
Ce modèle reconnaît que l’isolement physique (la déconnexion) et l’inaltérabilité logicielle (l’immutabilité) répondent à des menaces différentes. Un support hors ligne protège contre les attaques réseau. Un stockage immuable protège contre la suppression par un compte compromis qui aurait accès au support avant sa déconnexion.
Restauration en environnement propre : la sauvegarde hors ligne comme point de départ
Les plans de continuité d’activité intègrent désormais les sauvegardes hors ligne dans une logique de restauration en environnement propre, pas simplement comme une copie de secours.
Restaurer des données sur une infrastructure encore compromise revient à réinstaller un système dans un bâtiment dont les serrures ont été changées par un intrus. La procédure recommandée consiste à reconstruire l’environnement (serveurs, annuaire, services réseau) sur une base saine avant d’y injecter les données de la sauvegarde hors ligne.
Cette approche change la nature même de la sauvegarde. Elle ne contient plus seulement des fichiers utilisateurs, mais aussi :
- Les configurations système documentées (ou les images système validées) nécessaires pour reconstruire l’infrastructure
- Les procédures de restauration testées, avec des temps de reprise mesurés
- Les copies des secrets cryptographiques (clés de chiffrement, certificats) stockées séparément des données qu’elles protègent
Sans ces éléments, une sauvegarde hors ligne contenant uniquement des fichiers de données peut s’avérer inutilisable en situation réelle. Le support déconnecté ne vaut que ce que la procédure de restauration permet d’en tirer.
Exigences réglementaires NIS2 et DORA : ce que les textes demandent vraiment
Le débat réglementaire en Europe s’oriente vers une exigence de résilience testée plutôt que vers l’imposition d’un format technique unique. Les textes NIS2 et DORA ne prescrivent pas explicitement le recours à des sauvegardes hors ligne, mais leurs exigences pratiques y conduisent.
NIS2 impose des politiques de sauvegarde et de reprise d’activité aux entités concernées. DORA, qui cible le secteur financier, va plus loin en exigeant des tests de restauration documentés et des capacités de reprise dans des délais définis.
Les recommandations pratiques qui accompagnent ces textes convergent vers trois propriétés pour au moins une copie de sauvegarde : l’isolement (physique ou logique), l’inaltérabilité et la vérification régulière. Le hors ligne coche la case de l’isolement, mais pas nécessairement celle de l’inaltérabilité ni celle de la vérification.
Une organisation qui stocke une bande LTO dans un coffre ignifugé sans jamais tester la restauration se conforme à la lettre de l’isolement, mais pas à l’esprit de la résilience. Les audits de conformité portent de plus en plus sur la preuve de tests réussis, pas seulement sur l’existence d’un support physique.
Fréquence et rotation des supports hors ligne
La question de la fréquence de sauvegarde hors ligne dépend directement du RPO (Recovery Point Objective), c’est-à-dire la quantité de données qu’une organisation accepte de perdre. Un RPO de 24 heures impose une rotation quotidienne des supports. Un RPO d’une semaine autorise une rotation hebdomadaire, mais augmente la fenêtre d’exposition.
Chaque support retiré du cycle doit être étiqueté, daté et stocké dans un lieu physiquement distinct. La rotation implique aussi une politique de rétention : combien de versions conserver, combien de temps, et à quel moment écraser un support pour le réutiliser.
La sauvegarde hors ligne reste un pilier de la protection contre la perte de données, à condition de l’intégrer dans un dispositif plus large. L’isolement physique du support ne compense ni des identifiants de sauvegarde partagés avec le domaine principal, ni l’absence de tests de restauration, ni un RPO mal calibré. Un disque déconnecté protège les données qu’il contient, pas celles qui n’y ont jamais été copiées.
