1. Ce qu'est une sauvegarde immuable, et pourquoi elle existe
Une sauvegarde immuable est une copie qui ne peut être ni modifiée ni supprimée pendant une durée fixée à l'avance, y compris par un compte administrateur. Le verrou est porté par le stockage lui-même, pas par une règle interne ni par une procédure. C'est cette contrainte technique qui fait la différence : elle tient même quand l'attaquant a pris la main sur la console de sauvegarde.
Le principe tient en une phrase : on écrit une fois, on relit autant qu'on veut, on ne réécrit jamais. Les éditeurs le désignent par le sigle WORM, pour Write Once Read Many. Le stockage refuse alors toute commande de modification ou de suppression jusqu'à la fin de la période de rétention, la durée pendant laquelle le verrou tient. L'immuabilité n'est donc pas éternelle : elle dure ce que vous avez décidé qu'elle dure, et ce réglage change tout.
Le point de bascule est là : le verrou est technique, pas organisationnel. Une consigne interne du type « personne ne touche aux sauvegardes » n'est pas de l'immuabilité. L'Agence du Numérique en Santé le formule sans ambiguïté : l'immuabilité doit être garantie par la technologie, pas seulement par des procédures.
Prenez l'image d'un coffre bancaire à retardement. Vous y déposez un document, la porte se referme pour trente jours, et même vous ne pouvez pas la rouvrir avant l'échéance. C'est ce qui fait qu'un attaquant ayant volé vos identifiants d'administrateur n'a plus rien à en tirer.
1.1 Pourquoi le rançongiciel s'attaque d'abord aux sauvegardes
Une entreprise capable de restaurer ne paie pas. La première cible d'un attaquant n'est donc pas la production, c'est votre capacité à revenir en arrière. L'ANSSI (Agence nationale de la sécurité des systèmes d’information) le décrit directement : il est fréquent qu'un attaquant tente de chiffrer, d'effacer ou de rendre indisponible l'infrastructure de sauvegarde, pour ralentir la reconstruction et augmenter ses chances d'obtenir la rançon (ANSSI-BP-100, v1.1, 27/11/2025).
En PME, trois faiblesses reviennent presque toujours :
- Le disque de sauvegarde apparaît sur le réseau comme un dossier partagé ordinaire : ce qui atteint vos fichiers de travail atteint vos copies dans la foulée.
- La machine qui héberge les sauvegardes utilise les mêmes identifiants que le reste de l'entreprise : un mot de passe volé ouvre les deux.
- Un seul compte administrateur commande l'ensemble, du réglage des sauvegardes à leur suppression. L'ANSSI recommande d'ailleurs que les machines portant les sauvegardes disposent de leur propre système d'authentification, indépendant de celui de la production.
Le scénario type est silencieux. Un compte administrateur est compromis via un mail piégé. L'attaquant repère la console de sauvegarde, ramène la rétention de trente jours à un jour, attend quarante-huit heures que les anciens points expirent d'eux-mêmes, puis chiffre la production. Aucune alerte ne se déclenche, parce que rien n'a été « supprimé ».
2. Ce que l'immuabilité ne protège pas
L'immuabilité protège vos sauvegardes contre la modification et la suppression. Elle n'empêche pas un attaquant d'entrer dans votre réseau, de repartir avec vos fichiers clients et vos données de paie, puis de menacer de les publier si vous ne payez pas. Vos sauvegardes seront intactes, et le problème entier.
Deux angles morts méritent qu'on s'y arrête. Ceux qui vendent le mécanisme en parlent rarement.
2.1 Toutes les immuabilités ne se valent pas
Deux verrous qui portent le même nom ne se valent pas. L'ANSSI est claire : la solidité du mécanisme dépend de la façon dont il est fabriqué. Inscrit dans le logiciel de sauvegarde, le refus de supprimer n'est qu'un réglage, et ce qui se règle se dérègle. Porté par le matériel de stockage lui-même, il ne dépend plus de personne.
Le point le plus dur à entendre est le suivant. Pour l'ANSSI, la copie la plus solide reste celle qui est débranchée du réseau, une bande ou un disque rangé dans une armoire : un attaquant ne peut pas atteindre ce qui n'est relié à rien. Son compromis acceptable, ce sont des copies verrouillées fréquentes, complétées par une copie débranchée plus espacée. L'immuabilité complète votre dispositif, elle ne le remplace pas.
2.2 Une sauvegarde immuable fige aussi ce qui est déjà infecté
L'ANSSI signale un piège que l'on découvre en général trop tard. Un attaquant reste souvent plusieurs semaines dans un système avant de frapper. Pendant tout ce temps, vos sauvegardes tournent normalement et enregistrent fidèlement ses programmes en même temps que vos fichiers. La copie est verrouillée, mais elle est déjà contaminée.
La remettre en service telle quelle revient à faire entrer l'attaquant une seconde fois. Le redémarrage demande donc du tri : réinstaller les logiciels depuis les versions d'origine de l'éditeur, contrôler les fichiers avant de les remettre en place, et avancer morceau par morceau plutôt que de tout rebrancher d'un coup.
Ce que l'immuabilité bloque :
- le chiffrement de vos copies
- leur suppression par un compte compromis
- l'effacement accidentel par un utilisateur
- la réduction frauduleuse de la période de rétention
Ce qu'elle ne bloque pas :
- l'intrusion dans votre réseau
- le vol de vos données
- la remise en service d'un fichier déjà contaminé
- un verrou que votre administrateur peut désactiver
3. Mettre en place et vérifier une sauvegarde immuable en PME
La base reste la règle 3-2-1, recommandée par l'ANSSI : trois copies distinctes, c'est-à-dire les données en production et deux sauvegardes sur des supports différents, dont une hors ligne. L'immuabilité s'ajoute à cette base, elle ne remplace aucun de ses étages.
Deux prérequis se posent avant même de parler d'outil. Cloisonner le stockage : le dépôt de sauvegarde ne doit pas être un partage réseau joignable depuis un poste utilisateur. Séparer les comptes : un compte pour écrire, un compte pour restaurer, aucun compte capable des deux et de la modification de la politique de rétention.
3.1 Choisir la durée de rétention
La durée, c'est vous qui la fixez : trente jours, soixante, quatre-vingt-dix. C'est un réglage, décidé au moment de la mise en place.
Reste à choisir le bon. Le critère n'est pas votre budget, c'est le temps que met une attaque à se déclarer. Un attaquant qui entre chez vous ne frappe pas le jour même : il reste souvent plusieurs semaines à observer avant de chiffrer. Pendant ce temps, vos sauvegardes tournent et enregistrent un système déjà contaminé. Avec une rétention de sept jours, toutes vos copies encore disponibles dateraient d'après son arrivée : aucune ne serait saine. Ce délai, vous ne pouvez pas le deviner à l'avance, alors on prend de la marge. Trente à quatre-vingt-dix jours couvrent la grande majorité des situations en PME.
Un point qui prête à confusion : vous pouvez modifier ce réglage à tout moment, il s'appliquera aux copies suivantes. Ce que vous ne pouvez pas faire, c'est raccourcir le verrou des copies déjà enregistrées. Celles-là tiendront jusqu'au bout de la durée prévue le jour où elles ont été écrites, et c'est exactement ce qui met l'attaquant en échec.
3.2 Le mode de verrouillage change tout
Acronis Cyber Protect et Veeam en tête et qui sont aussi utilisés chez OTO Technology, proposent généralement deux modes. Dans le premier, un administrateur peut encore désactiver l'immuabilité ou raccourcir la rétention. Dans le second, strictement irréversible, plus personne ne revient en arrière avant l'échéance.
Le premier mode protège des utilisateurs et des erreurs de manipulation. Il ne protège pas d'un administrateur compromis, qui est exactement le scénario pour lequel vous achetez de l'immuabilité. Le second est plus contraignant : une erreur de dimensionnement se paie en stockage pendant toute la durée de rétention.
Un exemple : PME de soixante personnes, un serveur de fichiers, un ERP, Microsoft 365. Sauvegarde locale quotidienne pour reprendre en quelques heures, copie externalisée immuable avec trente jours de rétention pour résister à un compte compromis, copie hors ligne mensuelle pour survivre à un incendie. Trois niveaux, trois usages.
3.3 Les 4 questions à poser à votre prestataire
- Sur quel mécanisme repose l'immuabilité : un verrou côté stockage, ou une règle dans le logiciel de sauvegarde ?
- Un compte administrateur peut-il réduire la rétention ou désactiver le verrou, et en combien de clics ?
- Quelle est la durée de rétention réellement appliquée aujourd'hui, et depuis quelle date ?
- Quand la dernière restauration a-t-elle été testée, sur quel périmètre, et en combien de temps ?
La quatrième n'est pas une formalité : l'ANSSI demande que les sauvegardes soient testées régulièrement et qu'une procédure de restauration soit rédigée puis mise en œuvre à intervalles réguliers (R22).
Un dernier test se mène sans aucune compétence technique. Demandez qu'on tente volontairement de supprimer un point de restauration immuable devant vous. S'il disparaît, ce n'en était pas un, cela se vérifie en une réunion.
Trois points font la différence entre une immuabilité sur le papier et une sauvegarde qui tiendra le jour de l'incident.
- Une rétention plus courte que votre délai de détection ne vous protège pas : les points sains auront expiré avant que vous ne les cherchiez.
- L'immuabilité ne se voit pas dans une interface, elle se prouve en essayant de supprimer un point de restauration et en échouant.
- Une copie hors ligne, même mensuelle, reste le filet de sécurité que l'ANSSI considère comme le plus robuste.
Avant de verrouiller vos copies, encore faut-il savoir ce que votre stratégie de sauvegarde serveur couvre réellement.
4. Faire porter l'immuabilité par votre infogérance
Ces exigences se traduisent en pratiques quotidiennes du côté du prestataire : contrôle des jobs de sauvegarde avec détection des comportements anormaux, comme un volume de données incohérent ou la modification d'une politique de rétention, comptes d'administration dédiés et nominatifs, journalisation centralisée conservée ailleurs que sur l'infrastructure de sauvegarde, ordre de restauration défini à l'avance en tenant compte des dépendances, et capacité à isoler cette infrastructure dès les premières heures d'un incident.
C'est le cadre dans lequel travaillent les équipes d'OTO Technology sur les périmètres PRA et PCA : procédures de reprise rédigées et tenues à jour, supervision des flux et des machines critiques, tests de restauration planifiés puis documentés avec leur durée réelle, coordination des tests réglementaires annuels. Chaque test donne lieu à un compte rendu remis au client, avec le périmètre couvert et le temps de remise en service constaté. C'est ce document, et non une ligne de contrat, qui indique si votre dispositif tient.
4.1 Ce qu'un prestataire doit pouvoir vous montrer
Trois éléments suffisent à situer le niveau réel de votre dispositif.
- Le rapport de la dernière restauration testée, avec sa date, son périmètre et sa durée constatée : un test vieux de dix-huit mois vous renseigne autant qu'une absence de test.
- La liste nominative des comptes autorisés à modifier une politique de rétention : si elle compte huit noms dans une entreprise de soixante personnes, votre verrou est théorique.
- La preuve que le stockage de sauvegarde n'est pas joignable depuis le réseau utilisateur, sous forme de schéma ou de règle de pare-feu.
Si ces trois éléments ne peuvent pas vous être produits sous quarante-huit heures, la question n'est plus de savoir si vos sauvegardes sont immuables.
5. FAQ
Quelle différence entre une sauvegarde immuable et une sauvegarde hors ligne ?
L'immuable reste connectée au réseau mais ne peut pas être modifiée. La hors ligne est physiquement débranchée. L'ANSSI considère la seconde comme plus robuste et recommande de combiner les deux.
Combien de temps faut-il conserver une sauvegarde immuable ?
Plus longtemps que votre délai de détection d'une intrusion. Une rétention de sept jours ne protège pas d'un attaquant resté trois semaines dans le système. Les durées courantes vont de trente à quatre-vingt-dix jours.
Une sauvegarde immuable protège-t-elle d'une erreur humaine ?
Oui, c'est même l'un de ses effets les plus utiles au quotidien. Un fichier supprimé par erreur ou un dossier écrasé restent récupérables tant que la rétention court.
Une sauvegarde dans le cloud est-elle automatiquement immuable ?
Non. Le cloud apporte l'externalisation, pas l'inaltérabilité. L'immuabilité est une option à activer, et sa robustesse dépend du mécanisme choisi.
Ce qu'il faut retenir
-
#1Exigez que le verrou soit porté par le stockage, pas par un réglage du logiciel de sauvegarde
-
#2Fixez une rétention plus longue que le temps qu'une attaque met à se déclarer, trente jours au minimum
-
#3Gardez une copie débranchée, même une fois par mois seulement
Vous voulez aller plus loin ?
Parlons-en
Expert en architectures cloud, Loïc accompagne les entreprises dans la sécurisation et l’optimisation de leurs infrastructures IT. Sa vision des technologies interconnectées lui permet de concevoir des solutions où la robustesse n'entrave jamais l'agilité. Spécialiste du 100% cloud, de la cybersécurité et des plans de reprise d’activité, il conçoit des architectures réseau robustes et interconnectées. Toujours en quête de nouvelles technologies, il aime relever les défis techniques et structurer des solutions sur mesure pour garantir performance, fiabilité et continuité d’activité.
