3.2 Le PRA : sauvegardes 3-2-1 et restauration

La règle 3-2-1 a été popularisée par Peter Krogh, photographe et auteur du livre The DAM Book (2005), pour la gestion des archives photographiques. Elle s'est imposée comme standard universel dans l'informatique professionnelle.

Définition :

• 3 copies des données : 1 copie de production + 2 sauvegardes.
• 2 supports différents : pour éviter qu'un défaut commun (corruption, défaillance matérielle) impacte toutes les copies. Exemples : disque dur + bande, disque dur + cloud, NAS + bande.
• 1 hors site géographique : pour résister aux sinistres locaux (incendie, inondation, vol).

Cette règle pose les bases. Mais elle ne suffit plus face aux ransomwares modernes qui chiffrent simultanément la production ET les sauvegardes en ligne. D'où l'évolution récente vers 3-2-1-1-0.

Le « 1 » supplémentaire : une copie immuable. Une sauvegarde qui ne peut pas être modifiée ni supprimée, même par un administrateur légitime, pendant une période définie (rétention immutable). Technologies :

• Verrouillage d'objet sur un stockage objet : la copie ne peut être ni modifiée ni supprimée avant l'expiration de la rétention, y compris par un administrateur.
• Bandes magnétiques WORM (écriture unique) : le verrou est physique, donc insensible à une compromission du système.
• Dépôt de sauvegarde durci : serveur dédié, sans partage réseau standard ni compte d'administration du domaine, dont le système interdit la suppression avant échéance.

Le « 0 » final : zéro erreur lors des tests de restauration. Une sauvegarde non testée est une sauvegarde présumée corrompue. Voir Module 4 sur les tests.

Plusieurs types de sauvegardes coexistent dans une politique mature :

Stratégie typique en grand groupe :

• Quotidien : incrémentaux nocturnes (faible volume).
• Hebdomadaire : différentielle (consolidation).
• Mensuel : full complète (point de récupération fiable).
• Snapshot continu : pour rollback rapide (granularité min).
• Réplication asynchrone vers le site de secours (RPO ≤ 15 min).

Politique de rétention :

• 7 jours de sauvegardes incrémentales journalières.
• 4 à 5 semaines de sauvegardes hebdomadaires.
• 12 mois de sauvegardes mensuelles.
• 5 à 10 ans de sauvegardes annuelles pour archives légales (comptabilité, RH, médical).
• Très longue durée pour les données à conservation réglementaire longue : expositions professionnelles, dossiers de suivi individuel, archives sociales.

Les durées légales de conservation varient fortement : 10 ans pour les pièces comptables, 5 ans pour les bulletins de paie sous forme papier — l'employeur devant garantir la disponibilité d'un bulletin dématérialisé pendant 50 ans ou jusqu'aux 75 ans du salarié —, durées spécifiques pour les versions successives du document unique d'évaluation des risques professionnels. La politique de rétention du PRA doit être alignée sur ces obligations. Le RGPD impose l'exigence inverse : on ne conserve pas indéfiniment des données personnelles au motif qu'elles dorment dans une sauvegarde.

En cas de sinistre majeur, il faut restaurer dans le bon ordre les applications. Erreur classique : tout vouloir restaurer en parallèle, créer des conflits de ressources et des dépendances brisées.

Ordre type d'une reprise complète :

1. Infrastructure réseau : routeurs, switches, firewalls, DNS, DHCP. Sans réseau, rien ne marche.
2. Annuaires d'identité : annuaire d'entreprise, gestion des identités et des accès. Sans authentification, rien n'est accessible.
3. Services de base : DNS interne, NTP (synchronisation horaire), PKI.
4. Stockage et bases de données centrales. Restauration de l'ERP, du CRM, des données métier critiques.
5. Hyperviseurs et orchestrateurs de la plateforme de virtualisation ou de conteneurs.
6. Applications de niveau 1 (vitales selon BIA) : production, paiement, suivi clients.
7. Messagerie et outils collaboratifs : messagerie, visioconférence, partages de fichiers.
8. Applications de niveau 2 : analytique, reporting, supports.
9. Postes de travail : provisioning massif si nécessaire.
10. Tests fonctionnels avant remise en production.
11. Communication aux utilisateurs : qui peut faire quoi.

Cette séquence est documentée dans le PRA sous forme de « livre de reprise » (runbook), avec pour chaque étape : prérequis, actions, durée estimée, point de validation, escalade si échec.

Des outils d'orchestration de reprise permettent d'automatiser et de rejouer ces séquences, ce qui est surtout utile pour tester la bascule sans mobiliser une équipe entière. Ils existent chez les éditeurs de sauvegarde comme chez les fournisseurs de cloud ; leur intérêt dépend d'abord du nombre d'applications à réordonnancer.

Le scénario ransomware est devenu si fréquent qu'il mérite un PRA spécifique. Particularités à anticiper :

• Compromission durable : l'attaquant peut être présent dans le SI depuis des semaines avant le déclenchement. Les sauvegardes récentes peuvent déjà être compromises.
• Chiffrement massif : tous les fichiers accessibles deviennent illisibles. Y compris fichiers en cours d'utilisation.
• Sauvegardes attaquées en premier : les rançongiciels ciblent en priorité les serveurs de sauvegarde, pour supprimer toute possibilité de reprise sans paiement.
• Vol de données (« double extorsion ») : exfiltration avant chiffrement, puis menace de divulgation.
• Latéralisation : propagation via Active Directory compromis, exécution sur tous les postes.

Réponse opérationnelle :

1. Isolement immédiat du SI : déconnexion réseau, mise en veille, arrêt complet si nécessaire.
2. Notification rapide : CERT-FR, prestataire de réponse à incident retenu à l'avance, assureur, et CNIL si des données personnelles sont concernées.
3. Forensique : analyser l'étendue de la compromission, identifier la « patient zero », rechercher les backdoors.
4. Décision de paiement : non recommandé par l'État (financement du crime), mais parfois pratiqué. À discuter en CDS + juridique + assureur cyber.
5. Reconstruction depuis sauvegardes propres : identifier un point de restauration antérieur à la compromission (parfois plusieurs semaines en arrière).
6. Reconstruction complète : reformatage des serveurs, réinstallation de l'OS et des applications, restauration des données seulement.
7. Renforcement : patches, hardening, MFA généralisé, segmentation réseau, monitoring renforcé.
8. Communication : interne, clients, assurance, autorités.

Position officielle ANSSI/CERT-FR : ne pas payer la rançon. Raisons :

• Le paiement finance le cybercrime et alimente l'écosystème mafieux.
• Aucune garantie de récupération : l'outil de déchiffrement fourni est souvent lent, partiel ou défaillant, et les données déjà exfiltrées ne « reviennent » jamais.
• Marque la victime comme « payeuse », augmentant les attaques futures.
• Risque juridique si le groupe attaquant fait l'objet de mesures de gel des avoirs ou de sanctions internationales.
• Le contrat d'assurance encadre strictement le sujet : en France, l'article L12-10-1 du Code des assurances conditionne l'indemnisation du versement d'une rançon au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'infraction.

L'architecture moderne d'un SI résilient repose sur plusieurs principes :

• Segmentation réseau : isoler les zones critiques (production, paiement, RH) par des firewalls internes. Limite la propagation d'attaques.
• Microsegmentation : segmenter au niveau des applications, voire des conteneurs. Approche Software-Defined Network (SDN).
• Zero Trust : ne jamais faire confiance, toujours vérifier. Authentification continue, MFA partout, principe du moindre privilège.
• Immutabilité : infrastructure as code, déploiements reproductibles, pas de modification manuelle des serveurs en production.
• Sauvegarde air-gap : copie déconnectée physiquement du réseau, à intervalles réguliers.
• SIEM/SOC : Security Information and Event Management, Security Operation Center 24/7 pour détecter et alerter.
• EDR/XDR : Endpoint Detection and Response — détection comportementale sur les postes et serveurs.
• Sauvegarde externalisée en service : confier la copie hors site à un prestataire spécialisé, en vérifiant la réversibilité et la localisation des données.

Ces briques ne se déploient pas toutes en même temps, et l'ordre compte plus que le budget. La séquence qui apporte le plus de résilience pour le moins d'effort est constante : sauvegarde immuable testée, puis authentification multifacteur sur tous les accès distants, puis segmentation réseau, puis seulement détection et supervision. Une supervision 24/7 sur un système d'information dont les sauvegardes ne sont pas protégées améliore le délai de détection, pas la capacité à redémarrer.

Le marché de la sauvegarde et de la reprise est mature et très concurrentiel. Plutôt qu'un palmarès d'éditeurs — qui vieillit en quelques mois et dépend surtout du contexte —, voici les critères qui déterminent réellement le choix, dans l'ordre où ils se posent.