Externaliser une sauvegarde éloigne une copie des serveurs de production, mais ne suffit pas à la protéger. Si les mêmes comptes administrent les deux environnements, si la suppression est immédiatement répliquée ou si aucune restauration n'est testée, le rançongiciel peut encore atteindre les copies. La double extorsion ajoute une autre limite : restaurer l'activité ne retire pas les données déjà volées. Une architecture crédible doit donc séparer disponibilité, confidentialité et capacité de reprise.
Séparer les identités d'administration
Un compte compromis dans la production ne doit pas pouvoir modifier la rétention, désactiver les tâches ou supprimer les copies. La séparation logique sans séparation d'identité reste fragile. La priorite se decide selon l'impact sur l'activite et la facilite d'exploitation de la mesure par l'equipe.
Créez des comptes dédiés, imposez un second facteur et interdisez l'usage quotidien des droits de sauvegarde. Conservez un accès d'urgence hors du gestionnaire de mots de passe principal. La revue d'accès rapproche les administrateurs autorisés, les connexions récentes et les départs.
Conserver une copie qui résiste à la suppression
Une synchronisation reproduit fidèlement les erreurs et les suppressions. Une copie immuable ou déconnectée garde un état antérieur pendant une durée définie. Le resultat doit rester comprehensible par la direction, l'informatique et le prestataire qui interviendrait en urgence.
Demandez ce que peut supprimer un administrateur compromis et combien de temps une version reste récupérable. La recommandation de Cybermalveillance.gouv.fr insiste sur les supports multiples et la déconnexion de certaines copies. Le choix de rétention part de la vitesse à laquelle une compromission pourrait être découverte.
Chiffrer sans perdre la clé
Le chiffrement protège la copie volée, mais une clé stockée avec les mêmes droits que la sauvegarde ne crée aucune barrière. Une clé inaccessible peut, inversement, bloquer la reprise. Une preuve datee vaut mieux qu'une declaration generale, car elle permet de voir ce qui a change depuis le dernier controle.
Documentez où la clé est conservée, qui peut la utiliser, comment elle est renouvelée et comment l'accès est testé hors du système principal. L'exercice de restauration inclut la récupération de la clé et la vérification des habilitations.
Restaurer une chaîne, pas un fichier isolé
Une application dépend de sa base, de sa configuration, de ses comptes et parfois d'une version précise. Récupérer un répertoire ne prouve pas que l'activité peut reprendre. La mesure n'est complete que si une personne est responsable de son suivi et si un mode degrade a ete imagine.
Choisissez un service critique et restaurez toutes ses dépendances dans un environnement isolé. Vérifiez l'intégrité, les droits et une transaction métier représentative. Le compte rendu nomme les étapes manuelles et les informations qui manquaient au premier essai.
Limiter ce qui peut être exfiltré
La sauvegarde répond à la perte de disponibilité. La double extorsion vise aussi la confidentialité des fichiers copiés avant chiffrement. Ce choix evite d'empiler des outils tout en laissant la procedure, l'acces ou la donnee critique sans proprietaire.
Réduisez les comptes trop larges, segmentez les dépôts sensibles, surveillez les volumes sortants inhabituels et appliquez le chiffrement recommandé dans les règles essentielles de la CNIL . Le plan de crise distingue restauration, analyse de fuite et obligations de notification.
Préparer une reprise propre
Restaurer trop vite sur une infrastructure encore compromise peut réintroduire l'attaquant. La chronologie doit séparer confinement, choix d'un point sain, reconstruction et réouverture progressive. La bonne question n'est pas de savoir si la protection existe, mais si elle tient encore pendant une panne ou une attaque.
Définissez qui autorise la restauration, quels indicateurs rendent un environnement acceptable et comment les mots de passe ou clés sont renouvelés avant reconnexion. Le premier service relancé est celui qui soutient la coordination, pas forcément le plus visible.
Le contrôle à conserver dans le dossier
Une mesure cybersécurité devient durable quand une autre personne peut la vérifier sans dépendre de la mémoire de son auteur. Conservez le périmètre, la date, le responsable, le résultat observé et la prochaine échéance. Le dossier ne stocke aucun secret : il indique seulement où les accès protégés se trouvent et qui peut les révoquer.
- Les identités de production ne peuvent pas supprimer toutes les copies.
- Une copie immuable ou déconnectée garde une profondeur adaptée.
- Un service complet est restauré dans un environnement isolé.
- Le plan traite séparément reprise, exfiltration et notification.
Après un changement important, rejouez le contrôle concerné plutôt que d'attendre la revue générale. Une migration, un départ, une ouverture vers Internet ou un incident modifie le risque immédiatement. La preuve datée permet de distinguer une correction réelle d'une intention et de transmettre la décision à la direction, au prestataire ou à l'équipe de reprise.
Organiser le prochain passage sans tout recommencer
Pour le sujet sauvegarde externalisee ransomware, conservez une page de suivi plutôt qu'un rapport figé. Elle relie le premier angle, « Séparer les identités d'administration », au dernier, « Préparer une reprise propre », afin de montrer le chemin entre exposition, action et vérification. Ajoutez la date du prochain contrôle, la personne qui l'exécutera et le changement qui imposerait de le rejouer plus tôt. Cette préparation évite que la mesure dépende d'un projet ponctuel ou d'un prestataire qui n'est plus présent.
Lors de la revue, commencez par reproduire le résultat attendu avant de lire les commentaires anciens. Une restauration, une alerte, une révocation ou un appel hors bande fournit une observation directe. Comparez-la ensuite au dossier et expliquez tout écart. Si le contrôle n'est plus pertinent, remplacez-le explicitement plutôt que de le laisser passer au vert par habitude. La sécurité reste ainsi liée au fonctionnement réel de l'entreprise.
Partager une décision compréhensible par un tiers
La synthèse reprend quatre preuves concrètes : les identités de production ne peuvent pas supprimer toutes les copies. Une copie immuable ou déconnectée garde une profondeur adaptée. Un service complet est restauré dans un environnement isolé. Le plan traite séparément reprise, exfiltration et notification. Elle précise aussi ce qui reste incertain et ce qui n'entre pas dans le périmètre. Cette transparence permet à la direction de prioriser, à l'équipe technique d'agir et à un autre prestataire de reprendre le travail sans interpréter une note opaque.
Terminez par une décision unique pour chaque écart : corriger, compenser, accepter temporairement ou retirer le service. Une décision temporaire porte une échéance et une condition de réouverture. La preuve de fermeture doit montrer le comportement obtenu, pas seulement une facture, une capture de licence ou la présence d'une option. Cette règle simple protège le budget et rend les arbitrages auditables dans le temps.
Commentaires
No comments yet