> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/cyber-best-practices/fr/renforcez-votre-environnement/readme.md).
# Mettre en œuvre des sauvegardes sécurisées
{% hint style="info" %}
Toutes les informations et tous les exemples de cet article sont des recommandations de mise en œuvre pour des sauvegardes sécurisées.
Rien de ce qui figure ici n'a de valeur contractuelle.
{% endhint %}
Les sauvegardes sont votre dernière ligne de défense face aux ransomwares et aux attaques destructrices.
Le succès de la restauration dépend de la qualité des sauvegardes, de leur fréquence, de leur rétention et de la capacité à restaurer rapidement.
### Conditions de l'assurance cyber Stoïk
L'assurance cyber Stoïk définit des exigences de sauvegarde lors de la souscription.
Exigence minimale : **au moins une sauvegarde hebdomadaire** doit être :
* **hors ligne**, ou
* sur **stockage immuable**
Avec une **rétention minimale de 2 semaines**.
Si le hors ligne ou l'immuable n'est pas possible, une option moins recommandée est une **sauvegarde en ligne sécurisée**.
Le système de sauvegarde reste connecté, mais doit respecter **toutes** les exigences ci-dessous :
* Le système de sauvegarde est **hors du domaine AD**
* Le système de sauvegarde est **segmenté** (pare-feu + accès par liste d'autorisation)
* La suppression/modification des sauvegardes n'est possible que via une **console web protégée par MFA**
Objectif : même avec un administrateur de domaine ou un administrateur cloud compromis, un attaquant ne peut toujours pas effacer les sauvegardes.
### Types de sauvegarde (et ce qui compte)
| Type | Exemples typiques | Pourquoi c'est important | Répond à l'exigence ? |
| --------------------------------------------------- | ---------------------------------------------------------------------------- | --------------------------------------------------------------------------- | ------------------------------------------------------------------------------- |
| Sauvegardes hors ligne | Disques externes, supports USB, NAS hors ligne, bandes magnétiques (LTO/DLT) | Protection maximale. Non accessible via le réseau. | :check: |
| Sauvegardes en ligne immuables (cloud) | AWS S3 Object Lock, blobs immuables Azure (WORM), Wasabi Object Lock | Accessibles en ligne, mais ne peuvent pas être modifiées ni supprimées. | :check: |
| Sauvegardes en ligne (sur site / centre de données) | Serveur de sauvegarde dédié avec accès restreint | Peut être acceptable **seulement si** l'accès est fortement isolé. | :check: (seulement si renforcé) |
| « Stockage » en ligne non immuable (cloud) | Dropbox, Google Drive, OneDrive sans WORM | Facile à utiliser, facile à supprimer si les comptes sont compromis. | :xmark: |
| Sauvegardes locales | Disques locaux, copie de fichiers sur le même serveur, miroir RAID | Se fait chiffrer ou supprimer avec l'hôte. Ce n'est pas un plan de reprise. | :xmark: |
**« Sauvegarde en ligne sécurisée »** signifie « résiliente face à un mode opératoire typique de ransomware qui tente de supprimer toutes les sauvegardes ».
### Options de sauvegarde hors ligne
Utilisez la rotation. Conservez **au moins une** copie récente déconnectée.
| Option | Comment procéder en toute sécurité |
| ------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Bandes magnétiques (LTO/DLT) | Faites tourner au moins 2 bandes. Conservez en permanence 1 bande hors site/hors ligne. |
| NAS hors ligne | Connectez-le uniquement pendant la fenêtre de sauvegarde. Déconnectez-le après la tâche. Faites tourner plusieurs appareils si possible. |
| Disques externes / supports USB | Connectez-les uniquement pendant la fenêtre de sauvegarde. Déconnectez-les après la tâche. Stockez-les dans un endroit verrouillé. Faites tourner plusieurs appareils. |
### Options de sauvegarde immuables
#### Sauvegardes immuables hébergées dans le cloud
| Fournisseur | Fonction d'immuabilité | Guide / documentation |
| --------------------------- | ---------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------- |
| AWS | [S3 Object Lock](https://aws.amazon.com/s3/features/object-lock/) (et/ou Glacier) | [Sauvegardes S3 immuables](broken://pages/89cd578d3e4de53fbfed8058038f81ccf5a91db0) |
| Azure | [Blobs immuables (WORM)](https://learn.microsoft.com/azure/storage/blobs/immutable-storage-overview) | [Solutions de sauvegarde cloud](broken://pages/9bf29ce0102fab68eaae56b9d1b75c88e3e08c1e) |
| Wasabi | [S3 Object Lock](https://wasabi.com/cloud-object-storage/s3-object-lock) | [Sauvegardez vos données avec Wasabi](broken://pages/3a0a982cb93ba869aa261b9e8c73b38266504b03) |
| Acronis Cyber Protect Cloud | Mode conformité (vérifiez votre offre/version) | [Documentation Acronis 1](https://kb.acronis.com/content/69814), [Documentation Acronis 2](https://kb.acronis.com/content/71557) |
| Scaleway | Object Storage (vérifiez la prise en charge de Object Lock) | [Concepts Object Storage de Scaleway](https://www.scaleway.com/en/docs/storage/object/concepts/) |
| OVHcloud | Object Lock pour S3 Object Storage | [Guide OVHcloud](https://help.ovhcloud.com/csm/en-public-cloud-storage-s3-managing-object-lock?id=kb_article_view\&sysparm_article=KB0047399) |
| Fast LTA | « Zero Loss Storage » | [Présentation de Fast LTA](https://www.fast-lta.de/en/topic/zero-loss) |
#### Sauvegardes immuables hébergées localement
| Fournisseur / produit | Prérequis | Guide / documentation |
| ------------------------------- | ---------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Veeam Linux Hardened Repository | Veeam >= 11. Nécessite de renforcer l'hôte du référentiel. | [Référence Veeam](https://cloud.ibm.com/docs/vmwaresolutions?topic=vmwaresolutions-veeam-cr-sa-lhr) |
| Synology | DSM >= 7.2. Nécessite des modèles pris en charge. | [Modèles pris en charge](https://kb.synology.com/DSM/tutorial/which_synology_nas_models_support_WriteOnce_and_secure_snapshots), [Documentation sur les instantanés immuables](https://kb.synology.com/DSM/tutorial/what_is_an_immutable_snapshot) |
| Dell Data Domain | Utilisez le mode conformité. | [Livre blanc Dell](https://education.dell.com/content/dam/dell-emc/documents/en-us/2020KS_Steen_Immutable_Data_Protection_for_Any_Application.pdf) |
### Exemples de sauvegardes « non sécurisées »
Ce sont des schémas courants qui échouent lorsque des attaquants prennent le contrôle des comptes administrateur.
| Exemple | Pourquoi cela échoue |
| ----------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------- |
| Dropbox / Google Drive / OneDrive / SharePoint (sans WORM) | Un administrateur compromis peut supprimer les données et vider les corbeilles / la rétention. |
| NAS « immuable » implémenté uniquement en logiciel | Si le système d'exploitation du NAS est compromis, l'attaquant peut toujours détruire les volumes. |
| Centre de données externalisé avec un lien réseau permanent | Fonctionnellement similaire à un serveur de fichiers en ligne. Les ransomwares peuvent chiffrer/supprimer via le lien. |
| Stockage cloud non immuable | Si l'administrateur cloud est compromis, l'attaquant peut supprimer les buckets, les sauvegardes et les règles de rétention. |
### Contrôles opérationnels (recommandés)
Même avec un stockage hors ligne/immuable, les contrôles opérationnels déterminent souvent le succès de la restauration :
* **Tester les restaurations** selon un calendrier (au moins mensuellement pour les systèmes critiques).
* Utilisez **des comptes administrateur de sauvegarde séparés**. Ne les synchronisez pas depuis AD.
* Imposer **MFA** sur les consoles de sauvegarde et les comptes cloud.
* Conservez **les identifiants de sauvegarde** hors des postes utilisateurs (pas de mots de passe enregistrés dans les scripts).
* Activer **des alertes** sur les échecs des tâches de sauvegarde, les changements de rétention et les tentatives de suppression.
* Documentez le mode opératoire de restauration et conservez-en une copie **hors ligne**.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.stoik.io/cyber-best-practices/fr/renforcez-votre-environnement/readme.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.