Une sauvegarde immuable est une copie de données qui ne peut être ni modifiée, ni chiffrée, ni supprimée pendant une durée définie, même par un administrateur. Face aux ransomwares, qui s’attaquent désormais aux sauvegardes avant de chiffrer la production, c’est la garantie de toujours disposer d’une copie saine pour redémarrer sans payer de rançon. Voici comment fonctionne l’immuabilité, quelles technologies choisir et comment l’intégrer à votre stratégie de sauvegarde.
En bref
- Une sauvegarde accessible depuis le réseau de production partage sa surface d’attaque.
- Les ransomwares cherchent et détruisent les sauvegardes en priorité.
- L’immuabilité bloque toute modification ou suppression, même avec un compte administrateur compromis.
- La règle 3-2-1-1 ajoute une copie immuable à la règle 3-2-1.
- Une sauvegarde immuable ne vaut que si sa restauration est testée régulièrement.
Vous avez des sauvegardes. Elles tournent la nuit, les rapports sont au vert, et vous savez que vous pourriez récupérer vos données en cas de problème. Cette certitude est rassurante, et c’est précisément là que réside le risque. La sauvegarde immuable n’est pas un nouveau produit marketing. C’est une réponse à un constat technique que de nombreuses organisations découvrent trop tard : une sauvegarde classique, même bien configurée, peut être rendue inutilisable par un ransomware en quelques heures. Et quand les attaquants s’en prennent à vos sauvegardes avant de chiffrer votre production, la reprise d’activité devient une opération de crise plutôt qu’une procédure maîtrisée.
Qu’est-ce que l’immuabilité ?
L’immuabilité (on parle aussi d’immutabilité, de l’anglais immutability) désigne le caractère de ce qui ne peut pas changer. En informatique, une donnée immuable est écrite une fois puis verrouillée : personne ne peut la modifier, l’écraser ou l’effacer tant que la période de rétention n’est pas écoulée. C’est le principe du WORM (Write Once, Read Many) : écrire une fois, lire autant de fois que nécessaire.
Appliquée aux sauvegardes, l’immuabilité change la donne : même si un attaquant prend le contrôle de votre réseau et de vos comptes d’administration, il ne peut ni chiffrer ni supprimer les copies verrouillées.
Pourquoi la sauvegarde classique ne suffit plus
Selon le Veeam 2023 Ransomware Trends Report (1 200 organisations interrogées), 93 % des cyberattaques visent les dépôts de sauvegarde, et 75 % des victimes y ont perdu au moins une partie de leurs sauvegardes. Le modèle classique présente deux limites majeures.
- L’accessibilité des sauvegardes : une sauvegarde joignable depuis le réseau de production, avec les mêmes comptes, peut être chiffrée ou supprimée par un ransomware au même titre que vos serveurs.
- La fenêtre de restauration : restaurer plusieurs téraoctets sur des dizaines de serveurs peut prendre plusieurs jours. Ce délai est rarement mesuré avant l’incident.
Comment les ransomwares ciblent vos sauvegardes
Une attaque par rançongiciel se prépare. Les attaquants restent souvent plusieurs semaines dans le réseau pour le cartographier, repérer les solutions de sauvegarde et les comptes de service qui les pilotent. Ils suppriment ou chiffrent ensuite les sauvegardes, puis seulement la production : la victime n’a alors plus d’autre choix que de négocier.
Une sauvegarde immuable casse ce scénario : même découverte, elle reste intacte.
Sauvegarde classique ou sauvegarde immuable : les différences
| SAUVEGARDE CLASSIQUE | SAUVEGARDE IMMUABLE | |
| Modification ou suppression | Possible par tout compte disposant des droits | Impossible pendant la durée de rétention, même pour un administrateur |
| Résistance aux ransomwares | Faible si la sauvegarde est joignable depuis la production | Forte : les copies verrouillées ne peuvent pas être chiffrées |
| Erreur humaine | Une suppression accidentelle est définitive | Les copies sont protégées jusqu’à la fin de la rétention |
| Durée de rétention | Modifiable à tout moment | Fixée à l’écriture, ne peut pas être raccourcie |
| Coût de stockage | Optimisable en purgeant les anciennes copies | Plus élevé : les copies sont conservées jusqu’au terme fixé |
Les technologies de stockage immuable
Trois technologies permettent aujourd’hui de rendre une sauvegarde immuable. Elles se combinent souvent.
Object Lock S3 : l’immuabilité dans le cloud
Sur un stockage S3, la fonction Object Lock verrouille chaque objet pour une durée définie. En mode « conformité », personne ne peut lever ce verrou avant l’échéance. C’est la solution la plus répandue pour les sauvegardes dans le cloud ou en architecture hybride, et la plupart des logiciels de sauvegarde savent l’exploiter.
WORM physique : bandes et disques optiques
Bandes magnétiques WORM et disques optiques ne peuvent être écrits qu’une seule fois. Déconnectés du réseau, ils offrent une protection physique adaptée à l’archivage long terme et aux obligations de conservation, au prix de délais de restauration plus longs.
Snapshots immuables : pour les environnements virtualisés
Les snapshots immuables (ou verrouillés) sont des instantanés de machines virtuelles ou de volumes protégés contre la suppression. Proposés par les baies de stockage et les plateformes de virtualisation comme VMware vSphere ou Proxmox VE, ils permettent des restaurations très rapides et conviennent aux environnements qui exigent un RPO court.
La règle 3-2-1-1 : l’évolution d’un standard éprouvé
La règle 3-2-1 recommande trois copies des données, sur deux supports différents, dont une hors site. La règle 3-2-1-1 y ajoute une copie immuable (ou déconnectée du réseau). Elle devient la référence pour les organisations soumises à des obligations de continuité : établissements de santé, acteurs financiers, entités concernées par la directive NIS 2.
La copie hors site et la copie immuable peuvent être la même : c’est tout l’intérêt d’une solution de sauvegarde externalisée dont les copies sont verrouillées dans un datacenter distant.
RTO, RPO : ce que la sauvegarde immuable garantit vraiment
L’immuabilité ne raccourcit pas le temps de restauration (RTO) et ne réduit pas la perte de données (RPO). Elle garantit autre chose : que le point de restauration existera le jour où vous en aurez besoin. Un RTO de 4 heures n’a de valeur que si la sauvegarde à restaurer est intacte.
💡 Pour aller plus loin : mettre en place un plan de reprise et de continuité d’activité (PCA / PRA)
Mettre en place une sauvegarde immuable : 5 points à examiner
- La couverture des systèmes critiques : ERP, messagerie, bases de données clients… Identifiez ce qui doit impérativement être restauré en premier.
- La localisation des copies : l’immuabilité ne protège pas d’un incendie ou d’une inondation. Une copie doit se trouver dans un site distant.
- La durée de rétention : alignez-la sur votre politique interne et vos obligations réglementaires. Trop courte, elle ne couvre pas une intrusion restée longtemps invisible ; trop longue, elle alourdit le coût.
- Les tests de restauration : planifiez-les régulièrement, dans un environnement isolé, et mesurez le temps réel de remise en service.
- La compatibilité avec l’existant : Veeam, Commvault, Acronis ou Rubrik proposent des mécanismes d’immuabilité. Vérifiez qu’ils s’appuient sur votre stockage cible.
Une sauvegarde immuable et souveraine avec SdV
Hébergeur souverain certifié ISO 27001 et HDS, SdV vous accompagne de l’audit de votre architecture à la mise en place de sauvegardes externalisées et immuables, hébergées dans nos datacenters en France. Notre stockage S3 permet de rendre vos copies immuables, avec une réplication sur plusieurs sites. Pour les données de santé, nos sauvegardes s’intègrent à notre hébergement de données de santé certifié HDS.
Découvrez notre offre de sauvegarde externalisée souveraine ou contactez-nous pour faire le point sur la protection de vos sauvegardes.
Les questions fréquentes sur la sauvegarde immuable.
C’est une copie de vos données verrouillée pendant une durée définie : elle ne peut être ni modifiée, ni chiffrée, ni supprimée, même par un administrateur. Elle garantit une copie saine pour restaurer vos systèmes après une attaque par ransomware.
Oui, pour les copies verrouillées : le ransomware ne peut ni les chiffrer ni les effacer. Elle n’empêche pas l’attaque elle-même, mais elle vous permet de redémarrer sans payer de rançon, à condition que la restauration ait été testée.
La sauvegarde externalisée place une copie hors de vos locaux, ce qui protège des sinistres physiques. La sauvegarde immuable empêche toute modification de la copie, ce qui protège des cyberattaques. Les deux sont complémentaires : l’idéal est une copie à la fois externalisée et immuable.
Trois copies des données, sur deux supports différents, dont une hors site et une immuable (ou déconnectée du réseau). C’est l’évolution de la règle 3-2-1 face aux ransomwares.
Object Lock S3 pour les sauvegardes dans le cloud ou en hybride, snapshots immuables pour des restaurations rapides d’environnements virtualisés, WORM physique pour l’archivage long terme. Beaucoup d’organisations combinent snapshots et Object Lock S3.
Cela dépend de vos obligations réglementaires et du temps qu’une intrusion peut rester invisible. La durée doit couvrir au minimum la période pendant laquelle un attaquant pourrait être présent sans être détecté.Comment tester l’efficacité d’une sauvegarde immuable ?
Restaurez régulièrement un système complet dans un environnement isolé, vérifiez l’intégrité des données et mesurez le temps de remise en service. Vérifiez aussi qu’une tentative de suppression d’une copie verrouillée échoue bien.
🚀 À lire aussi :
