Pouvez-vous vraiment restaurer ?
La seule question qui compte après un rançongiciel.

Quand un rançongiciel frappe, la question n'est pas « comment déchiffrer nos fichiers » — c'est « pouvons-nous les restaurer sans payer ». Si la réponse est oui, l'attaque devient un incident coûteux mais survivable. Si la réponse est non, ou « on n'est pas sûr », vous êtes à la merci des attaquants. C'est pourquoi la position de l'OFCS et des experts est constante : la sauvegarde est la mesure de sécurité la plus importante pour une PME.

Le problème, c'est que « nous avons des sauvegardes » et « nous pouvons restaurer » sont deux affirmations très différentes. Les rançongiciels modernes cherchent activement vos sauvegardes connectées et les chiffrent en premier, précisément pour vous couper cette issue. Une sauvegarde branchée en permanence au réseau n'est pas une assurance — c'est une cible.

La règle 3-2-1, en clair

La norme reconnue tient en trois chiffres :

• 3 copies de vos données : l'original plus deux sauvegardes. Une seule copie de secours n'en est pas vraiment une.
• 2 supports différents : par exemple un disque local et un stockage cloud, pour qu'une seule panne matérielle ne vous prive pas de tout.
• 1 copie hors-ligne (ou immuable) : déconnectée du réseau, ou verrouillée de façon à ne pas pouvoir être modifiée ni chiffrée. C'est cette copie qui vous sauve d'un rançongiciel.

Beaucoup d'organisations romandes ont le « 3 » et le « 2 ». C'est le « 1 » — la copie véritablement isolée — qui manque le plus souvent. Et c'est exactement celle qui fait la différence le jour de l'attaque.

L'erreur qui transforme une sauvegarde en espoir

Il y a une deuxième moitié à la règle, que presque personne n'applique : tester la restauration. Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde vérifiée — c'est une hypothèse. Nous voyons régulièrement des sauvegardes qui tournent « avec succès » depuis des mois mais qui, au moment critique, sont incomplètes, corrompues, ou ne couvrent pas le système réellement essentiel. La seule preuve qu'une sauvegarde fonctionne, c'est une restauration réussie.

Les six questions à vous poser aujourd'hui

Sans attendre un audit complet, répondez honnêtement :

• Avons-nous au moins une copie de sauvegarde hors-ligne ou immuable, hors de portée du réseau ?
• Avons-nous testé une restauration complète au cours des douze derniers mois ?
• Savons-nous combien de temps prendrait une restauration réelle — heures ? jours ?
• Nos sauvegardes couvrent-elles tout ce qui est critique : Microsoft 365, serveurs, bases de données, pas seulement quelques dossiers ?
• Une seule personne compromise pourrait-elle supprimer ou chiffrer nos sauvegardes ?
• Savons-nous qui contacter dans l'heure qui suit un incident ?

Deux réponses « non » ou « je ne sais pas » suffisent à indiquer une exposition qui justifie une action immédiate. Le coût médian d'un rançongiciel pour une PME suisse dépasse largement celui d'une stratégie de sauvegarde correcte — et contrairement à la rançon, la sauvegarde, vous la contrôlez.

Ce que nous mettons en place

Pour les PME, communes et fondations romandes que nous accompagnons, cela veut dire une architecture 3-2-1 avec une copie réellement immuable, une surveillance qui vérifie que les sauvegardes tournent et restent restaurables, et des tests de restauration périodiques — pour que le jour où un rançongiciel frappe, « pouvez-vous restaurer ? » soit une question à laquelle vous répondez oui, sans hésiter.