Sauvegardes et MFA : préparer une assurance cyber sans réponse vague
« Nous avons des sauvegardes et la double authentification » ne suffit pas. Pour protéger l'entreprise et répondre correctement à un questionnaire cyber, il faut connaître le périmètre, les exceptions et les tests qui prouvent que ces mesures fonctionnent.
Ce qui transforme une copie en sauvegarde exploitable
La synchronisation facilite le travail, mais elle peut reproduire une suppression ou un chiffrement malveillant. Une stratégie de sauvegarde doit préciser les données couvertes, la fréquence, la durée de conservation, l'emplacement, les droits de modification et la procédure de restauration.
L'ANSSI recommande des sauvegardes hors ligne pour les données et applications critiques. Cela ne signifie pas qu'une seule technologie convient à toutes les entreprises : l'objectif est qu'une compromission de la production ne permette pas de détruire toutes les copies.
| Dimension | Question | Preuve possible |
|---|---|---|
| Périmètre | Les bases, configurations, fichiers et applications sont-ils tous inclus ? | Inventaire rapproché du plan de sauvegarde. |
| Fréquence | Quelle quantité de travail peut être perdue entre deux copies ? | Rapport d'exécution et objectifs de reprise. |
| Rétention | Peut-on revenir avant la compromission initiale ? | Politique de versions et calendrier de conservation. |
| Isolation | Un administrateur compromis peut-il supprimer toutes les copies ? | Architecture, comptes séparés et copie hors ligne ou immuable. |
| Restauration | Combien de temps faut-il pour reprendre le service critique ? | Compte rendu du dernier test complet. |
Tester la restauration, pas seulement le lancement de la sauvegarde
Un tableau de bord vert prouve qu'une tâche s'est exécutée, pas que l'entreprise sait reconstruire son activité. Le test doit restaurer un échantillon puis, périodiquement, un service complet avec ses dépendances, ses droits d'accès et sa configuration.
- Choisir un service prioritaire et définir le résultat attendu.
- Restaurer dans un environnement isolé.
- Mesurer le temps et les pertes de données.
- Vérifier l'intégrité et le fonctionnement métier.
- Documenter les écarts, responsables et actions correctives.
- Rejouer le test après correction.
Le compte rendu doit être compréhensible par la direction : service testé, date, version restaurée, durée, problèmes, décision et prochain test.
Où activer le MFA en priorité
Le MFA ajoute une preuve distincte au mot de passe. La CNIL indique qu'il réduit le risque d'accès illégitime lorsque les identifiants sont compromis, tout en rappelant qu'il n'est pas infaillible et doit être choisi selon le contexte.
- Messagerie : elle permet souvent de réinitialiser d'autres comptes et contient des échanges sensibles.
- Accès distants : VPN, bureau à distance et outils de télémaintenance exposent l'environnement.
- Comptes administrateurs : leurs droits peuvent affecter tous les utilisateurs et sauvegardes.
- Cloud et applications métiers : CRM, paie, facturation, stockage et collaboration.
- Banque et paiements : à compléter par une validation organisationnelle indépendante.
Identifiez les comptes techniques ou anciennes applications qui ne supportent pas le MFA. Une exception invisible est souvent plus dangereuse qu'une absence connue et traitée.
Le dossier de preuves à conserver
- Inventaire des services critiques et propriétaires.
- Architecture simplifiée des sauvegardes.
- Rapports d'échec et de réussite des tâches.
- Compte rendu du dernier test de restauration.
- Liste des applications protégées par MFA et taux de couverture.
- Liste des exceptions, justification et mesure compensatoire.
- Procédure de récupération en cas de perte du second facteur.
- Journal des revues de comptes et des départs de salariés.
Ces preuves aident à répondre au questionnaire d'assurance, mais surtout à repérer les écarts avant un incident. Elles ne doivent contenir ni mots de passe, ni codes de récupération, ni secrets techniques transmis sans protection.
Six erreurs fréquentes
- Confondre synchronisation en ligne et sauvegarde indépendante.
- Protéger les utilisateurs ordinaires mais pas les administrateurs.
- Ne jamais tester une restauration complète.
- Laisser le même compte administrer la production et supprimer les sauvegardes.
- Répondre au questionnaire pour le siège sans vérifier les filiales et télétravailleurs.
- Déclarer une mesure future comme déjà opérationnelle.
Objectif : être capable d'expliquer en cinq minutes quelles données peuvent être restaurées, à partir de quelle version, en combien de temps, par qui et avec quels accès.