Un PRA/PCA moderne ne se juge pas à l'existence d'un document, mais à la capacité de restaurer une activité critique sous pression.
Séparez continuité, reprise, sauvegardes immutables et exercices avant qu'un incident ne révèle les angles morts.
1. Chiffres clés
| Chiffre | Source et date | Portée | Interprétation pour votre organisation |
|---|---|---|---|
| 3-2-1 : 3 copies, 2 supports, 1 copie hors ligne | CNIL, page "Sécurité : sauvegarder", consultée le 17 juin 2026 | Bonnes pratiques de sauvegarde | La redondance doit être pensée avant l'incident ; une seule copie cloud synchronisée ne suffit pas. |
| 7 étapes structurent le processus NIST SP 800-34 : politique, BIA, contrôles préventifs, stratégies, plan, tests, maintenance | NIST SP 800-34 Rev. 1, mai 2010, consulté le 17 juin 2026 | Planification de contingence SI | Un PRA/PCA robuste dépasse la technique : il couvre gouvernance, priorités, exercices et maintien. |
| 69 % des organisations interrogées par Veeam déclarent avoir été touchées par ransomware, contre 75 % l'année précédente | Veeam, communiqué 2025 Ransomware Trends, consulté le 17 juin 2026 | Enquête mondiale Veeam | La baisse ne supprime pas le risque ; elle confirme la nécessité d'une résilience opérationnelle. |
| 89 % des organisations du rapport Veeam indiquent que leurs dépôts de sauvegarde ont été ciblés par des acteurs ransomware | Veeam, article 2025 sur la posture proactive, consulté le 17 juin 2026 | Organisations victimes ou exposées | Les sauvegardes sont une cible prioritaire ; elles doivent être protégées comme un actif critique. |
| 53 % des organisations enterprise Sophos disent avoir utilisé des sauvegardes pour récupérer des données en 2025, contre 73 % l'année précédente | Sophos, State of Ransomware in Enterprise 2025, consulté le 17 juin 2026 | Grandes organisations interrogées | La sauvegarde existe parfois, mais la confiance dans la restauration recule lorsque le dispositif n'est pas testé. |
| Le guide CISA #StopRansomware recommande des sauvegardes critiques hors ligne, chiffrées et testées régulièrement | CISA, #StopRansomware Guide, version PDF 2025 | Défense ransomware | Le triptyque hors ligne, chiffrement, test reste un minimum de résilience, pas une option premium. |
2. Introduction
Une sauvegarde tourne toutes les nuits, le prestataire envoie un rapport vert, le cloud réplique les fichiers, le dirigeant pense être couvert, puis un rançongiciel chiffre les serveurs, supprime les snapshots accessibles et bloque l'annuaire. Le réveil est brutal.
Le verdict est simple : une sauvegarde non restaurée n'est qu'une hypothèse.
Le plan de reprise d'activité vise à remettre les systèmes critiques en service après interruption. Le plan de continuité organise le fonctionnement dégradé pendant la crise. Les backups immutables ajoutent une promesse technique : empêcher qu'une copie soit modifiée ou supprimée pendant une période donnée. Ces trois sujets se complètent, mais ils ne se confondent pas.
En 2026, la menace ransomware a changé la doctrine. Les attaquants ne visent pas seulement la production ; ils cherchent les consoles d'administration, les dépôts de sauvegarde, les identités cloud, les réplications et les comptes prestataires. Restaurer devient un exercice cyber, pas seulement informatique.
Ce n'est plus "avoir une sauvegarde". C'est prouver une capacité de reprise.
3. Cartographie des acteurs : ANSSI, CISA, NIST, MSP et direction
L'ANSSI fournit des repères français sur la sauvegarde des systèmes d'information, la gestion de crise cyber et les fondamentaux pour TPE/PME. MesServicesCyber centralise plusieurs guides opérationnels utiles pour cadrer une démarche accessible.
CISA, avec le guide #StopRansomware et plusieurs avis conjoints, insiste sur les sauvegardes hors ligne, chiffrées, testées et protégées contre les attaquants. NIST SP 800-34 structure le sujet de la contingence : analyse d'impact métier, stratégies, tests, exercices et maintenance.
La CNIL rappelle la règle 3-2-1 dans son guide de sécurité des sauvegardes, avec un enjeu de protection des données personnelles. Cybermalveillance.gouv.fr vulgarise les réflexes de sauvegarde et d'assistance pour les victimes.
Côté marché, Veeam, Sophos, Rubrik, Commvault, Acronis, Cohesity, Dell, Microsoft, AWS, Google Cloud, Azure, OVHcloud, Scaleway et les MSP jouent un rôle dans les architectures de protection. Leur discours doit être lu avec discernement : un outil aide, mais il ne remplace pas le test de restauration.
Enfin, la direction générale reste l'acteur décisif. RTO, RPO, priorités métiers, budget, mode dégradé, communication client et acceptation du risque ne relèvent pas uniquement de l'informatique.
4. Définition : PRA, PCA, backups immutables, RTO et RPO
Le plan de reprise d'activité décrit comment restaurer les systèmes, données et services après un incident majeur. Sa question centrale : comment redémarrer, dans quel ordre et sous quel délai ?
La continuité d'activité organise le maintien d'un service minimal pendant la perturbation. Elle répond à une autre question : comment continuer à servir les clients, facturer, produire ou communiquer lorsque le système nominal est indisponible ?
Une sauvegarde immuable désigne une version protégée, non modifiable et non supprimable pendant une durée définie. Elle peut s'appuyer sur du WORM, de l'object lock, un stockage hors ligne, un coffre-fort cyber ou une séparation forte des droits.
Le RTO désigne le délai maximal acceptable de reprise. Le RPO désigne la perte de données maximale acceptable. Sans RTO ni RPO, la conversation sur les sauvegardes reste abstraite.
Définition courte : le PRA restaure, le PCA maintient, l'immuabilité protège la copie de dernier recours.
5. Architecture critique : copie hors ligne, cloud, Veeam, modification, suppression et services critiques
Une architecture de résilience doit assumer plusieurs scénarios : panne simple, erreur humaine, compromission d'identité, chiffrement massif, suppression volontaire, perte fournisseur ou indisponibilité réseau. Dans ce cadre, le cloud apporte de la souplesse, mais il ne doit pas devenir l'unique zone de confiance. Une copie hors ligne ou fortement isolée garde son intérêt lorsque les comptes en ligne sont compromis.
Les rapports de marché publiés par Veeam et Sophos servent ici de signaux, pas de vérité absolue. Ils rappellent surtout que les attaquants cherchent les sauvegardes et que la restauration réelle dépend de la qualité des exercices. La bonne lecture n'est donc pas "quel outil acheter ?", mais "quelle version saine pouvons-nous récupérer si notre environnement d'administration tombe ?"
6. Pourquoi le sujet compte maintenant
Les entreprises ont longtemps pensé la sauvegarde comme une assurance contre la panne, l'erreur humaine ou le sinistre physique. Le ransomware impose une lecture différente : l'adversaire cherche activement à neutraliser les moyens de récupération.
Veeam indique dans ses analyses 2025 que les dépôts de sauvegarde sont massivement ciblés. Sophos observe de son côté une baisse du recours effectif aux backups dans les réponses ransomware enterprise. Ces chiffres ne doivent pas être lus comme des vérités universelles, mais comme des signaux convergents : posséder une sauvegarde ne garantit pas la reprise.
La dépendance SaaS renforce aussi le sujet. Microsoft 365, Google Workspace, Salesforce, Shopify, GitHub, ERP cloud, PMS hôtelier ou outils no-code contiennent des données critiques. Beaucoup d'équipes confondent haute disponibilité fournisseur et sauvegarde métier. Ce sont deux réalités différentes.
La continuité devient donc un sujet de gouvernance. Quels services doivent survivre ? Quels volumes de données peuvent être perdus ? Qui décide du mode dégradé ? Qui parle aux clients ? Qui restaure Active Directory si l'identité est compromise ?
La résilience n'est pas un achat. C'est une répétition.
7. SEO/GEO : rendre la résilience compréhensible
Pour le SEO, l'article doit répondre aux recherches "PRA PCA", "sauvegarde immuable", "backup ransomware", "RTO RPO", "3-2-1", "restauration testée", "plan de continuité PME". Les lecteurs veulent savoir quoi mettre en place et dans quel ordre.
Pour le GEO, il faut des définitions autonomes, des tableaux, des seuils datés, des acteurs nommés et des limites explicites. Les moteurs génératifs citent mieux une phrase comme : "un backup immuable protège une copie contre modification ou suppression, mais ne prouve pas à lui seul que l'entreprise sait restaurer."
Le mot clé attire. La procédure protège.
8. Méthode recommandée
8.1. Réaliser une analyse d'impact métier
On commence par le métier, pas par la console de sauvegarde. Listez les processus critiques : vente, production, réservation, facturation, paie, support, logistique, paiement, accès client, messagerie, identité, ERP, fichiers partagés.
Pour chaque processus, définissez l'impact d'une indisponibilité à 4 heures, 24 heures, 72 heures et 7 jours. Cette lecture révèle souvent que certains systèmes discrets sont plus critiques que prévu.
8.2. Fixer RTO et RPO par service
Le RTO et le RPO ne doivent pas être identiques partout. Une messagerie peut tolérer quelques heures, un système de paiement beaucoup moins, un archivage documentaire davantage. Le bon niveau dépend de l'activité.
Une PME gagne à distinguer trois classes : critique, important, différable. Cette segmentation rend le budget plus rationnel.
8.3. Construire une architecture 3-2-1 renforcée
La règle 3-2-1 reste un socle : plusieurs copies, supports distincts, au moins une version déconnectée. En contexte ransomware, beaucoup d'équipes ajoutent une version immuable ou isolée et une vérification sans erreur, proche de l'esprit 3-2-1-1-0.
Le principe importe plus que le slogan : une copie doit survivre à la compromission des identifiants de production.
8.4. Séparer les droits d'administration
Les sauvegardes doivent disposer d'identités, secrets, consoles et journaux séparés de la production. Un compte administrateur compromis ne doit pas pouvoir supprimer toutes les copies.
Active Directory, Entra ID, comptes MSP, VPN, hyperviseurs et consoles cloud doivent être traités comme des points de bascule. Une immutabilité mal administrée peut devenir contournable.
8.5. Protéger les copies immuables et hors ligne
L'immuabilité peut prendre plusieurs formes : object lock cloud, stockage WORM, appliance dédiée, bande, coffre-fort logique, exemplaire déconnecté, compte séparé, air gap opérationnel. Chaque option a ses contraintes.
Le bon design combine souvent plusieurs niveaux. Une version en ligne immuable accélère la reprise. Une version hors ligne protège certains scénarios de compromission large.
8.6. Tester la restauration
Le test doit aller au-delà de "le job est vert". On restaure un fichier, une base, une VM, un service complet, puis un enchaînement métier. On vérifie l'intégrité, les dépendances, les droits, le DNS, l'identité, les certificats, les applications et les utilisateurs.
Un test annuel minimal vaut mieux que rien. Un exercice trimestriel sur les systèmes critiques change vraiment la maturité.
8.7. Préparer le mode dégradé
Le volet continuité décrit les procédures lorsque le SI nominal tombe : prise de commande manuelle, facturation différée, messagerie de secours, contacts papier, numéro client, accès bancaire, délégation de signature, communication de crise.
Ce volet paraît moins technique. Il sauve pourtant l'activité lorsque la restauration prend plus longtemps que prévu.
8.8. Maintenir et améliorer
Chaque nouveau SaaS, site, automatisation, dépôt code, base client ou outil métier doit entrer dans le périmètre. Le dispositif de résilience se dégrade si personne ne le maintient.
La revue doit suivre les changements d'architecture, les incidents, les tests, les acquisitions d'outils et les départs d'administrateurs.
9. Conseils Logiks
Nous recommandons de commencer par un exercice de restauration ciblé avant d'acheter une nouvelle solution. Choisissez un système critique, simulez une perte, restaurez dans un environnement isolé et mesurez le délai réel. L'écart entre promesse et réalité devient immédiatement visible.
Deuxième conseil : traitez l'identité comme un système à restaurer. Beaucoup de plans oublient que les comptes, groupes, MFA, secrets, DNS et accès cloud conditionnent la reprise. Sans identité propre, les serveurs restaurés restent parfois inutilisables.
Troisième conseil : ne confondez pas réplication et sauvegarde. Une suppression, un chiffrement ou une erreur peut se répliquer très vite. La réplication améliore la disponibilité ; elle ne garantit pas une copie saine.
Quatrième conseil : écrivez une version dirigeant. En crise, la direction doit voir dix informations : systèmes touchés, scénario, RTO estimé, données perdues, options, risques juridiques, clients impactés, besoin de communication, budget exceptionnel et prochain point.
Dernier point : demandez au prestataire IT de prouver, pas seulement d'affirmer. Un rapport de restauration, une capture, un temps mesuré et une procédure valent plus qu'une case "backup OK".
La confiance se teste.
10. Grille de décision
| Option | Avantage | Limite | Bon usage | Question clé |
|---|---|---|---|---|
| Snapshot local | Restauration rapide | Exposé si l'environnement est compromis | Erreur humaine, rollback court | Qui peut le supprimer ? |
| Réplication cloud | Disponibilité améliorée | Réplique aussi certaines erreurs | Continuité technique | Existe-t-il une version saine isolée ? |
| Stockage WORM ou object lock | Protection contre modification/suppression | Mauvaise configuration possible | Copie immuable en ligne | Quelle durée de rétention ? |
| Sauvegarde hors ligne | Forte résistance à la compromission réseau | Restauration plus lente | Dernier recours ransomware | Qui détient et teste le support ? |
| Coffre-fort cyber | Isolation, contrôle, audit | Coût et complexité | Systèmes critiques | Peut-on restaurer sans domaine compromis ? |
| PRA externalisé | Expertise et capacité | Dépendance fournisseur | PME sans équipe interne forte | Le test est-il contractuel ? |
11. Erreurs fréquentes
La première erreur consiste à croire qu'un rapport de sauvegarde réussi prouve la reprise. Il prouve seulement qu'une opération s'est terminée.
La deuxième consiste à placer toutes les copies dans le même tenant, avec les mêmes comptes et les mêmes droits. L'attaquant cherche précisément cette concentration.
La troisième consiste à oublier les SaaS. Les données Microsoft 365, Google Workspace, CRM, GitHub ou Shopify sont souvent critiques, même si elles ne vivent pas sur vos serveurs.
La quatrième consiste à fixer un RTO irréaliste sans budget correspondant. Reprendre en deux heures n'a pas le même coût que reprendre en deux jours.
La cinquième consiste à ne jamais exercer le mode dégradé. Une procédure papier découverte en crise ne fonctionne presque jamais comme prévu.
12. Plan d'action 30 / 60 / 90 jours
12.1. jours : cartographier et tester un point critique
On liste les services, les données, les sauvegardes, les responsables, les RTO/RPO supposés et les comptes administrateurs. On restaure un élément critique dans un environnement isolé. Le résultat sert de vérité de départ.
12.2. jours : durcir l'architecture
On met en place une version hors ligne ou immuable, on sépare les droits, on documente les procédures, on couvre les SaaS prioritaires, on chiffre les copies pertinentes et on formalise le mode dégradé minimal.
12.3. jours : exercer et gouverner
On organise un exercice de crise ransomware avec restauration partielle, chronogramme, communication, décision dirigeant et retour d'expérience. Le plan rejoint ensuite les rituels trimestriels de sécurité et d'exploitation.
13. FAQ
13.1. Quelle différence entre PRA et PCA ?
Côté activité, le PCA maintient un service minimal pendant l'incident. Côté technique, le PRA restaure les systèmes après interruption. Le premier protège l'exploitation ; le second remet l'infrastructure en fonctionnement.
13.2. Une sauvegarde immuable suffit-elle contre ransomware ?
Non. Elle protège une version contre l'altération ou l'effacement pendant une période définie, mais elle ne garantit ni l'intégrité applicative, ni le délai de restauration, ni la disponibilité des identités nécessaires.
13.3. Faut-il encore une copie hors ligne ?
Oui pour les systèmes critiques, lorsque le risque ransomware ou compromission d'identité est sérieux. Une version déconnectée reste plus lente, mais elle peut survivre à une attaque qui touche les consoles en ligne.
13.4. À quelle fréquence tester la restauration ?
La fréquence dépend de la criticité. Les systèmes essentiels méritent des tests réguliers, parfois trimestriels. Les périmètres moins critiques peuvent être testés moins souvent, mais au moins une preuve annuelle reste un minimum prudent.
13.5. Le cloud remplace-t-il le PRA ?
Non. Le cloud apporte disponibilité, options de réplication et services de sauvegarde, mais il ne définit pas vos priorités métiers, vos RTO/RPO, vos procédures de crise ni vos tests de restauration.
13.6. Qui doit décider des RTO et RPO ?
La direction doit arbitrer avec les métiers, la DSI, la finance et le risque. L'IT peut expliquer les coûts et contraintes ; le métier doit dire quelle perte de temps et de données reste acceptable.
14. Conclusion
Un PRA/PCA moderne relie trois réalités : ce que l'entreprise doit continuer à faire, ce que le système doit restaurer et ce que les attaquants chercheront à neutraliser. Les backups immutables sont une pièce essentielle, mais ils ne remplacent pas la gouvernance, les tests et le mode dégradé.
La question n'est pas seulement "avons-nous des sauvegardes ?" La vraie question est : "que savons-nous restaurer, dans quel délai, avec quelles pertes et sous quelle autorité ?"
La sauvegarde devient résilience lorsque la restauration est prouvée.
15. Sources principales
- ANSSI / MesServicesCyber, Sauvegarde des systèmes d'information : https://messervices.cyber.gouv.fr/guides/fondamentaux-sauvegarde-systemes-dinformation
- ANSSI, PDF Sauvegarde des systèmes d'information : https://messervices.cyber.gouv.fr/documents-guides/anssi_fondamentaux_sauvegarde_systemes_dinformation_v1.1.pdf
- CISA, #StopRansomware Guide : https://www.cisa.gov/stopransomware/ransomware-guide
- CISA, #StopRansomware: RansomHub Ransomware : https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a
- NIST, SP 800-34 Rev. 1 - Contingency Planning Guide for Federal Information Systems : https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final
- CNIL, Sécurité : sauvegarder : https://www.cnil.fr/fr/securite-sauvegarder
- Veeam, communiqué 2025 Ransomware Trends : https://www.veeam.com/company/press-release/veeam-report-finds-close-to-70-percent-of-organizations-still-under-cyber-attack-despite-improved-defenses.html
- Veeam, Reactive to Proactive: Security in the Era of Cyberattacks : https://www.veeam.com/blog/proactive-cybersecurity-posture-cyberattack-defense.html
- Sophos, The State of Ransomware in Enterprise 2025 : https://www.sophos.com/en-us/blog/the-state-of-ransomware-in-enterprise-2025