Tutoriel express : créer une sauvegarde hors ligne sécurisée (air-gapped) en 60 minutes

Une sauvegarde hors ligne, dite air-gapped, consiste à copier vos données sur un support physique puis à le déconnecter totalement du réseau et de tout poste de travail. C’est l’une des protections les plus efficaces contre les ransomwares et, plus largement, contre tout scénario où une compromission à distance, une erreur de manipulation ou une synchronisation malheureuse propage la perte sur l’ensemble de votre système d’information. En revanche, l’air-gap n’est pas une solution “magique” : si la copie est incomplète, si elle est corrompue, si personne ne sait la restaurer ou si elle est volée sans chiffrement, elle ne vous sauvera pas. L’objectif de ce tutoriel express est donc d’obtenir une sauvegarde déconnectée, chiffrée et réellement restaurable, prête à être rangée en sécurité, en environ une heure selon le volume de données.

Objectif et périmètre (5 minutes)

Objectif : disposer d’une copie complète, chiffrée et restaurable des données critiques sur un support qui sera débranché dès la fin de l’opération.

Pour démarrer sans se disperser, le périmètre doit couvrir ce qui permet à l’entreprise de redémarrer concrètement après incident, pas seulement ce qui “semble important”. Visez en priorité les dossiers métiers (projets, comptabilité, RH, contrats), les exports de bases de données lorsque c’est applicable, ainsi que les configurations indispensables à une remise en service (VPN, pare-feu, applications, scripts, paramètres). Ajoutez ce qui est nécessaire pour reconstruire l’environnement sans improviser sous stress : informations de support éditeur, références de licences et numéros de série, et un dossier restauration clair décrivant la procédure. Les identifiants et secrets ne doivent jamais être stockés en clair dans la sauvegarde ; privilégiez un gestionnaire de mots de passe et une procédure d’accès d’urgence séparée et maîtrisée.

Si vous hésitez sur quoi inclure, appliquez un critère opérationnel simple : si on le perd demain matin, l’activité s’arrête ou redémarre en mode dégradé pendant des jours. Ces éléments doivent entrer dans l’air-gap, sans discussion. Enfin, n’oubliez pas que beaucoup d’organisations dépendent de services “non fichiers” (messagerie, CRM, facturation, outils SaaS) : l’air-gap peut et doit intégrer des exports réguliers quand ces services sont critiques.

Choisir le bon support : HDD, SSD ou clé USB (10 minutes)

Le support conditionne à la fois la fiabilité et la discipline d’usage. Un disque dur externe (HDD) offre de grandes capacités à coût contenu et convient bien aux gros volumes, mais reste plus sensible aux chocs et à l’usure mécanique. Un SSD externe est plus rapide et généralement plus robuste en transport, souvent plus cher à capacité équivalente, et peut lui aussi tomber en panne sans signes avant-coureurs. Les clés USB, malgré leur praticité, ont une qualité très variable et ne devraient servir qu’à de petits volumes, à un kit de récupération, ou à des cas très spécifiques, jamais comme unique sauvegarde de données critiques.

Pour un démarrage rapide et sérieux, un SSD externe de 1 à 2 To convient si votre volume est raisonnable ; au-delà, un HDD externe de 4 à 8 To d’une marque reconnue est souvent plus rationnel. Le point clé, souvent négligé, est la redondance : prévoir au moins deux supports en rotation (A/B) limite fortement le risque de défaillance d’un disque, de perte, ou de corruption silencieuse qui passerait inaperçue.

Enfin, il faut garder en tête les limites du modèle : l’air-gap protège surtout contre les attaques et erreurs qui se propagent via le réseau, mais ne protège pas contre le vol, l’incendie ou le dégât des eaux. Quand c’est possible, organisez une copie conservée hors site (rotation entre deux lieux) ; c’est souvent la différence entre une reprise rapide et un incident majeur.

Étape 1 : préparer le poste “de sauvegarde” (5 minutes)

Une sauvegarde air-gapped est aussi sûre que la machine qui la réalise. Si le poste est compromis, le support peut être chiffré ou contaminé au moment du branchement. Travaillez depuis un environnement propre et maîtrisé : système à jour, analyse antivirus/EDR récente, exécution automatique des périphériques désactivée lorsque c’est possible, et usage quotidien sous compte non administrateur avec élévation ponctuelle uniquement si nécessaire. Idéalement, la copie se fait depuis un poste dédié ou, à défaut, depuis un poste “admin” séparé des usages bureautiques habituels et exposés.

Étape 2 : chiffrer le support (15 minutes) avec VeraCrypt (Windows/macOS/Linux)

Le chiffrement n’est pas optionnel : un support déconnecté est précisément un objet que l’on transporte et que l’on range, donc un objet qui peut être perdu ou volé. Une solution multiplateforme simple est VeraCrypt. Téléchargez-le uniquement depuis une source officielle et, si votre organisation le permet, vérifiez l’intégrité ou la signature du fichier ; cela évite de transformer la protection en vecteur d’infection.

Le principe est de chiffrer le disque externe ou une partition avec un mot de passe robuste. Branchez le support, ouvrez VeraCrypt et lancez la création d’un volume en choisissant le chiffrement d’un disque/partition non système, puis sélectionnez le bon périphérique en vérifiant deux fois pour éviter toute erreur destructrice. Les paramètres par défaut (souvent AES) conviennent très bien dans la majorité des cas. Définissez un mot de passe long, idéalement 20 caractères ou plus, et surtout mettez en place une gestion réaliste de ce secret : stockage dans un gestionnaire de mots de passe, et procédure d’accès d’urgence ne dépendant pas d’une seule personne (coffre, enveloppe scellée, ou processus interne documenté). Pour le format, exFAT facilite la compatibilité Windows/macOS, tandis que NTFS se justifie en environnement Windows uniquement.

Des alternatives existent et peuvent être préférables selon le contexte : BitLocker sur Windows (intégré et simple à administrer) ou LUKS sur Linux. Si vous devez circuler entre plusieurs systèmes, VeraCrypt reste souvent le choix le plus universel.

Étape 3 : copier les données (20 minutes) sans se piéger

La copie “miroir” est intuitive, mais elle peut répliquer une suppression ou une altération si vous écrasez systématiquement la sauvegarde précédente. À l’inverse, une copie versionnée protège mieux contre les erreurs et les modifications malveillantes, au prix d’un peu plus d’espace et d’organisation. Dans un tutoriel express, l’approche la plus robuste consiste à créer une sauvegarde datée à chaque session afin de conserver des points de retour sans complexité excessive.

Créez à la racine du volume chiffré un dossier daté, par exemple BACKUP_YYYY-MM-DD, puis copiez-y les données définies dans votre périmètre. Lorsque c’est pertinent, utilisez un outil qui conserve les attributs et la structure (droits, dates, arborescence) afin de faciliter une restauration fidèle. Ajoutez ensuite un fichier README_RESTAURATION.txt qui décrit clairement ce qui a été sauvegardé, d’où cela provient, comment monter le volume chiffré et comment restaurer, avec un contact interne en cas d’urgence. En situation de crise, la différence entre une sauvegarde “présente” et une sauvegarde “utilisable” tient souvent à ce document.

Pour éviter les confusions, notez également la version de l’outil utilisé, le nom du support (A ou B) et la date/heure de fin de copie. Et si votre activité dépend de services SaaS, ajoutez leurs exports dans la même logique : une sauvegarde hors ligne peut parfaitement contenir des exports réguliers (CSV, formats natifs, archives de messagerie) qui permettront de redémarrer même en cas d’indisponibilité ou de compromission du compte cloud.

Étape 4 : vérifier l’intégrité (5 à 10 minutes)

Une sauvegarde non vérifiée reste une hypothèse. Au minimum, ouvrez plusieurs fichiers représentatifs directement depuis le support monté, vérifiez quelques tailles de répertoires, et, si possible, comparez une empreinte (hash) d’un fichier volumineux côté source et côté sauvegarde. L’idéal est de réaliser un mini test de restauration en recopiant un dossier vers un emplacement temporaire et en validant son exploitation réelle. L’objectif est simple : prouver que vous savez restaurer, pas seulement que vous savez copier.

Étape 5 : déconnecter et stocker physiquement (5 minutes)

La règle d’or de l’air-gap est non négociable : le support doit être débranché lorsqu’il ne sert pas, sinon il redevient exposé. Éjectez-le proprement pour réduire le risque de corruption, rangez-le dans une protection antichoc, évitez chaleur et humidité, et stockez-le dans un lieu fermé et contrôlé (armoire, coffre). Si vous pouvez, privilégiez un stockage hors site par rotation, car c’est la meilleure réponse aux sinistres physiques.

Étiquetez de façon utile sans révéler le contenu, par exemple “Archive A – mois 07”, et mettez en place une rotation A/B : pendant que le disque A est stocké, la prochaine sauvegarde se fait sur le disque B. Cette discipline réduit fortement le risque qu’un incident discret (corruption, suppression, chiffrement) rende toutes vos copies inutilisables en même temps.

Checklist de sécurité (à cocher)

Le support est chiffré avec une solution éprouvée et le mot de passe est robuste, stocké de manière sûre avec une procédure d’accès d’urgence qui ne dépend pas d’une seule personne. La sauvegarde est datée et documentée, et un test d’ouverture ou, mieux, un test de restauration a été réalisé. Le support est débranché après usage, stocké physiquement de façon sécurisée, idéalement avec une copie hors site. Une rotation A/B est planifiée avec une fréquence définie, et la liste des données incluses ou exclues est connue et revue périodiquement.

Aller plus loin : bâtir une stratégie complète

L’air-gap est une excellente ligne de dernier recours, mais il ne remplace pas une stratégie globale. La bonne approche consiste à combiner des sauvegardes régulières adaptées à votre contexte (locales, NAS, cloud), une copie déconnectée chiffrée, et des tests de restauration planifiés. Pour comparer les options et poser les bases d’une démarche plus large, vous pouvez consulter cet article interne : Comment choisir une solution de sauvegarde de fichier en ligne.

En pratique, la différence entre une organisation résiliente et une organisation vulnérable tient à trois réflexes simples : définir un périmètre réellement critique, chiffrer et isoler la copie, puis vérifier régulièrement que la restauration fonctionne. Si ces actions deviennent une routine, un incident cyber ou un sinistre ne sera plus un scénario de paralysie, mais un événement maîtrisable avec un plan de reprise concret.