Tutoriel express : créer une sauvegarde hors ligne sécurisée (air-gapped) en une heure

Une sauvegarde « air-gapped » (hors ligne, physiquement déconnectée) fait partie des protections les plus efficaces contre les ransomwares, certaines erreurs humaines et une partie des sinistres. Le principe est simple : conserver une copie de vos données critiques sur un support qui n’est pas accessible en continu, ni depuis Internet ni, idéalement, depuis votre réseau interne. Pour être réellement utile, cette copie doit être restaurable, chiffrée, testée et correctement stockée. Ce guide vous propose une méthode rapide, reproductible et pragmatique, réalisable en environ une heure selon le volume de données.

Avant de commencer : objectifs et périmètre (5 minutes)

Une sauvegarde hors ligne n’a pas vocation à tout copier « au cas où », mais à protéger ce qui est indispensable à la continuité d’activité. Il s’agit généralement des documents métiers, exports comptables, données clients, dossiers projets, modèles, clés et paramètres d’applications, ainsi que des éléments nécessaires à une restauration cohérente comme les dumps de bases de données, exports applicatifs, licences, fichiers de configuration et procédures. Définissez clairement ce que vous sauvegardez, à quelle fréquence et avec quel niveau d’exigence, en vous appuyant sur deux repères opérationnels : le RPO, c’est-à-dire la perte de données maximale acceptable, et le RTO, c’est-à-dire le temps maximal acceptable pour remettre en service. Enfin, décidez dès le départ où seront stockés les supports, sur site et, si possible, avec une copie hors site.

Pour éviter les oublis, maintenez une liste courte et stable des « données critiques » qui fait foi. Cette liste doit préciser les sources exactes et, surtout, les prérequis de restauration : sans export cohérent ni information sur la manière de reconstruire un service, une copie de fichiers peut s’avérer inutilisable le jour où vous en aurez besoin.

Choisir le bon support hors ligne (10 minutes)

Le bon support air-gapped est celui que vous pouvez déconnecter facilement, ranger proprement, retrouver rapidement et renouveler sans complexité. Un SSD externe est souvent le meilleur compromis pour des sauvegardes régulières grâce à sa rapidité et sa résistance aux chocs. Un disque dur externe offre de grandes capacités à moindre coût, mais il est plus sensible aux chutes et aux vibrations. Les clés USB peuvent convenir pour de petits volumes, mais leur endurance et leur fiabilité varient fortement selon les modèles. Les bandes LTO restent une référence pour l’archivage long terme, mais elles demandent un matériel dédié et une organisation moins « express ».

Si votre risque principal est le ransomware, la rotation de supports est essentielle. Utiliser au minimum deux supports alternés réduit le risque de découvrir trop tard qu’une sauvegarde a été chiffrée, corrompue ou incomplète. Dans l’idéal, inscrivez cette pratique dans une logique plus globale de type « 3-2-1 » : conserver les données en production, disposer d’au moins deux copies de sauvegarde sur des supports distincts, et garder au moins une copie hors site ou réellement hors ligne. L’air-gap est un excellent composant de résilience, mais il ne remplace pas à lui seul une stratégie complète.

Chiffrer le support : VeraCrypt (Windows/macOS/Linux) ou LUKS (Linux) (20 minutes)

Une sauvegarde hors ligne protège contre l’effacement et le chiffrement malveillant, mais elle ne protège pas automatiquement la confidentialité. En cas de perte ou de vol du support, le chiffrement est indispensable. VeraCrypt est une option courante et multi-plateforme, adaptée pour chiffrer un disque entier ou un conteneur. Pour un usage opérationnel, le chiffrement du volume complet simplifie l’exploitation : le support reste inutilisable sans mot de passe. Sous Linux, LUKS via cryptsetup est un standard robuste et bien intégré.

Le point critique n’est pas seulement de chiffrer, mais de garantir la restaurabilité en situation dégradée. Choisissez une phrase de passe longue, gérez-la avec une procédure claire et assurez-vous qu’au moins deux personnes habilitées peuvent accéder au secret selon des règles définies. Testez immédiatement le montage et le démontage du volume chiffré avant d’y déposer des données, puis vérifiez que vous savez reproduire l’opération sur un autre poste si celui utilisé habituellement est indisponible. Le jour d’une crise, l’obstacle le plus fréquent n’est pas la copie, mais l’accès au support, aux outils et aux droits nécessaires.

Réaliser la copie : méthode simple, rapide et vérifiable (15 minutes)

L’objectif est d’obtenir une sauvegarde restaurable, pas une simple duplication approximative. Connectez le support uniquement pendant l’opération, déverrouillez le volume chiffré, puis copiez les données critiques dans une arborescence explicite, datée, et stable dans le temps. Ajoutez un fichier texte de type README qui indique la date, la source, la personne ou le système ayant effectué la sauvegarde, le périmètre exact, l’outil utilisé, et les exclusions éventuelles. Cette trace est précieuse quand il faut agir vite, parfois par quelqu’un qui n’a pas réalisé la sauvegarde.

La vérification doit aller au-delà d’un ressenti. Ouvrez quelques fichiers représentatifs directement depuis le support et conservez, si possible, un journal de copie. Sur Windows, Robocopy permet une synchronisation robuste avec log. Sur Linux et macOS, rsync est un standard, et l’usage de checksums peut renforcer la confiance si les volumes sont importants ou si l’intégrité est critique. Enfin, soyez particulièrement vigilant avec les applications et bases de données : une copie « à chaud » de fichiers applicatifs peut être inutilisable. Privilégiez les exports cohérents et procédures recommandées par l’éditeur, faute de quoi la restauration peut échouer malgré une sauvegarde apparemment complète.

Déconnecter proprement et sécuriser le stockage physique (5 minutes)

Une sauvegarde n’est air-gapped que si le support est réellement déconnecté. Éjectez proprement le volume pour éviter la corruption, puis débranchez physiquement le support. Identifiez-le clairement avec un nom de rotation et un repère de date, et stockez-le dans un lieu sécurisé avec contrôle d’accès, idéalement dans un contenant adapté au risque. Pour limiter l’impact d’un sinistre local comme un incendie ou un dégât des eaux, une rotation hors site apporte un gain décisif. Dans les contextes sensibles, tracez les mouvements de supports afin de savoir qui a pris ou rapporté quel support et quand, car la sécurité physique fait partie intégrante de la fiabilité.

Checklist express de sécurité (à appliquer à chaque sauvegarde)

Le support doit rester connecté uniquement pendant la fenêtre de sauvegarde, puis être physiquement débranché. Le volume doit être chiffré, et l’accès au secret doit reposer sur une procédure réelle, accessible et testée. Le périmètre de sauvegarde doit inclure les dossiers critiques et les exports applicatifs nécessaires à la restauration, et une vérification minimale de lecture doit être effectuée avec conservation d’un log lorsque c’est possible. La rotation entre supports doit être respectée afin de disposer de plusieurs points de restauration, et un test de restauration doit être planifié à intervalle régulier. Enfin, la sauvegarde doit rester exploitable par une autre personne que celle qui l’a produite, grâce à un README et une procédure de restauration simple, disponible et à jour.

Maintenir la fiabilité dans le temps (et éviter les pièges)

La majorité des échecs viennent d’une illusion de sécurité : on sauvegarde, mais on ne restaure jamais. Planifiez donc des tests réguliers, même partiels, pour vérifier l’intégrité, la lisibilité, la complétude et l’adéquation métier des données restaurées. Périodiquement, réalisez un exercice plus complet sur une machine isolée afin de confirmer que la procédure fonctionne réellement, y compris avec les dépendances applicatives et les prérequis d’accès. Sur la durée, surveillez aussi l’obsolescence : câbles, adaptateurs, formats, compatibilités, ainsi que l’état des supports. Un disque externe reste un consommable ; remplacez-le en cas de comportement anormal ou selon un cycle défini.

Pour cadrer la démarche au-delà du seul geste de sauvegarde, un référentiel comme le NIST Cybersecurity Framework peut servir de fil conducteur : identifier ce qui compte, protéger, détecter, répondre et restaurer. L’enjeu n’est pas de complexifier, mais de rendre la routine fiable.

Conclusion

Une sauvegarde air-gapped n’a de valeur que si elle est déconnectée, chiffrée, vérifiée et testée, avec une rotation de supports et un stockage physique cohérent avec vos risques. Clarifiez d’abord le périmètre et les exigences de reprise, automatisez autant que possible la copie avec des journaux, documentez ce qui a été fait, puis ancrez un rituel de tests de restauration. C’est cette discipline, plus que le support lui-même, qui transforme une simple copie hors ligne en véritable assurance opérationnelle face aux ransomwares et aux incidents.