Tutoriel express : créer une sauvegarde hors ligne sécurisée en moins d’une heure

Une sauvegarde « air-gapped » — hors ligne et physiquement déconnectée — reste l’une des protections les plus efficaces contre les rançongiciels, de nombreuses erreurs humaines et certains sinistres courants comme la panne, le vol d’un poste ou la corruption logique. L’objectif ici est volontairement pragmatique : mettre en place en moins d’une heure une copie chiffrée de vos fichiers critiques sur un support que vous pourrez débrancher et conserver en sécurité. Il faut toutefois garder en tête qu’une sauvegarde hors ligne n’est pas une garantie absolue : elle réduit fortement le risque de destruction simultanée des données et de la sauvegarde, mais elle n’a de valeur que si vous pouvez restaurer vite et de façon fiable.

1) Ce que vous allez faire (et pourquoi ça marche)

Le principe est simple : copier vos données importantes sur un support dédié, chiffrer cette sauvegarde, puis déconnecter physiquement le support. Tant que le support est débranché, un poste compromis ne peut généralement pas chiffrer, supprimer ou altérer cette copie, car le rançongiciel n’y a pas accès. Cette approche est particulièrement pertinente pour les petites structures qui n’ont pas de solution de sauvegarde centralisée, à condition d’appliquer quelques réflexes indispensables : chiffrement, vérification, traçabilité, rotation et test de restauration.

Ce guide s’adresse à un public débutant en environnement professionnel. Il n’a pas vocation à remplacer une stratégie complète de continuité d’activité, mais à fournir une base saine, rapide à déployer, et surtout exploitable le jour où l’on en a besoin.

2) Préparer le matériel (5 à 10 minutes)

Choisissez un support adapté au volume à protéger et à la fréquence de sauvegarde. Un SSD externe est rapide et robuste, mais plus coûteux. Un disque dur externe offre un excellent rapport capacité/prix pour les volumes importants. Une clé USB peut convenir à de petits ensembles de fichiers, à condition de choisir un modèle fiable et suffisamment endurant, car les clés bas de gamme sont une source fréquente de sauvegardes incomplètes ou instables.

En contexte entreprise, l’option la plus raisonnable consiste à utiliser deux supports en alternance. Cette simple rotation réduit fortement l’impact d’un disque défaillant, d’une copie interrompue, ou d’un problème découvert tardivement. Si le risque d’incendie ou de vol est crédible, prévoyez aussi qu’au moins une sauvegarde soit stockée hors site, dans un lieu sécurisé et distinct du poste de travail.

3) Définir le périmètre : quoi sauvegarder exactement ? (5 minutes)

Pour rester dans un format « moins d’une heure », concentrez-vous sur l’essentiel. Priorisez les dossiers projets en cours et leurs livrables, les documents comptables et administratifs indispensables, les fichiers métiers ou exports de bases de données lorsque c’est pertinent, ainsi que les éléments réellement nécessaires à la reprise (procédures internes, gabarits, paramètres ou configurations critiques). Les coffres de gestionnaires de mots de passe ne doivent être inclus que si votre politique interne l’autorise et si la méthode retenue ne crée pas plus de risques qu’elle n’en résout, notamment en matière de contrôle d’accès et de récupération.

Évitez de cloner l’intégralité d’un poste sans méthode. Cela allonge la durée, embarque beaucoup de données inutiles, et complexifie la restauration. L’idée est d’obtenir rapidement une sauvegarde utile et maîtrisée, quitte à élargir le périmètre plus tard ou à basculer vers un outil dédié si la cadence devient régulière.

4) Chiffrer le support ou la sauvegarde (10 à 20 minutes)

Le chiffrement est indispensable dès que le support sort d’un poste : il protège vos données en cas de perte ou de vol. La méthode la plus simple et la plus fiable consiste à chiffrer l’intégralité du support, car tout ce qui y sera copié bénéficiera automatiquement de la protection. Le chiffrement d’une archive (ZIP/7z) reste possible lorsque le chiffrement complet n’est pas envisageable, mais il demande davantage de rigueur : il faut recréer l’archive, contrôler l’historique, et éviter l’erreur classique consistant à copier de nouveaux fichiers sans mettre à jour l’archive chiffrée.

Le point le plus critique n’est pas technique mais organisationnel : documentez précisément où se trouve la clé de récupération ou la phrase de passe, qui peut y accéder, et comment la récupérer en cas d’urgence. Une sauvegarde chiffrée sans procédure de récupération est une sauvegarde potentiellement perdue.

Option A (Windows Pro/Entreprise) : BitLocker sur le disque externe

1. Branchez le disque.
2. Dans l’explorateur Windows : clic droit sur le disque > Activer BitLocker.
3. Définissez une phrase de passe robuste et conservez la clé de récupération dans un emplacement sécurisé, distinct du poste sauvegardé (coffre-fort numérique d’entreprise, gestion IT, procédure papier scellée selon politique interne).
4. Lancez le chiffrement et attendez la fin de l’opération.

Si le support doit être utilisé sur d’autres machines, vérifiez en amont que la procédure de déverrouillage est connue et que les postes cibles sont compatibles. Cette vérification évite de découvrir, au moment de l’incident, qu’aucun poste ne peut ouvrir la sauvegarde.

Option B (macOS) : chiffrement via Utilitaire de disque (APFS chiffré)

1. Ouvrez Utilitaire de disque.
2. Initialisez le support en APFS (chiffré), ou en Mac OS étendu (journalisé, chiffré) si vous avez une contrainte de compatibilité.
3. Définissez une phrase de passe solide et formalisez la méthode de récupération, avec un stockage sécurisé de cette information.

Option C (multi-plateforme) : archive chiffrée

Créez une archive chiffrée avec un outil reconnu, définissez un mot de passe robuste et testez l’ouverture ainsi que l’extraction d’un fichier. Cette option est acceptable pour des ensembles modestes et des besoins ponctuels, mais elle devient vite fragile si l’on cherche à conserver un historique ou à automatiser, car l’oubli de mise à jour est fréquent.

5) Lancer la copie et vérifier (15 à 20 minutes)

Copiez les dossiers retenus vers le support chiffré. Une fois terminé, ne vous contentez pas du fait que « la copie a l’air passée » : faites une vérification minimale mais réelle. Ouvrez quelques fichiers représentatifs directement depuis le support, contrôlez que les répertoires attendus sont bien présents, et assurez-vous que la taille globale n’est pas manifestement incohérente. Si vous utilisez une archive chiffrée, testez explicitement l’ouverture et l’extraction.

La seule preuve fiable reste la restauration. Idéalement, restaurez un petit dossier de test dans un autre emplacement, voire sur une autre machine, pour valider que le processus est reproductible et que la clé ou la phrase de passe est effectivement disponible selon la procédure prévue.

6) Déconnecter, étiqueter, stocker : la partie souvent oubliée (5 minutes)

Une fois la sauvegarde vérifiée, éjectez correctement le support, débranchez-le et considérez cette déconnexion comme une étape obligatoire du processus. Étiquetez le support de façon claire, en indiquant le type de sauvegarde hors ligne, l’identifiant du disque (A/B), la date et le périmètre couvert. Stockez-le ensuite dans un endroit fermé et approprié, et si possible dans une logique de séparation physique, avec au moins une rotation hors site lorsque c’est réaliste.

L’erreur la plus courante consiste à laisser le disque branché « par confort ». C’est précisément ce qui annule la protection apportée par l’air-gap : un support connecté finit tôt ou tard accessible à un incident, une erreur ou un logiciel malveillant.

7) Mettre en place une mini-rotation (simple mais efficace)

Une rotation à deux disques suffit souvent à augmenter fortement la résilience. Alternez les supports d’une période à l’autre (par exemple chaque semaine) afin de disposer en permanence d’au moins une copie récente hors ligne et d’une copie antérieure. Cette alternance protège mieux qu’un disque unique contre la défaillance matérielle, mais aussi contre les suppressions ou corruptions qui ne sont détectées qu’après plusieurs jours.

Si votre activité le permet, conservez ponctuellement un point plus ancien en mettant de côté un support ou une sauvegarde sur une durée plus longue. C’est souvent ce qui fait la différence quand la corruption de données ou une suppression a été silencieuse et découverte tardivement.

8) Bonnes pratiques anti-ransomware (à garder en tête)

La sauvegarde hors ligne est une brique essentielle, mais elle ne remplace ni la prévention ni la capacité à reprendre rapidement. Mises à jour, moindre privilège, authentification multifacteur, sensibilisation, séparation des usages et maîtrise des accès restent déterminants pour limiter la probabilité d’incident et en réduire l’impact opérationnel. Pour un cadre de référence reconnu et concret, la ressource de la CISA reste une bonne base : https://www.cisa.gov/stopransomware/ransomware-guide.

Gardez aussi à l’esprit la principale limite de l’air-gap : il protège surtout la sauvegarde lorsqu’elle est déconnectée. Pendant la fenêtre où le support est branché pour copier, un poste compromis peut toujours tenter d’altérer la sauvegarde. La discipline de branchement, la rotation et les tests de restauration sont donc aussi importants que le chiffrement.

9) Pour aller plus loin sur SauvegardeDeFichiers.fr

Si vous souhaitez comparer les approches courantes (disque externe, NAS, cloud) et mieux comprendre les compromis entre simplicité, automatisation et risques, vous pouvez lire : Trois méthodes de sauvegarde de fichiers pour les toutes petites entreprises.

Checklist express (résumé)

Choisissez un support dédié, idéalement en double pour alterner, puis définissez un périmètre clair centré sur les données vitales. Chiffrez le support ou la sauvegarde et sécurisez la récupération de la clé hors du poste sauvegardé. Copiez, vérifiez par l’ouverture de fichiers et validez au moins une restauration de test. Enfin, débranchez systématiquement, étiquetez sans ambiguïté, stockez en lieu sûr et répétez selon un rythme stable, en conservant de temps en temps un point plus ancien.

Au final, une sauvegarde air-gapped n’a pas besoin d’être sophistiquée pour être efficace : elle doit être chiffrée, vérifiable et réellement hors ligne. La meilleure action clé est de transformer ce geste en routine : sauvegarder, tester, débrancher, stocker. C’est cette discipline, plus que l’outil, qui fait la différence le jour où l’incident survient.