Sauvegardes : le test de restauration que personne ne fait

Fin mai 2021, l’administration communale de Rolle, au bord du Léman, est victime d’un rançongiciel du groupe Vice Society. En août, un spécialiste découvre sur le darknet un simple fichier Excel : l’identité, les numéros AVS, les données fiscales et les coordonnées de 5 393 habitants, en libre accès. Une commune de 6 000 habitants : l’échelle exacte d’une PME romande, avec les mêmes moyens informatiques et les mêmes attaquants en face.

Cinq ans plus tard, la menace n’a pas faibli. L’Office fédéral de la cybersécurité a enregistré près de 65 000 annonces de cyberincidents en 2025, en hausse de 3 % sur un an. Depuis le 1er avril 2025, les exploitants d’infrastructures critiques ont l’obligation légale de signaler toute cyberattaque dans les 24 heures ; plusieurs centaines de signalements ont déjà été déposés. Les PME n’y sont pas soumises, mais les enquêtes menées par gfs-zürich pour digitalswitzerland et la Mobilière donnent la mesure : environ une petite entreprise sur trois a déjà été touchée.

Le paradoxe suisse : on sauvegarde, on ne teste pas

Ces mêmes études révèlent un paradoxe. Les mesures techniques sont largement répandues (la plupart des PME font des sauvegardes régulières), mais les mesures organisationnelles sont négligées : plans d’urgence, exercices, formation. Autrement dit : la cassette existe, personne n’a jamais vérifié qu’elle se lit.

C’est exactement là que les attaques modernes frappent. Un rançongiciel actuel ne chiffre pas que les serveurs de production : il cherche d’abord les sauvegardes accessibles depuis le réseau et les détruit. Un NAS de sauvegarde connecté en permanence, dans le même local que le serveur, n’est pas une sauvegarde : c’est une copie qui brûlera, ou sera chiffrée, en même temps que l’original.

La règle, puis le test

La règle 3-2-1 tient en une phrase : trois copies de vos données, sur deux types de supports, dont une hors de vos murs, et, version 2026, dont une hors ligne ou immuable, c’est-à-dire impossible à modifier même avec des accès administrateur volés.

Mais la règle ne vaut que testée. Une fois par trimestre, chronomètre en main :

1. Un fichier au hasard : demandé par quelqu’un d’autre que la personne qui gère les sauvegardes ;
2. Un dossier complet : avec ses droits d’accès ;
3. Une machine entière : restaurée sur du matériel vierge, démarrée, utilisable.

Trois questions à la fin. Tout est-il revenu, intact ? Combien de temps cela a-t-il pris, et ce délai est-il acceptable pour la paie, la facturation, les dossiers clients ? Et surtout : qui a su le faire ? Si la réponse est « une seule personne », vous n’avez pas un plan, vous avez une dépendance.

Ce que ça coûte, ce que ça évite

Une demi-journée par trimestre, deux jours par an. En face : à Rolle, l’attaque a coûté des mois de gestion de crise, une commission d’enquête, et une atteinte durable à la confiance. Les données, elles, sont toujours sur le darknet, car une fuite ne se « restaure » pas. La nLPD, en vigueur depuis 2023, exige du reste de toute organisation une sécurité « appropriée au risque » : un test de restauration documenté est précisément le genre de preuve qui démontre, avant et après un incident, que vous avez pris le risque au sérieux.

C’est, de très loin, l’assurance la moins chère du marché.