Une sauvegarde ne sert pas uniquement à récupérer un fichier supprimé par erreur. Elle est essentielle pour redémarrer l’activité après un incident majeur : panne technique, erreur humaine, sinistre ou cyberattaque de type rançongiciel. L’objectif est simple : conserver des copies fiables des données, disponibles au moment où elles sont nécessaires.

La méthode 3-2-1-1-0

L’ANSSI recommande de s’appuyer sur une stratégie de sauvegarde robuste, souvent résumée par la règle 3-2-1-1-0 :

• 3 copies des données : les données de production et deux sauvegardes ;
• sur 2 types de supports différents ;
• dont 1 copie hors site, stockée dans un lieu distinct ;
• dont 1 copie hors ligne ou, à défaut, immuable et fortement isolée ;
• avec 0 erreur, vérifiée grâce à des tests de restauration réguliers.

La copie hors ligne est la meilleure protection contre les rançongiciels, car elle ne peut pas être atteinte depuis le système d’information. Lorsqu’elle n’est pas possible, une sauvegarde cloud peut être utilisée si elle est protégée contre toute modification ou suppression malveillante.

NIS 2 : sauvegarder ne suffit pas

La directive européenne NIS 2 renforce les exigences de cybersécurité. En France, le Référentiel Cyber France (ReCyF) rappelle notamment que les organisations concernées doivent disposer de mécanismes de sauvegarde et de restauration opérationnels.

Ces mécanismes doivent être adaptés aux besoins de l’activité, protégés contre les cyberattaques et testés au minimum une fois par an. Il ne suffit donc pas de sauvegarder : il faut aussi s’assurer que les données peuvent être restaurées efficacement.

Les solutions Azure

1.Azure Backup

Azure Backup est le service managé Microsoft pour centraliser, automatiser et superviser les sauvegardes. Il couvre :

• VMs, disques, Azure Files (SMB), Azure Blobs, SQL in VM, PostgreSQL Flexible Server
• Des politiques configurables (fréquence, horaires, rétention)
• Des coffres (vaults) comme point de stockage sécurisé

Trois niveaux de redondance sont disponibles pour les copies :

• LRS – 3 copies dans un même datacenter (local, moins cher)
• ZRS – 3 copies réparties sur 3 datacenters d’une même région
• GRS – 3 copies en région primaire + 3 copies en région secondaire (paire, ex. France

Centrale ↔ France Sud)

2. Copie hors site — GRS + Vaulted Backups

Le mode GRS (Geo-Redundant Storage) assure automatiquement une copie hors site géographique (France Sud si région principale = France Centrale). C’est le levier principal pour satisfaire le « 1 copie hors site » de la règle.
En 2026, de nouvelles fonctionnalités de Vaulted Backups sont disponibles ou en cours de déploiement : sauvegardes externalisées en coffre pour PostgreSQL Flexible, Azure Data Lake (ADLS Gen 2), Azure Files et Azure Blob.

⚠️ Limite importante : une sauvegarde en GRS reste une copie en ligne. Elle n’est pas physiquement déconnectée. Pour l’ANSSI, cela ne suffit pas seul à constituer une copie « horsligne».

3. Immutabilité — Coffres immuables + Soft Delete (WORM)

Azure Backup propose nativement deux mécanismes fondamentaux contre la corruption ou la suppression malveillante :

• immutabilité des coffres : les données de sauvegarde ne peuvent pas être modifiées ni supprimées pendant la période de rétention définie. C’est l’équivalent cloud du stockage WORM (Write Once, Read Many) exigé par l’ANSSI.
• Suppression réversible (Soft Delete) : toute tentative de suppression est différée,

permettant une récupération en cas d’erreur ou d’attaque.

• Multi-User Authorization (MUA) : une action critique sur le coffre nécessite la validation d’un second administrateur.

4. Isolation — Modern Air Gap & cloisonnement

Azure Backup s’appuie sur le concept de “Modern Air Gap” : une isolation logique forte par opposition au traditionnel Air Gap physique.

Concrètement, cela repose sur :

• L’isolation entre les VM (données) et l’infrastructure de sauvegarde : un ransomware dans une VM ne peut pas corrompre les sauvegardes du coffre
• Private Endpoints : les flux de sauvegarde transitent sur le réseau privé, sans exposition internet
• RBAC : accès aux opérations de sauvegarde découplé de l’accès aux données
• Chiffrement des sauvegardes et contrôle d’intégrité intégré

Les mécanismes d’immutabilité, d’isolation et de séparation des rôles permettent de mieux protéger les sauvegardes Azure contre une compromission de l’environnement de production.

⚠️ Point d’attention : le niveau d’archivage (archive tier) n’est pas une copie hors-ligne. Les données restent accessibles par le service et ne sont pas physiquement déconnectées.

5.Vrai Air Gap physique — MARS + Azure Data Box (cas particulier)

Pour les organisations nécessitant un véritable air gap physique (support déconnecté), Azure propose un scénario avancé :

1. L’agent MARS (ou MABS) sauvegarde les données vers une Azure Data Box (via NFS)
2. La Data Box est transportée physiquement vers un datacenter Azure
3. Les données sont déchargées dans un blob isolé puis transférées vers un coffre

⚠️Limites connues : ce scénario n’est supporté que pour les VM uniquement, sa mise en oeuvre est complexe et coûteuse (temps homme, logistique, coûts de stockage), et n’a à ce jour pas encore été déployée dans les environnements connus.

6.PRA — Azure Site Recovery (ASR)

Azure Site Recovery est le service dédié à la continuité d’activité et au Plan de Reprise d’Activité (PRA). Il permet de :

1. Répliquer des VM d’une région vers une autre (ex. France Centrale → France Sud)
2. Basculer automatiquement (failover) vers le site secondaire en cas de panne
3. Restaurer automatiquement (failback) vers la région principale une fois celle-ci rétablie

L’architecture dédiée comprend un coffre de réplication ASR, un compte de stockage de cache, et des groupes de ressources distincts (primaire et secondaire).

7.Tests de restauration — Backup Center & Test Failover

Le “0 erreur” de la règle 3-2-1-1-0 et l’obligation NIS 2 (OS13 : tester au minimum une fois par an) se déclinent sur Azure via :

• Azure Backup Center : interface unifiée de supervision, pilotage et analyse des sauvegardes ; permet de visualiser les jobs en échec, les points de restauration, et de déclencher des restaurations.

• Test Failover ASR : ASR dispose d’un sous-réseau de test dédié permettant de simuler un basculement sans impacter la production.

• En cas d’incident ransomware, la recommandation est de s’appuyer sur l’IaC (Terraform) et les backups pour redéployer une architecture fonctionnelle à partir de points de restauration validés.

Conclusion

Une sauvegarde efficace repose sur la règle 3-2-1-1-0 : plusieurs copies, une sauvegarde hors site et, idéalement, une copie hors ligne. Les solutions Azure peuvent répondre à ce besoin grâce à la géo redondance, l’immutabilité, le chiffrement et le cloisonnement des accès. Toutefois, seule une restauration régulièrement testée permet de confirmer que les données resteront disponibles en cas d’incident ou de rançongiciel.

Par Ibtissem SEGHIER – Expert OPS Azure ITS Services – Pôle d’Excellence Cirrus