Les opérateurs de rançongiciels se sont adaptés aux défenses des entreprises en s’attaquant d’abord à l’infrastructure de sauvegarde : suppression des instantanés, désactivation des tâches de réplication, et chiffrement des dépôts de sauvegarde en même temps que les systèmes de production. Une organisation qui suppose que sa sauvegarde nocturne garantit la récupération découvre souvent, lors d’un incident réel, que cette hypothèse a été mise à l’épreuve et a échoué.
Concevoir des sauvegardes qui survivent à une attaque
La reprise résiliente repose sur l’immuabilité et l’isolement : un stockage à écriture unique qui ne peut être modifié ni supprimé pendant une fenêtre de rétention, et au moins une copie conservée hors ligne ou dans un domaine administratif séparé de l’identité de production. Les identifiants de sauvegarde ne doivent jamais partager la même confiance d’annuaire que les systèmes qu’ils protègent.
Les objectifs de temps de récupération n’ont guère de sens sans tests. Les entreprises devraient effectuer des exercices de restauration complète selon un calendrier régulier, en mesurant le temps réel nécessaire pour restaurer les systèmes critiques à partir de la sauvegarde dans des conditions réalistes.
JIG conçoit les architectures de sauvegarde et de reprise comme un contrôle de sécurité à part entière, afin qu’un événement de rançongiciel devienne un incident récupérable plutôt qu’existentiel.