La sauvegarde est généralement perçue comme le dernier rempart en cas d'incident : si tout échoue, on restaure, et l'entreprise repart. Ce raisonnement contient un angle mort rarement questionné : une sauvegarde archive fidèlement tout ce qui existait au moment de sa création, y compris, potentiellement, une compromission déjà en cours.

Le piège de la sauvegarde cloud automatique

Les environnements de sauvegarde cloud, Microsoft 365 en tête, préservent automatiquement des traces d'attaques passées. Un ransomware dormant, une porte dérobée installée mais pas encore activée, une pièce jointe de phishing déjà ouverte : tout ce contenu peut être sauvegardé sans distinction, au même titre que les fichiers légitimes.

Le problème survient au moment de la restauration : si l'archive contient du contenu compromis, le restaurer réintroduit la menace dans l'environnement, parfois plusieurs mois après l'incident initial, largement après que l'attention se soit portée ailleurs. Microsoft lui-même ne garantit pas de processus de restauration « zéro risque », et la détection automatisée de menaces au sein des sauvegardes reste limitée.

Une sauvegarde n'est pas neutre par nature : elle hérite de l'état de sécurité de ce qu'elle archive. La traiter comme un simple filet de sécurité, sans jamais l'auditer, revient à ignorer une partie entière de votre surface d'exposition.

Ce que nous recommandons

  • Auditer régulièrement le contenu réel de vos politiques de sauvegarde, pas seulement leur configuration déclarée
  • Mener des simulations de restauration et des tests de reprise d'activité en conditions réelles
  • Mettre en place une supervision continue de vos environnements cloud (Microsoft 365, SharePoint, OneDrive)
  • Faire appel à des experts pour une détection de menaces en profondeur au sein de vos archives
  • Former vos équipes à limiter en amont ce qui finit par être sauvegardé sans contrôle

Le principe à retenir : votre système de sauvegarde mérite le même niveau d'exigence de sécurité que les systèmes qu'il est censé protéger, ni plus, ni moins.