Plan de reprise informatique après ransomware pour PME francilienne

Dans trop de TPE et PME d'Île‑de‑France, le mot ransomware reste abstrait jusqu'au jour où tout le système informatique tombe. Cet article propose un angle volontairement brutal : construire un vrai plan de reprise informatique, concret, chiffré, testable, plutôt que prier pour que l'antivirus fasse des miracles.

Pourquoi un simple backup ne suffit pas face aux ransomwares

On entend encore des dirigeants expliquer qu'ils sont tranquilles parce qu'ils ont une sauvegarde quotidienne sur un NAS dans la salle serveur. C'est faux. Pire : c'est dangereux.

• Les ransomwares modernes chiffrent aussi les sauvegardes connectées.
• Les pirates passent parfois des semaines dans le système avant de déclencher l'attaque.
• Les restaurations non testées échouent exactement le jour critique.

Un plan sérieux s'appuie sur une vraie stratégie de sauvegarde, de télésauvegarde et de reprise d'activité, pas sur une clé USB qui traîne dans un tiroir. C'est précisément l'esprit de la page sauvegarde de données informatiques du site, mais appliqué ici à un scénario d'attaque.

Construire un plan de reprise réaliste, pas théorique

1 - Définir vos priorités métiers avant la technique

On commence rarement par les bons sujets. Avant les firewalls et les logs, il faut répondre à trois questions très terre à terre :

1. Combien d'heures de coupure maximum votre entreprise peut‑elle encaisser sans mettre en péril sa trésorerie ?
2. Quels sont les 3 à 5 outils sans lesquels le travail est vraiment impossible (ERP, Sage, messagerie, CRM, logiciel métier, téléphonie IP) ?
3. Quelles données sont réellement vitales (compta, dossiers clients, dossiers juridiques, plans techniques, etc.) ?

On parle ici de votre RTO (Recovery Time Objective) et de votre RPO (Recovery Point Objective), même si vous n'utilisez pas ces sigles. L'infogérance ne devrait jamais oublier cette base.

2 - Segmenter l'infrastructure et limiter la casse

Une PME francilienne typique a souvent un réseau « plat » : même domaine, mêmes droits un peu partout, un serveur de fichiers qui sert à tout. C'est confortable, jusqu'au jour où un poste compromis diffuse le ransomware partout.

Quelques principes, qui ne demandent pas un budget démentiel :

• Segmenter le réseau entre serveurs, postes utilisateurs, wifi invités, copieurs.
• Limiter les droits d'administration et bannir les comptes « admin partout ».
• Isoler les serveurs de sauvegarde sur un segment réseau ou un domaine dédié.
• Utiliser des comptes de service distincts pour les tâches de sauvegarde.

C'est moins « sexy » qu'une solution de cybersécurité vendue en conférence, mais c'est ce qui fait la différence le jour où ça brûle.

La sauvegarde multi‑niveaux : locale, distante, cloud à cloud

3 - Mettre en place au moins trois cercles de sauvegarde

Pour une PME de 10 à 100 postes, un schéma robuste ressemble plutôt à ceci :

1. Copie locale rapide sur NAS ou serveur de backup pour les restaurations du quotidien.
2. Télésauvegarde externalisée en datacenter en France, chiffrée, supervisée, avec historique de versions.
3. Sauvegarde cloud à cloud pour Microsoft 365, Google Workspace, Dropbox, etc., parce que le cloud n'est pas une sauvegarde.

C'est exactement la logique détaillée sur la sauvegarde de données informatiques : redondance, automatisation, supervision humaine. L'approche adulte, en somme.

4 - Vérifier et documenter les temps de restauration

Une sauvegarde qui n'a jamais été restaurée est une pure croyance religieuse. Il faut des chiffres :

• Temps pour restaurer un fichier individuel.
• Temps pour restaurer un serveur complet (fichiers, SQL, Active Directory, Sage…).
• Temps pour remonter un site de production minimal (fichiers + messagerie + logiciel métier).

La documentation de l'ANSSI rappelle régulièrement cette exigence de tests réguliers. Pourtant sur le terrain, 8 PME sur 10 n'ont jamais fait un test de restauration complet.

Cas concret : une PME de 40 postes attaquée un lundi matin

5 - Ce qui se passe sans plan (et que l'on voit trop souvent)

Scénario malheureusement classique chez une société de services à Paris :

1. Un employé clique sur une pièce jointe piégée le vendredi.
2. Le logiciel malveillant se déploie discrètement tout le week‑end.
3. Lundi matin, tous les fichiers partagés sont chiffrés, y compris la sauvegarde connectée.
4. Le prestataire réalise que la télésauvegarde ne couvrait pas le serveur SQL ni le logiciel métier.
5. L'arrêt complet dure 4 jours, la direction découvre au passage l'absence de procédure écrite.

Personne n'avait pris le temps de poser le problème en ces termes. C'est sidérant, mais c'est la norme.

6 - Ce qui se passerait avec un vrai plan de reprise

Avec une infogérance sérieuse et un plan de reprise documenté, la même entreprise aurait pu :

• Basculer sur des sauvegardes saines de J‑1 stockées en télésauvegarde.
• Remonter un environnement minimal dans un délai compatible avec le RTO décidé.
• Informer ses clients avec un discours clair, plutôt qu'improviser dans la panique.

Et surtout, décider la crise de ce qui doit être sacrifié ou non. C'est là que se voit la maturité numérique d'une entreprise.

Articuler plan de reprise, infogérance et assurance cyber

7 - Clarifier qui fait quoi le jour J

Beaucoup de contrats d'infogérance se contentent d'une liste de prestations techniques. C'est insuffisant. Il faut y intégrer explicitement :

• Qui déclenche la procédure incident majeur.
• Qui décide de couper l'accès Internet et quand.
• Qui parle aux collaborateurs, aux clients, aux assurances.
• Quelles priorités de restauration sont fixées à l'avance.

L'AMRAE et l'ACPR, dans leurs publications sur le risque cyber, insistent sur ce trio : direction générale, DSI/prestataire, assureur. Si l'un des trois manque, la gestion de crise se transforme en théâtre d'improvisation.

8 - Tester le plan au moins une fois par an

Un plan de reprise non testé vieillit très mal. Les équipes changent, les logiciels évoluent, la topologie réseau se transforme. Une demi‑journée de test annuel vaut mieux que cinquante pages de procédure jamais relues.

Concrètement, pour une PME d'Île‑de‑France :

• Planifier un test de restauration partielle (un serveur, un service critique).
• Mesurer le temps réel, ajuster la documentation.
• Identifier les points de friction organisationnels (droits, communication interne, accès physiques…).

On peut s'inspirer des recommandations de Cybermalveillance.gouv.fr, qui propose des fiches très claires pour structurer cette démarche.

Et maintenant, que fait une PME francilienne lucide ?

Si votre entreprise est en Île‑de‑France, avec une vingtaine de postes, quelques serveurs et de la messagerie cloud, vous savez déjà que vous n'aurez jamais le temps de devenir expert en cybersécurité. Ce n'est pas votre métier.

Votre priorité est simple : exiger un plan de reprise écrit, chiffré, testé, intégré à votre contrat d'infogérance, avec une politique de sauvegarde alignée sur vos enjeux réels. Et si vous doutez de la solidité de ce que l'on vous propose aujourd'hui, prenez une heure pour faire auditer votre situation, en partant de votre zone d'intervention en Île‑de‑France. Ce sera toujours moins cher qu'un lundi matin sans fichiers ni facturation.