Les offres de sauvegarde parlent volontiers de copie « isolée », « cloisonnée » ou « air-gappée ». Ces termes ne décrivent pas la même chose. Un air-gap (air gap backup en anglais) supprime le chemin réseau vers une copie de sauvegarde. L'isolation réseau, ou cloisonnement, restreint ce chemin sans le supprimer.
La différence compte surtout dans un scénario : un attaquant déjà présent sur votre système d'information, avec des accès valides, qui cherche à rendre vos sauvegardes inutilisables avant de chiffrer la production. Cette page complète notre guide complet sur la sauvegarde externalisée et se limite à cette distinction : ce que chaque approche apporte, ce qu'elle ne couvre pas et ce qu'il faut vérifier.
Une sauvegarde air-gap est une copie qu'aucun réseau ne peut joindre pendant qu'elle est conservée. L'ANSSI parle de sauvegarde « hors ligne » : une sauvegarde sur un support déconnecté de tout système d'information.
Les formes courantes :
Le dernier cas est souvent présenté comme un « air-gap logique » ou « temporisé ». Pendant la fenêtre de copie, la cible est joignable : l'air-gap n'existe qu'en dehors de cette fenêtre. Il faut donc savoir ce qui ouvre et ferme la connexion, et si ce mécanisme peut être piloté depuis la production.
Tant que la copie est déconnectée, un attaquant présent sur le réseau ne peut ni la supprimer ni la chiffrer à distance, même avec des identifiants d'administration.
L'isolation réseau place l'infrastructure de sauvegarde dans une zone séparée de la production : VLAN dédié, pare-feu internes, règles de filtrage, réseau d'administration distinct, compte ou tenant cloud séparé. Les zones restent connectées et seuls les flux autorisés passent.
C'est la base que l'ANSSI recommande pour l'infrastructure de sauvegarde elle-même : les serveurs de sauvegarde doivent être cloisonnés, au sein du SI d'administration ou au minimum dans une zone réseau distincte de la production.
Elle limite la propagation automatique d'un logiciel malveillant, réduit la surface exposée et permet des sauvegardes fréquentes et des restaurations rapides.
Par construction, un chemin existe. Si un attaquant obtient des identifiants qui ouvrent ce chemin (compte d'administration de la sauvegarde, console, annuaire partagé avec la production) ou compromet un équipement de filtrage, il peut atteindre les sauvegardes. Le niveau de protection dépend alors de la séparation des comptes, de l'authentification multifacteur, des droits et de la journalisation au moins autant que de la topologie.
Un tenant cloud séparé, un compte distinct chez un fournisseur ou un VLAN dédié relèvent donc de l'isolation, pas de l'air-gap : la copie reste joignable par le réseau, même si l'accès est restreint.
Les deux approches se combinent. Dans une stratégie fondée sur la règle 3-2-1-1-0, une copie isolée sur le réseau sert aux restaurations courantes, une copie hors ligne ou immuable sert de dernier recours, et le « 0 » rappelle que ces copies doivent être vérifiées par des restaurations.
Une sauvegarde immuable reste en ligne, mais ne peut être ni modifiée ni supprimée pendant sa durée de rétention. Elle répond au même risque que l'air-gap par un autre moyen : le verrouillage plutôt que la déconnexion.
Les deux ne sont pas équivalents. L'ANSSI considère qu'une solution de sauvegarde hors ligne reste plus robuste qu'une solution WORM en ligne. La solidité d'une copie immuable dépend notamment de la façon dont le verrou est géré et de qui peut modifier la rétention.
La topologie ne suffit pas à juger un dispositif. Quatre points pèsent au moins autant :
Le scénario d'attaque contre les sauvegardes et la conduite de la reprise sont traités dans notre guide ransomware et sauvegarde.
Une réponse documentée vaut plus qu'un terme commercial : « isolé », « cloisonné » et « air-gap » doivent correspondre à une architecture décrite.
Aucun de ces textes ne permet de dire qu'une architecture est conforme sur la seule base de sa topologie réseau.
L'air-gap retire le chemin réseau, l'isolation le contrôle. Le bon choix dépend du scénario à couvrir, du délai de reprise acceptable et de votre capacité à exploiter le dispositif dans la durée. Dans tous les cas, c'est un test de restauration qui montre ce que vaut l'architecture. Pour replacer ce choix dans l'ensemble des critères d'externalisation (périmètre, délais, accès, contrat), voir notre guide complet sur la sauvegarde externalisée.
Pour vos serveurs, machines virtuelles et environnements industriels (OT), VYTALX installe chez vous un serveur de sauvegarde dédié et air-gappé. Il est placé dans un VLAN distinct, et sa connexion n'est ouverte que pendant les fenêtres de sauvegarde. Le service est facturé en abonnement mensuel, sans investissement initial. Planifiez une revue de votre architecture de sauvegarde.
