Backups immuables et isolés: répondre à DORA sur la résilience ransomware

Excerpt — DORA impose des sauvegardes restaurables et isolées pour maintenir l’activité en cas d’incident majeur. Voici comment des backups immuables et une isolation réseau concrétisent ces obligations, sans complexité inutile.

Ce que demande la loi

Le règlement DORA (UE) 2022/2554, applicable depuis le 17 janvier 2025, exige que les entités financières disposent d’une politique de continuité TIC et de mécanismes de réponse et de reprise couvrant les sauvegardes et la restauration.

• Article 11 – Réponse et reprise : politique de continuité TIC couvrant activation rapide de plans et technologies de confinement, avec priorisation de la reprise des fonctions critiques. EUR‑Lex – DORA.
• Article 12 – Sauvegardes et restauration : mise en place de systèmes de sauvegarde activables selon des politiques et procédures documentées, testées périodiquement ; restauration sur des systèmes physiquement et logiquement séparés du système source, protégés contre accès non autorisés et corruption, permettant une reprise en temps utile. EUR‑Lex – DORA.

Au Luxembourg, la CSSF rappelle la prééminence de DORA depuis le 17 janvier 2025 et intègre ces exigences dans ses priorités de supervision 2026. CSSF – Entrée en application de DORA ; CSSF – Priorités 2026.

Enfin, ENISA rappelle que la résilience face au ransomware passe par des sauvegardes régulières, isolées du réseau, et l’application de la règle 3‑2‑1. ENISA – Ransomware: bonnes pratiques.

La solution technique (état de l’art)

L’approche combinée « backups immuables + isolation réseau » vise à garantir que, même si l’environnement de production est compromis (ransomware, effacement, sabotage), il subsiste des copies saines, inviolables et rapidement restaurables.

1) Immutabilité des sauvegardes

• Stockage WORM (write-once, read-many) ou verrous temporels (object lock) rendant les blocs/chunks non modifiables pendant une période de rétention définie.
• Chaîne de confiance : catalogues signés, hachage par version, journaux append-only.
• Chiffrement au repos et en transit (AES‑256/GCM, TLS 1.2+), gestion des clés séparée.

2) Isolation réseau et « clean room »

• Segregation physique/logique : réseau de sauvegarde dédié, VLANs/VRF isolés, pare-feu à politiques « par défaut : deny », no-route depuis la prod vers les coffres.
• Comptes d’administration séparés et MFA, PAM à privilèges minimaux pour supprimer le « blast radius » en cas de compromission.
• Environnement de restauration propre (« clean room ») pour valider et remettre en service, sans réintroduire l’infection.

3) Stratégie de rétention et tests

• Règle 3‑2‑1‑1‑0 : 3 copies, 2 supports, 1 off‑site, 1 immuable/air‑gapped, 0 erreur (vérifications automatisées et tests de restauration réguliers). Recommandations cohérentes avec ENISA. ENISA.
• Objectifs RPO/RTO alignés sur l’analyse d’impact métier et les fonctions « critiques ou importantes » de DORA art. 11.

4) Télémétrie et détection

• Détection d’anomalies (taux de changement, entropie, extensions chiffrées) sur les flux de sauvegarde.
• Journalisation inviolable (WORM) pour forensique post‑incident et obligations de reporting.

5) Référentiels de contrôle

• ISO/IEC 27001:2022 : A.8.13 (sauvegarde de l’information), A.5.30 (sécurisation des configurations), A.5.23 (gestion des comptes à privilèges).
• NIST CSF 2.0 : PR.DS (Data Security – sauvegardes protégées), RS.MI/RC (amélioration et reprise), IR‑P pour les exercices.
• CIS Controls v8 : Control 11 (Data Recovery), Control 5 (Account Management), Control 13 (Network Monitoring and Defense).

Comment Luxgap déploie cela

Notre approche est pragmatique, fondée sur les exigences DORA et les réalités d’exploitation locales :

• Gouvernance ISO 27001 : nos consultants (Lead Implementer/Lead Auditor certifiés) cadrent la politique de sauvegarde (art. 11), définissent les rôles et l’architecture cible (séparation des environnements, RPO/RTO, matrice de restauration), et alignent la documentation DORA (politiques, procédures, preuves de tests).
• Notre SOC managed : supervision 24/7 des coffres de sauvegarde, détection d’anomalies sur les jobs/volumes (comportement chiffré, effacements massifs), corrélation avec les alertes endpoint/réseau, et déclenchement de « kill switches » (isolation de segments, bascule vers copies immuables).
• Nos consultants DPO et CISO externalisés : pilotent les exercices de restauration « clean room », préparent les éléments de reporting post‑incident (leçons apprises, preuves de tests périodiques) attendus par la CSSF sous DORA. Références : CSSF.

Concrètement, nous procédons en quatre sprints : (1) cartographie des fonctions critiques et dépendances (on‑prem/cloud/SaaS), (2) design WORM + réseau isolé + PAM, (3) déploiement et « immute‑lock » des coffres, (4) tests de restauration chronométrés avec rapport DORA.

Cas concret au Luxembourg ou en UE

Une société de gestion soumise à la CSSF, multi‑cloud, avait des backups sur un stockage objet non verrouillé et un réseau de sauvegarde routable depuis la prod. En 6 semaines :

• Mise en place d’Object Lock avec rétention 30/90 jours, catalogues signés, compartiments dédiés par application.
• Création d’un réseau de sauvegarde isolé (VRF + pare‑feu L3/L7), suppression des routes inverses, bastion d’admin avec MFA et comptes dédiés.
• Déploiement d’un « clean room » de restauration (cluster virtualisation + EDR, pas de connectivité Internet par défaut).
• Scénario de reprise testé : restauration d’un core PMS en 2h40, sans réintroduire la charge malveillante (analyse EDR/AV avant mise en prod).

Résultat : conformité démontrable aux art. 11 et 12 (politiques, procédures, journaux de tests), intégrée au dossier DORA et auditable par la CSSF. Références : EUR‑Lex – DORA ; CSSF – Priorités 2026.

Premiers pas concrets

1. Vérifier l’isolement : auditez la connectivité vers vos coffres de sauvegarde. Aucune route entrante depuis la prod ; comptes et MFA dédiés.
2. Activer l’immuabilité : configurez WORM/Object Lock avec rétention et verrouillage légal sur au moins un jeu quotidien et hebdo.
3. Tester une restauration « clean room » : restaurez une appli critique cette semaine, mesurez RTO/RPO et documentez le runbook (exigence DORA art. 12 – tests périodiques).
4. Sécuriser le catalogue : signez et sauvegardez hors bande les métadonnées (catalogs/manifestes), avec journal WORM.
5. Surveiller : branchez vos logs de sauvegarde au SIEM/SOC, alertez sur pics d’échec, changements de rétention, fortes entropies.

Sources officielles

• EUR‑Lex – Règlement (UE) 2022/2554 (DORA), art. 11 et 12
• CSSF – Entrée en application du règlement DORA au 17 janvier 2025
• CSSF – Priorités 2026 pour la supervision du secteur des fonds
• ENISA – Ransomware : recommandations (sauvegardes isolées, règle 3‑2‑1)