La réponse à incident inclut-elle la restauration des données ?

Oui, en partie. La restauration est une étape du cycle de réponse à incident : l’équipe de réponse décide quand restaurer, à partir de quelle sauvegarde, et vérifie que les systèmes remis en service sont sains. La remise en place des données elle-même s’appuie sur vos sauvegardes et est le plus souvent réalisée par l’infogérant ou l’équipe informatique.

Cet article fait partie de notre série sur la réponse à incident. Pour le cadre général, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Où se situe la restauration dans la réponse à incident

Les cadres de référence placent la restauration à la fin de la séquence. Le guide du NIST sur la réponse à incident (SP 800-61, révision 3 d’avril 2025) l’aligne sur la fonction « Recover » du NIST Cybersecurity Framework 2.0, après la détection et la réponse. Restaurer trop tôt, avant d’avoir compris et chassé l’attaquant, revient à remettre en ligne un système qu’il contrôle encore.

Étape	Qui la porte en général	Lien avec la restauration
Confinement	Équipe de réponse, avec l’infogérant	Protéger les sauvegardes encore saines
Investigation	Équipe de réponse (CERT)	Dater la compromission, identifier les systèmes touchés
Éradication	Équipe de réponse et infogérant	Supprimer les accès et outils de l’attaquant
Restauration	Infogérant ou DSI, guidés par l’équipe de réponse	Réinstaller, restaurer, réinitialiser les comptes
Surveillance renforcée	SOC	Vérifier qu’aucune activité malveillante ne reprend

Ce que fait l’équipe de réponse

• Évaluer les sauvegardes. Les attaquants cherchent souvent à détruire les sauvegardes, comme le rappelle Cybermalveillance.gouv.fr. Il faut vérifier lesquelles sont intactes et lesquelles ont pu être touchées.
• Choisir le point de restauration. L’investigation date l’entrée de l’attaquant. Une sauvegarde postérieure peut contenir une porte dérobée.
• Définir l’ordre de remise en service avec la direction : d’abord les services vitaux pour l’activité, ensuite le reste.
• Fixer les conditions de redémarrage : correctifs appliqués, mots de passe changés, accès distants refermés. Voir Quand peut-on redémarrer la production après une cyberattaque ?.
• Surveiller après la remise en service, pour détecter un éventuel retour. Voir Comment sait-on que l’attaquant est parti ?.

Pourquoi restaurer trop vite est risqué

La pression pour redémarrer est forte : chaque jour d’arrêt coûte. Pourtant, restaurer avant d’avoir fermé la porte d’entrée aboutit souvent à une seconde compromission. Si le mot de passe volé fonctionne toujours, ou si le VPN exploité n’est pas corrigé, l’attaquant revient et chiffre les systèmes fraîchement restaurés. Le rôle de l’équipe de réponse est de dire, preuves à l’appui, quand on peut y aller. Voir Comment éviter une seconde attaque dans la foulée ?.

Ce que fait l’équipe informatique

L’infogérant ou la DSI connaît l’architecture, les outils de sauvegarde et les applications métier. C’est généralement lui qui réinstalle les serveurs et les postes à partir d’images saines, restaure les données, reconfigure les applications et vérifie avec les utilisateurs que tout fonctionne. Selon les contrats, une partie de ce travail peut être prise en charge par le prestataire de réponse : c’est un point à clarifier à l’avance. Voir Que couvre une prestation de réponse à incident ?.

Et s’il n’y a pas de sauvegarde saine ?

C’est le scénario le plus difficile. Quelques pistes existent, sans garantie :

• des outils de déchiffrement gratuits, publiés par le projet No More Ransom pour certaines familles de rançongiciels ;
• des copies partielles : données synchronisées dans le cloud, messageries hébergées, exports d’applications métier ;
• la reconstruction manuelle des données à partir de documents papier ou de partenaires.

Payer la rançon n’est pas une solution fiable. Cybermalveillance.gouv.fr recommande de ne pas payer : rien ne garantit la récupération des données ni leur non-divulgation, et le paiement encourage de nouvelles attaques.

Préparer la restauration avant l’incident

La meilleure réponse à incident ne remplace pas une stratégie de sauvegarde. Cybermalveillance.gouv.fr recommande des sauvegardes régulières, des copies déconnectées et des tests de restauration périodiques. NIS2 range d’ailleurs la gestion des sauvegardes et la reprise d’activité parmi les mesures de l’article 21, paragraphe 2, point c, pour les entités concernées.

Pour un infogérant, cela veut dire documenter les sauvegardes de chaque client, tester leur restauration et prévoir qui fait quoi le jour où il faut s’en servir. Voir SOC managé et infogérant : qui fait quoi ?.

Faire le point avec un expert

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7. Pour organiser la restauration avec votre équipe de réponse, votre infogérant partenaire de Cyna est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Peut-on déchiffrer des données sans payer la rançon ?

Parfois. Le projet No More Ransom, soutenu notamment par Europol, publie des outils de déchiffrement gratuits pour certaines familles de rançongiciels. Il précise qu'il n'existe pas de solution pour chaque type de rançongiciel.

Faut-il restaurer la dernière sauvegarde disponible ?

Pas forcément. Si l'attaquant était présent depuis plusieurs jours, la dernière sauvegarde peut contenir ses outils ou ses accès. L'investigation permet de choisir un point de restauration antérieur à la compromission, ou de nettoyer avant de remettre en service.

Qui paie la restauration ?

Cela dépend des contrats : contrat d'infogérance, contrat de réponse à incident, assurance cyber. Vérifiez à l'avance ce que chacun couvre. Voir Qu'est-ce qu'un contrat de réponse à incident (retainer) ?.

Combien de temps faut-il pour tout restaurer ?

Il n'existe pas de durée type : tout dépend de l'étendue de l'attaque, du volume de données et de l'état des sauvegardes. Voir Combien de temps prend une réponse à incident ?.