Solutions de sauvegarde d’entreprise : comparer restauration et immuabilité
Face aux rançongiciels, une sauvegarde ne vaut que par deux qualités : on peut la restaurer vite, et l'attaquant ne peut pas la détruire. Comparaison des principales solutions sur ces deux critères, et sur ceux qui les rendent réels.
Les attaques par rançongiciel ont changé la question. Il y a dix ans, on choisissait une solution de sauvegarde pour sa capacité à copier des données. Aujourd’hui, les attaquants cherchent d’abord les sauvegardes pour les détruire, avant de chiffrer la production. Comparer des solutions de sauvegarde entreprise revient donc à répondre à deux questions : pourra-t-on restaurer vite, et l’attaquant pourra-t-il effacer nos copies ?
Ce comparatif porte sur les solutions les plus répandues dans les organisations de taille moyenne et grande, et sur deux outils libres. Il ne donne ni note ni prix : les tarifs dépendent du volume, du nombre de charges de travail et des négociations, et évoluent souvent. Les mêmes critères s’appliquent à toutes.
Les critères qui comptent
| Critère | Question à poser |
|---|---|
| Restauration | Restauration granulaire (un fichier, un courriel, une base) et complète ? Démarrage d’une machine directement depuis la sauvegarde ? Délai mesuré sur vos volumes ? |
| Test automatique | La solution vérifie-t-elle seule que les sauvegardes sont restaurables, et le prouve-t-elle par un rapport ? |
| Immuabilité | Copies non modifiables pendant la rétention, y compris par un administrateur compromis ? |
| Isolement de l’administration | Console séparée du domaine de production, authentification multifacteur, validation à plusieurs pour les suppressions ? |
| Détection | Signalement des anomalies (taux de modification inhabituel, chiffrement suspect) dans les données sauvegardées ? |
| Couverture | Machines virtuelles, physiques, bases de données, conteneurs, SaaS (Microsoft 365, Google Workspace), postes de travail ? |
| Architecture | Logiciel sur matériel choisi, appliance, service en ligne ? Où sont les données ? |
Les solutions, une par une
Veeam
Très répandu dans les environnements virtualisés, Veeam est un logiciel qui s’installe sur l’infrastructure choisie par le client. Il propose un dépôt Linux durci pour l’immuabilité, la compatibilité avec le stockage objet verrouillé, la restauration instantanée de machines virtuelles et une fonction de vérification automatique des sauvegardes (SureBackup) qui démarre les machines dans un environnement isolé pour prouver qu’elles fonctionnent.
- Large adoption, compétences faciles à trouver
- Restauration instantanée et tests automatiques matures
- Liberté du matériel de stockage
- L’immuabilité et l’isolement dépendent de la qualité de l’architecture déployée
- Plusieurs composants à exploiter et à maintenir
Commvault
Plateforme historique des grandes organisations, Commvault couvre un éventail très large de systèmes, bases de données et applications. Elle existe en logiciel, en appliance et en service en ligne (Commvault Cloud). L’éditeur met en avant la restauration dans un environnement propre et isolé après attaque.
- Couverture applicative très étendue
- Plusieurs modes de déploiement, y compris hybrides
- Fonctions de gouvernance et de conservation avancées
- Richesse fonctionnelle qui demande une expertise d’exploitation
- Modèle de licence à étudier de près
Rubrik
Rubrik a été conçu d’emblée autour de l’immuabilité : les données sauvegardées ne sont pas modifiables par conception. La solution prend la forme d’une plateforme gérée par des politiques, avec une forte orientation vers la sécurité des données (détection d’anomalies, recherche de données sensibles, aide à la restauration après attaque).
- Immuabilité native, peu dépendante de la configuration
- Administration par politiques, simple à l’usage
- Orientation sécurité marquée
- Positionnement plutôt haut de gamme
- Moins de liberté sur le matériel
Cohesity
Cohesity propose une plateforme de sauvegarde et de gestion des données, en logiciel, appliance ou service. Le rapprochement avec l’activité de protection des données de Veritas, finalisé fin 2024, a élargi son portefeuille, avec la gamme NetBackup. L’immuabilité (verrouillage de type WORM) et la détection d’anomalies font partie de l’offre.
- Plateforme unifiée, déduplication globale
- Base installée très large depuis le rapprochement
- Immuabilité et détection intégrées
- Feuille de route des produits à suivre après la fusion
- Choix entre gammes à clarifier avec l’éditeur
Acronis
Acronis Cyber Protect associe sauvegarde et protection contre les logiciels malveillants dans une même console. Très présent chez les PME et les prestataires de services informatiques, il couvre bien les postes de travail et les serveurs, avec un stockage en ligne proposé par l’éditeur.
- Simplicité de déploiement, adapté aux petites structures
- Couverture des postes de travail
- Sauvegarde et protection réunies
- Moins adapté aux très grands environnements
- Bien vérifier les options d’immuabilité selon le stockage retenu
Outils libres : Proxmox Backup Server, Bacula, restic
Pour des périmètres maîtrisés, les outils libres sont crédibles. Proxmox Backup Server offre déduplication, sauvegardes incrémentales et chiffrement côté client, en particulier pour les environnements Proxmox. Bacula est un système éprouvé pour des parcs hétérogènes. restic ou BorgBackup conviennent à des serveurs Linux et à des volumes modestes.
- Pas de coût de licence, code auditable
- Bonne efficacité de stockage
- Indépendance vis-à-vis d’un éditeur
- Immuabilité, supervision et tests de restauration à construire soi-même
- Support professionnel à souscrire séparément, quand il existe
- Dépendance aux compétences internes
Synthèse
| Solution | Architecture | Immuabilité | Test de restauration automatisé | Profil typique |
|---|---|---|---|---|
| Veeam | Logiciel | Dépôt durci, stockage objet verrouillé | Oui, intégré | Environnements virtualisés, toutes tailles |
| Commvault | Logiciel, appliance, SaaS | Oui, selon stockage | Oui | Grandes organisations, parcs applicatifs variés |
| Rubrik | Plateforme, appliance, SaaS | Native | Oui | Organisations à forte exigence de sécurité |
| Cohesity | Logiciel, appliance, SaaS | Oui, intégrée | Oui | Moyennes et grandes organisations |
| Acronis | Logiciel, SaaS | Selon stockage et options | Partiel, selon édition | PME, prestataires de services |
| Outils libres | Logiciel | À construire | À construire | Périmètres maîtrisés, équipes techniques solides |
Les fonctions évoluent vite et varient selon les éditions : faire confirmer chaque point par écrit, et sur une démonstration avec vos propres données.
Le facteur décisif : l’architecture, pas la marque
Une excellente solution mal déployée protège moins qu’une solution simple bien isolée. Les incidents documentés par les autorités de cybersécurité, dont l’ANSSI, montrent souvent le même schéma : console de sauvegarde accessible depuis le domaine compromis, compte administrateur partagé, copies hors site jamais restaurées.
- Console d’administration hors du domaine de production, avec authentification multifacteur.
- Au moins une copie immuable ou déconnectée, avec une rétention supérieure au temps de détection d’une intrusion.
- Suppression des sauvegardes soumise à une validation à deux personnes, quand la solution le permet.
- Restauration réelle testée chaque trimestre sur les systèmes critiques, avec un délai mesuré.
- Sauvegarde des services SaaS (messagerie, documents collaboratifs) prise en compte.
Pour aller plus loin, notre guide sur le test du plan de reprise après sinistre détaille la partie restauration. Notre expertise cybersécurité et conformité accompagne le choix et l’architecture, sans lien commercial avec les éditeurs cités.
- Documentation publique des éditeurs cités (Veeam, Commvault, Rubrik, Cohesity, Acronis, Proxmox, Bacula, restic), consultée à la date de l’article.
- ANSSI, recommandations relatives à la sauvegarde des systèmes d’information et à la prévention des rançongiciels.
- Cohesity, annonce de la finalisation du rapprochement avec l’activité protection des données de Veritas, décembre 2024.
Pour approfondir : Gouvernance & traçabilité
Questions fréquentes
Qu'est-ce qu'une sauvegarde immuable ?
Une copie qui ne peut être ni modifiée ni supprimée pendant une durée de rétention définie, même par un administrateur. Elle s'obtient par un stockage objet avec verrouillage (de type S3 Object Lock), un dépôt durci, une appliance dédiée ou un support déconnecté.
La règle 3-2-1 suffit-elle encore ?
Elle reste une base : trois copies, sur deux supports différents, dont une hors site. Beaucoup la complètent aujourd'hui en 3-2-1-1-0 : une copie immuable ou déconnectée, et zéro erreur constatée lors des tests de restauration.
Faut-il sauvegarder Microsoft 365 ou Google Workspace ?
Oui. Ces services assurent la disponibilité de leur plateforme, pas la restauration de vos données après une suppression, une erreur ou une attaque au-delà des durées de rétention natives. La plupart des solutions comparées ici proposent un module dédié.
Comment choisir entre logiciel, appliance et SaaS ?
Le logiciel offre le plus de souplesse sur un matériel choisi ; l'appliance simplifie l'exploitation et intègre l'immuabilité ; le SaaS supprime l'infrastructure locale mais pose la question de la localisation des données et du délai de restauration de gros volumes.