État des lieux de la récupérabilité en 2026

La reprise après sinistre, en tant que discipline, repose sur un postulat fondamental : le système a subi une défaillance et l’environnement qui l’entoure est « honnête ». Une inondation ne vole pas les identifiants. Une coupure de courant ne part pas à la recherche des référentiels de sauvegarde. Dans tous les modèles traditionnels de reprise après sinistre, l’infrastructure de reprise se trouve en sécurité, à l’abri de l’événement.

Les ransomwares renversent chacune de ces hypothèses, et les données sur les incidents montrent à quel point cela se fait de manière méthodique. Selon les données mondiales sur les incidents de Palo Alto Networks pour 2026, les deux tiers des intrusions commencent par l'identité, et la compromission des identifiants figure depuis une décennie en tête des techniques d’intrusion les plus courantes, comme le montre l’analyse à long terme de l’Institut Cyentia. Cette statistique a une conséquence en matière de reprise que la plupart des plans de continuité ne prennent jamais en compte. Les comptes, les services d’annuaire et les chemins d’accès administratifs qu’une organisation doit restaurer se situent sur le même plan d’identité que celui que l’attaquant vient de s’approprier. Les équipes de reprise doivent régulièrement restaurer un environnement à l’aide d’identifiants auxquels elles ne peuvent plus se fier, au sein d’un annuaire qui peut lui-même être compromis. Les données de terrain de Fenix24 illustrent concrètement ce lien. Active Directory intervient dans pratiquement toutes les opérations de reprise menées par notre équipe d’experts en violations de données, généralement en tant que premier système majeur compromis, et l’infrastructure de sauvegarde est souvent rattachée à ce même annuaire. Lorsque la gestion de l’infrastructure relève du fournisseur d’identité de l’entreprise, la restauration commence par la reconstruction de l’identité, voire par la refonte complète du système d’authentification, avant que le premier système puisse être remis en service en toute sécurité.

L’identité est la première contrainte. Le temps est la seconde. Le délai moyen entre l’accès initial et le déplacement latéral est tombé à 29 minutes en 2025, selon les données mondiales sur les menaces de CrowdStrike, le temps le plus court observé étant de 27 secondes et les données ayant quitté une victime dans les quatre minutes suivant l’intrusion. Tout modèle de rétablissement qui repose sur l’organisation d’une réunion, la recherche d’un guide d’intervention et la remontée d’information à la direction s’appuie sur un calendrier que l’adversaire a abandonné depuis des années.

L’infrastructure de sauvegarde est ciblée très tôt et de manière spécifique, pour une raison plus économique que technique. Une organisation capable de restaurer ses données n’a aucune raison de payer. C’est en détruisant la voie de restauration qu’un incident informatique se transforme en un cas de chantage au niveau du conseil d’administration ; c’est pourquoi l’existence d’une sauvegarde et la résilience de celle-ci sont désormais deux propriétés distinctes. Un référentiel accessible avec les mêmes identifiants, sur le même réseau, dans le même répertoire que l’environnement de production n’est, du point de vue de l’attaquant, qu’une cible de plus offrant une charge utile plus précieuse. Et la survie n’est pas le dernier obstacle. Dans 38 % des interventions de Fenix24 où les sauvegardes ont survécu à l’attaque intactes ou presque, celles-ci n’ont tout de même pas permis d’assurer la reprise. Les données étaient trop anciennes pour permettre la reprise des opérations, incomplètes ou corrompues bien avant l’attaque, d’un type inadapté à la charge de travail, ou plus lentes à restaurer que de reconstruire le système de toutes pièces. Certaines sont présentées comme « immuables » alors qu’elles s’exécutent sur une infrastructure incapable de garantir l’immuabilité. L’existence, la résilience et l’utilisabilité sont trois propriétés distinctes, et seule la troisième permet de remettre une entreprise sur pied.

L'attaque elle-même évolue sans cesse. Selon l'analyse des sinistres réalisée par Allianz, l'exfiltration de données a été constatée dans 40 % des sinistres de grande ampleur au début de l'année 2025, soit près du double de l'année précédente, tandis que les taux de chiffrement ont atteint leur plus bas niveau depuis six ans. Une part croissante des incidents n’entraîne jamais de verrouillage d’écran. Les attaquants volent des données, détournent des fonds ou sapent la confiance dans les systèmes d’identité. Se remettre d’une situation où « on ne peut plus faire confiance à notre annuaire » est un défi différent de celui de se remettre d’une situation où « nos fichiers sont chiffrés », et un programme de résilience opérationnelle doit pouvoir faire face aux deux.

Toutes les lacunes mises en évidence par cette analyse renvoient à un même manque de capacité. Les organisations ne sont pas en mesure d'apporter une réponse validée en continu et étayée par des données concrètes quant à ce qui se passe après un incident. Quels services d'entreprise sont rétablis ? Dans quel ordre ? En combien d'heures ? Avec quel degré de confiance ?

Vingt ans d’investissements dans la sécurité ont permis de mettre en place des outils précis pour assurer la résilience. Le secteur est capable de recenser les terminaux, d’évaluer les vulnérabilités et de classer les expositions en temps réel, car il a décidé que ces chiffres avaient de l’importance et a développé les systèmes nécessaires pour les produire. Il n’a jamais mis en place l’équivalent pour la reprise. La reprise après sinistre relevait des opérations informatiques, était régie par des documents et évaluée par des attestations. C’est ainsi qu’un secteur capable de décrire sa surface d’attaque dans les moindres détails s’est retrouvé incapable d’indiquer, preuves à l’appui, combien d’heures s’écoulent entre la destruction d’un environnement et la reprise des activités.

Cette asymétrie est en train de se corriger, et toutes les forces en présence dans ce rapport vont dans le même sens. Les assureurs évaluent la capacité de reprise, car les pertes d’exploitation représentent la majeure partie de leurs indemnités. Les régulateurs inscrivent dans la loi des mesures de reprise éprouvées et commencent à rejeter les plans théoriques. Les conseils d’administration ne se contentent plus de demander si l’organisation est sécurisée, mais s’interrogent désormais sur la durée de son indisponibilité. Le consensus des analystes a redéfini l’objectif : il s’agit désormais de survivre à l’impact plutôt que de l’éviter. Indépendamment les unes des autres, les institutions qui évaluent le risque, le font respecter, le régulent et l’étudient sont parvenues à une conclusion à laquelle les spécialistes de la reprise après sinistre étaient déjà parvenus il y a des années, sur le terrain : la résistance est nécessaire, mais c’est la reprise qui permet à l’entreprise de rester debout par la suite. La prochaine décennie d’investissements en sécurité s’inscrit dans cette prise de conscience, avec la mise en place d’outils de reprise aussi rigoureux que ceux conçus pour la défense.

Sa mise en place exige deux éléments que le modèle actuel sépare. Le premier est la mesure : une évaluation continue et étayée par des données factuelles de ce que l’entreprise est réellement en mesure de restaurer, et à quelle vitesse, remplaçant ainsi l’attestation annuelle qui satisfait un auditeur mais ne permet aucune prévision. Le second est l’exécution, car la mesure à elle seule ne change rien au résultat. Une évaluation ne renforce pas la sécurité d’un référentiel de sauvegarde. Une carte des dépendances n’isole pas la couche d’identité dont dépend une restauration. Une constatation, aussi précise soit-elle, n’a jamais remis un service métier en ligne. Les organisations qui maîtrisent cet aspect traiteront la récupérabilité comme le secteur a appris à traiter la détection : instrumentée, exploitée et testée en continu, considérée comme un résultat métier plutôt que déléguée comme une tâche informatique.

Ce que cette mesure doit prendre en compte n'est pas un mystère. Les défaillances qui déterminent les délais de reprise sont constantes et se répètent dans tous les secteurs d'activité et pour tous les types d'incidents. Il s'agit de conditions qui existaient avant l'arrivée de l'attaquant et qui auraient été détectables par quiconque les aurait recherchées.

Chaque élément de cette liste peut être identifié à l’avance. La capacité de stockage, la facilité d’utilisation des sauvegardes, les cartes de dépendances, les chemins de restauration des identités et les droits de décision peuvent être mesurés, évalués et corrigés avant qu’un incident ne survienne, plutôt que d’être découverts en plein milieu de celui-ci. C’est la discipline que le secteur est en train de mettre en place, et elle mérite un nom qui n’est pas encore couramment utilisé. Fenix24 l’appelle « intelligence de récupérabilité» : la discipline consistant à mesurer, en continu et en conditions réelles, ce qu’une entreprise est réellement capable de restaurer et à quelle vitesse : ses dépendances, la résilience de ses sauvegardes, la séquence de restauration et les délais de restauration réalisables. Il s’agit d’une mesure continue et fondée sur des preuves de ce qu’une entreprise peut restaurer et à quelle vitesse, élaborée selon la même norme que celle déjà appliquée par le secteur pour évaluer sa vulnérabilité aux attaques. La détection indiquait aux organisations ce qui leur arrivait. L’« intelligence de récupérabilité » leur indique ce qu’elles pourraient récupérer, avant même qu’elles ne soient contraintes de le découvrir.

Ce jour-là n’est plus une hypothèse pour personne. La question à laquelle chaque organisation est désormais confrontée n’est plus de savoir comment éviter l’attaque, mais ce qui se passera lorsque le système sera hors service. Les opérations pourront-elles reprendre avant que l’entreprise ne disparaisse ? La prévention a toujours été le problème le plus facile à mettre en œuvre, tandis que la reprise a toujours été celle qui déterminait la survie de l’entreprise. La prise de conscience qui s’opère actuellement chez les assureurs, les régulateurs, les conseils d’administration et les analystes correspond à la correction par le marché d’une erreur d’évaluation qui s’est accumulée au fil des décennies.

Cette mesure sanctionne les organisations qui agissent en premier et pénalise celles qui attendent, car la capacité de reprise ne s’achète pas au moment où l’on en a besoin. Elle se construit en amont, dans l’ombre, ou elle n’existe tout simplement pas, et l’environnement ne cesse d’évoluer, quel que soit l’observateur. Chaque trimestre où une entreprise considère la reprise comme un simple document plutôt que comme une capacité testée est un trimestre où sa posture réelle s’éloigne davantage de ce que prévoit son plan, jusqu’à ce qu’un attaquant exploite cet écart. Les organisations qui intègrent cette réalité seront capables d’encaisser la pire journée que leur entreprise puisse jamais connaître et continueront à fonctionner. Celles qui ne le font pas y feront face comme le décrivent les données d’incidents de ce rapport, découvrant ce qu’elles pouvaient réellement récupérer au moment même où il n’est plus possible de changer quoi que ce soit. La résistance détermine la fréquence à laquelle ce jour survient. La reprise détermine s’il reste encore une entreprise debout à l’issue de cette épreuve. Le secteur mesure enfin ce qui compte vraiment.