{"id":13216,"date":"2026-09-18T15:58:06","date_gmt":"2026-09-18T13:58:06","guid":{"rendered":"https:\/\/gvision.be\/?p=13216"},"modified":"2026-09-18T15:58:09","modified_gmt":"2026-09-18T13:58:09","slug":"restauration-microsoft-365-ransomware-rto-belgique","status":"publish","type":"post","link":"https:\/\/gvision.be\/nl\/restauration-microsoft-365-ransomware-rto-belgique\/","title":{"rendered":"Restauration Microsoft 365 apr\u00e8s ransomware : d\u00e9finir un RTO r\u00e9aliste"},"content":{"rendered":"<style>.gv-blog-article{--gv-navy:#07192d;--gv-blue:#0d6efd;--gv-cyan:#15c7dc;--gv-coral:#ff765f;--gv-ink:#17263a;--gv-muted:#5a6a7d;--gv-line:#dce6ef;--gv-soft:#f3f8fc;--gv-white:#ffffff;--gv-shadow:0 18px 48px rgba(7,25,45,0.12);max-width:960px;margin-inline:auto;color:var(--gv-ink);font-family:Inter,system-ui,-apple-system,BlinkMacSystemFont,\"Segoe UI\",sans-serif;font-size:clamp(1rem,0.97rem + 0.12vw,1.08rem);line-height:1.72;overflow-wrap:anywhere}.gv-blog-article *,.gv-blog-article *::before,.gv-blog-article *::after{box-sizing:border-box}.gv-blog-article:where(h1,h2,h3){color:var(--gv-navy);line-height:1.16;letter-spacing:-0.025em;text-wrap:balance}.gv-blog-article h1{max-width:18ch;margin:0.2em 0 0.38em;font-size:clamp(2.25rem,5.6vw,4.6rem)}.gv-blog-article h2{margin:2.15em 0 0.65em;font-size:clamp(1.65rem,3.2vw,2.45rem)}.gv-blog-article h3{margin:1.65em 0 0.45em;font-size:clamp(1.18rem,2vw,1.4rem)}.gv-blog-article:where(p,ul,ol){margin-block:0.85em}.gv-blog-article li{margin-block:0.38em;padding-inline-start:0.18em}.gv-blog-article a{color:#075fc7;font-weight:650;text-decoration-thickness:0.08em;text-underline-offset:0.16em}.gv-blog-article a:hover,.gv-blog-article a:focus-visible{color:#064b9c;text-decoration-thickness:0.13em}.gv-blog-article a:focus-visible,.gv-blog-article summary:focus-visible,.gv-blog-article [tabindex=\"0\"]:focus-visible{outline:3px solid rgba(21,199,220,0.55);outline-offset:4px}.gv-blog-header{position:relative;padding-top:clamp(1rem,3vw,2.25rem)}.gv-blog-kicker{margin-bottom:0.75rem;color:#087f95;font-size:0.78rem;font-weight:850;letter-spacing:0.1em;text-transform:uppercase}.gv-blog-intro,.gv-blog-lead{max-width:760px;color:#3d4f64;font-size:clamp(1.12rem,1.02rem + 0.45vw,1.34rem);line-height:1.58}.gv-blog-section{scroll-margin-top:7rem}.gv-blog-figure{margin:clamp(1.8rem,4vw,3.1rem) 0}.gv-blog-figure img{display:block;width:100%;height:auto;border-radius:20px;box-shadow:var(--gv-shadow)}.gv-blog-hero img{aspect-ratio:16 \/ 9;object-fit:cover}.gv-blog-infographic img{border:1px solid var(--gv-line);background:var(--gv-white);box-shadow:0 10px 34px rgba(7,25,45,0.08)}.gv-blog-figure figcaption{margin-top:0.72rem;color:var(--gv-muted);font-size:0.88rem;line-height:1.5}.gv-blog-answer,.gv-blog-summary,.gv-blog-keypoints,.gv-blog-takeaway,.gv-blog-takeaways,.gv-blog-note{margin:clamp(1.6rem,4vw,2.6rem) 0;padding:clamp(1.2rem,3vw,1.7rem);border:1px solid #c9e4ed;border-radius:18px;background:linear-gradient(135deg,#eaf8fb 0%,#f7fafc 100%)}.gv-blog-answer{border-left:5px solid var(--gv-cyan)}.gv-blog-note{border-color:#fed8d1;background:#fff7f5}.gv-blog-article:where(.gv-blog-answer,.gv-blog-summary,.gv-blog-keypoints,.gv-blog-takeaway,.gv-blog-takeaways,.gv-blog-note) h2{margin:0 0 0.6rem;font-size:clamp(1.22rem,2vw,1.45rem)}.gv-blog-toc{margin:clamp(1.8rem,4vw,2.8rem) 0;padding:clamp(1.25rem,3vw,1.8rem);border:1px solid var(--gv-line);border-radius:18px;background:var(--gv-white);box-shadow:0 10px 32px rgba(7,25,45,0.06)}.gv-blog-toc h2{margin:0 0 0.7rem;font-size:1.4rem}.gv-blog-toc ol{columns:2;column-gap:2.4rem;padding-left:1.35rem}.gv-blog-toc li{break-inside:avoid}.gv-blog-table-wrap,.gv-blog-table-responsive{width:100%;margin:1.6rem 0;overflow-x:auto;border:1px solid var(--gv-line);border-radius:16px;background:var(--gv-white);-webkit-overflow-scrolling:touch}.gv-blog-table{width:100%;min-width:720px;border-collapse:collapse;background:var(--gv-white);font-size:0.92rem;line-height:1.5}.gv-blog-table caption{padding:1rem 1.1rem;background:var(--gv-navy);color:var(--gv-white);font-weight:780;text-align:left}.gv-blog-table:where(th,td){padding:0.85rem 1rem;border-bottom:1px solid var(--gv-line);vertical-align:top;text-align:left}.gv-blog-table thead th{background:#eaf3fb;color:var(--gv-navy)}.gv-blog-table tbody th{color:var(--gv-navy);font-weight:760}.gv-blog-table tbody tr:nth-child(even){background:#f8fafc}.gv-blog-table tbody tr:last-child:where(th,td){border-bottom:0}.gv-blog-table-mobile,.gv-blog-mobile-alternative{display:none;margin:1.3rem 0;padding:1.15rem;border:1px solid var(--gv-line);border-radius:16px;background:var(--gv-soft)}.gv-blog-article:where(.gv-blog-table-mobile,.gv-blog-mobile-alternative) h3{margin-top:0}.gv-blog-faq details{margin:0.78rem 0;padding:1rem 1.15rem;border:1px solid var(--gv-line);border-radius:14px;background:var(--gv-white);box-shadow:0 5px 18px rgba(7,25,45,0.04)}.gv-blog-faq details[open]{border-color:#acdce6}.gv-blog-faq summary{color:var(--gv-navy);font-weight:780;cursor:pointer}.gv-blog-faq details>:last-child{margin-bottom:0}.gv-blog-conclusion{margin-top:3rem;padding:clamp(1.35rem,3.5vw,2rem);border-radius:20px;background:var(--gv-navy);color:#eaf2fa}.gv-blog-conclusion:where(h2,h3){color:var(--gv-white)}.gv-blog-conclusion h2{margin-top:0}.gv-blog-conclusion a{color:#64dcea}.gv-blog-sources{margin-top:3rem;padding-top:1.5rem;border-top:2px solid var(--gv-line);color:var(--gv-muted);font-size:0.88rem}.gv-blog-footer{clear:both}.gv-blog-sources h2{margin-top:0;font-size:1.4rem}.gv-blog-disclaimer{color:var(--gv-muted);font-size:0.84rem}.gv-blog-article code{padding:0.08em 0.32em;border-radius:0.28em;background:#edf2f7}@media (max-width:760px){.gv-blog-article{font-size:1rem}.gv-blog-article h1{font-size:clamp(2.15rem,11vw,3rem)}.gv-blog-toc ol{columns:1}.gv-blog-table-wrap + .gv-blog-table-mobile,.gv-blog-table-responsive + .gv-blog-table-mobile,.gv-blog-table-wrap + .gv-blog-mobile-alternative,.gv-blog-table-responsive + .gv-blog-mobile-alternative{display:block}.gv-blog-table-wrap,.gv-blog-table-responsive{display:none}}@media (prefers-reduced-motion:reduce){.gv-blog-article *,.gv-blog-article *::before,.gv-blog-article *::after{scroll-behavior:auto !important}}@media print{.gv-blog-article{max-width:none;color:#000;font-size:11pt}.gv-blog-figure img,.gv-blog-toc,.gv-blog-faq details{box-shadow:none}.gv-blog-table-wrap,.gv-blog-table-responsive{display:block;overflow:visible}.gv-blog-table{min-width:0}}<\/style>\n<article class=\"gv-blog-article\" lang=\"fr-BE\">\n<header class=\"gv-blog-header\">\n<p class=\"gv-blog-kicker\">Sauvegarde et continuit\u00e9<\/p>\n<p class=\"gv-blog-lead\">Un runbook pour choisir un point sain, restaurer Exchange, SharePoint et OneDrive par vagues, puis rouvrir les acc\u00e8s avec des preuves.<\/p>\n<figure class=\"gv-blog-figure gv-blog-hero\"><picture><source srcset=\"https:\/\/gvision.be\/wp-content\/uploads\/2026\/09\/restauration-microsoft-365-ransomware-rto-belgique-hero.webp\" type=\"image\/webp\"><img fetchpriority=\"high\" src=\"https:\/\/gvision.be\/wp-content\/uploads\/2026\/09\/restauration-microsoft-365-ransomware-rto-belgique-hero.webp\" width=\"1600\" height=\"900\" decoding=\"async\" alt=\"\u00c9quipe belge coordonnant la restauration de services Microsoft 365 apr\u00e8s un incident ransomware\"><\/picture><figcaption>La reprise commence par des priorit\u00e9s et un point sain, pas par le bouton Restaurer. \u2014 Illustration GVISION<\/figcaption><\/figure>\n<aside class=\"gv-blog-answer\">\n<h2>R\u00e9ponse essentielle<\/h2>\n<p>Apr\u00e8s un ransomware, ne lancez pas une restauration massive tant que les identit\u00e9s, sessions et postes compromis ne sont pas contenus. D\u00e9finissez un RTO par service m\u00e9tier, choisissez un point de r\u00e9cup\u00e9ration ant\u00e9rieur \u00e0 l\u2019intrusion, restaurez d\u2019abord un p\u00e9rim\u00e8tre pilote isol\u00e9, puis \u00e9largissez par vagues. Le d\u00e9lai r\u00e9el inclut l\u2019enqu\u00eate, la d\u00e9cision, le transfert, la validation m\u00e9tier et la r\u00e9ouverture contr\u00f4l\u00e9e \u2014 pas seulement la vitesse de l\u2019outil.<\/p>\n<\/aside>\n<aside class=\"gv-blog-summary\">\n<h2>En bref<\/h2>\n<ul>\n<li>D\u00e9finir RTO et RPO par processus, pas pour \u00ab Microsoft 365 \u00bb en bloc.<\/li>\n<li>Contenir identit\u00e9s, sessions et appareils avant la r\u00e9ouverture.<\/li>\n<li>Choisir un point ant\u00e9rieur au premier indicateur cr\u00e9dible et le tester.<\/li>\n<li>Restaurer par vagues avec un propri\u00e9taire m\u00e9tier et des crit\u00e8res de passage.<\/li>\n<li>Mesurer toute la cha\u00eene, puis corriger le runbook.<\/li>\n<\/ul>\n<\/aside>\n<\/header>\n<nav class=\"gv-blog-toc\" aria-label=\"Sommaire\">\n<h2>Sommaire<\/h2>\n<ol>\n<li><a href=\"#rto\">Que signifie r\u00e9ellement un RTO Microsoft 365 ?<\/a><\/li>\n<li><a href=\"#contain\">Pourquoi faut-il contenir l\u2019incident avant de restaurer ?<\/a><\/li>\n<li><a href=\"#inventory\">Quel inventaire faut-il pr\u00e9parer avant l\u2019incident ?<\/a><\/li>\n<li><a href=\"#options\">Corbeille, r\u00e9tention, Microsoft 365 Backup ou sauvegarde tierce ?<\/a><\/li>\n<li><a href=\"#clean-point\">Comment choisir un point de r\u00e9cup\u00e9ration sain ?<\/a><\/li>\n<li><a href=\"#waves\">Dans quel ordre restaurer Exchange, SharePoint et OneDrive ?<\/a><\/li>\n<li><a href=\"#exchange\">Quels contr\u00f4les sont propres \u00e0 Exchange Online ?<\/a><\/li>\n<li><a href=\"#sharepoint\">Quels contr\u00f4les sont propres \u00e0 SharePoint et OneDrive ?<\/a><\/li>\n<li><a href=\"#performance\">Que promet r\u00e9ellement Microsoft 365 Backup ?<\/a><\/li>\n<li><a href=\"#rto-model\">Comment calculer un RTO r\u00e9aliste ?<\/a><\/li>\n<li><a href=\"#runbook\">Que doit contenir le runbook de reprise ?<\/a><\/li>\n<li><a href=\"#test\">Comment tester sans perturber la production ?<\/a><\/li>\n<li><a href=\"#belgium\">Quels sc\u00e9narios belges changent les priorit\u00e9s ?<\/a><\/li>\n<li><a href=\"#errors\">Quelles erreurs rendent un plan de reprise irr\u00e9aliste ?<\/a><\/li>\n<li><a href=\"#faq\">Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n<\/nav>\n<section class=\"gv-blog-section\" id=\"rto\">\n<h2>Que signifie r\u00e9ellement un RTO Microsoft 365 ?<\/h2>\n<p>Le RTO est le temps maximal accept\u00e9 avant le retour d\u2019un service utilisable. Il ne mesure pas uniquement la dur\u00e9e d\u2019une op\u00e9ration de restauration. Le chronom\u00e8tre englobe la d\u00e9tection, la mise sous contr\u00f4le de l\u2019incident, le choix d\u2019un point sain, le lancement, la v\u00e9rification et la remise \u00e0 disposition. Un objectif de deux heures pour \u00ab Microsoft 365 \u00bb n\u2019a donc gu\u00e8re de sens si personne ne pr\u00e9cise quels utilisateurs, quelles bo\u00eetes aux lettres, quels sites et quelles fonctions doivent revenir.<\/p>\n<p>S\u00e9parez le RTO du RPO. Le RPO exprime la perte de donn\u00e9es maximale acceptable entre le dernier point r\u00e9cup\u00e9rable et l\u2019incident. Une \u00e9quipe peut tol\u00e9rer quatre heures d\u2019indisponibilit\u00e9, mais seulement dix minutes de perte pour une bo\u00eete op\u00e9rationnelle. Inversement, une biblioth\u00e8que d\u2019archives peut accepter un retour le lendemain avec un point plus ancien. Documentez les deux valeurs par processus, avec un propri\u00e9taire qui accepte le compromis.<\/p>\n<p>Pour d\u00e9marrer, classez les services en trois niveaux : continuit\u00e9 imm\u00e9diate, activit\u00e9 du jour et confort. Cette segmentation transforme une promesse abstraite en ordre de travail.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"contain\">\n<h2>Pourquoi faut-il contenir l\u2019incident avant de restaurer ?<\/h2>\n<p>Restaurer dans un environnement encore compromis peut r\u00e9exposer les donn\u00e9es, d\u00e9clencher une nouvelle suppression ou laisser un attaquant exploiter les m\u00eames comptes. Avant toute vague, d\u00e9sactivez ou s\u00e9curisez les identit\u00e9s suspectes, r\u00e9voquez les sessions actives, contr\u00f4lez les r\u00f4les administratifs, examinez les r\u00e8gles de transfert et isolez les appareils concern\u00e9s. La restauration et l\u2019investigation peuvent progresser en parall\u00e8le, mais la r\u00e9ouverture ne doit pas pr\u00e9c\u00e9der un feu vert formel.<\/p>\n<p>Cr\u00e9ez une cellule de d\u00e9cision courte : responsable incident, identit\u00e9, sauvegarde, propri\u00e9taire m\u00e9tier et communication. Elle choisit le point de r\u00e9cup\u00e9ration, arbitre les priorit\u00e9s et conserve un journal horodat\u00e9. Les recommandations de la <a href=\"https:\/\/www.cisa.gov\/stopransomware\/ive-been-hit-ransomware\" target=\"_blank\" rel=\"noopener\">CISA pour les organisations touch\u00e9es par un ransomware<\/a> demandent notamment de trier les syst\u00e8mes affect\u00e9s et de prioriser leur restauration sur un r\u00e9seau propre.<\/p>\n<p>GVISION relie ce travail \u00e0 la <a href=\"https:\/\/gvision.be\/infrastructure-et-cloud\/backup-microsoft-365\/\">protection des donn\u00e9es Microsoft 365<\/a> : la sauvegarde est utile seulement si les droits d\u2019administration, notifications et proc\u00e9dures de reprise sont \u00e9galement prot\u00e9g\u00e9s et test\u00e9s.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"inventory\">\n<h2>Quel inventaire faut-il pr\u00e9parer avant l\u2019incident ?<\/h2>\n<p>Un inventaire de reprise relie les objets techniques aux services m\u00e9tier. Pour Exchange, listez les bo\u00eetes partag\u00e9es, bo\u00eetes de direction, files de commande et adresses de support. Pour SharePoint, identifiez les sites qui portent des proc\u00e9dures, contrats, dossiers clients ou documents d\u2019exploitation. Pour OneDrive, ne classez pas automatiquement chaque compte comme critique : cherchez les utilisateurs dont l\u2019espace personnel h\u00e9berge encore un fichier indispensable au processus.<\/p>\n<p>Ajoutez le propri\u00e9taire, la sensibilit\u00e9, le volume, les d\u00e9pendances, le RTO, le RPO et un ordre de validation. Notez aussi les \u00e9l\u00e9ments non couverts par la solution choisie : configuration, identit\u00e9s, conversations, applications int\u00e9gr\u00e9es ou donn\u00e9es d\u2019un outil tiers. Le mot \u00ab Microsoft 365 \u00bb masque des m\u00e9canismes diff\u00e9rents ; un inventaire incomplet cr\u00e9e une surprise le jour de la reprise.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"options\">\n<h2>Corbeille, r\u00e9tention, Microsoft 365 Backup ou sauvegarde tierce ?<\/h2>\n<p>Ces m\u00e9canismes r\u00e9pondent \u00e0 des besoins diff\u00e9rents. Les versions et corbeilles aident pour une erreur limit\u00e9e. La r\u00e9tention Microsoft Purview pr\u00e9serve du contenu pour la conformit\u00e9 et la recherche, mais n\u2019est pas con\u00e7ue comme un moteur de restauration massive. Microsoft 365 Backup vise Exchange, SharePoint et OneDrive avec des points de r\u00e9cup\u00e9ration et des op\u00e9rations optimis\u00e9es. Une solution tierce peut ajouter une console, une conservation ou des charges de travail sp\u00e9cifiques, mais doit \u00eatre \u00e9valu\u00e9e sur des preuves.<\/p>\n<p>Microsoft explique dans sa <a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/backup\/backup-faq\" target=\"_blank\" rel=\"noopener\">FAQ Microsoft 365 Backup<\/a> que les legal holds sont optimis\u00e9s pour l\u2019export et l\u2019eDiscovery, pas pour une restauration de masse. La <a href=\"https:\/\/learn.microsoft.com\/en-us\/purview\/retention\" target=\"_blank\" rel=\"noopener\">documentation Purview sur la r\u00e9tention<\/a> d\u00e9crit pour sa part la conservation du contenu dans les emplacements de service. Ne transformez donc pas une politique de conformit\u00e9 en promesse de reprise.<\/p>\n<p>Le meilleur choix d\u00e9pend du p\u00e9rim\u00e8tre, de la dur\u00e9e, de la s\u00e9paration administrative, du volume, des fonctions de restauration et du test. Le tableau fournit un cadre, pas un vainqueur universel.<\/p>\n<div class=\"gv-blog-table-wrap\" role=\"region\" aria-label=\"Comparaison des m\u00e9canismes de r\u00e9cup\u00e9ration Microsoft 365\" tabindex=\"0\">\n<table class=\"gv-blog-table\">\n<caption>Comparaison des m\u00e9canismes de r\u00e9cup\u00e9ration Microsoft 365<\/caption>\n<thead>\n<tr>\n<th scope=\"col\">Crit\u00e8re<\/th>\n<th scope=\"col\">Versions et corbeilles<\/th>\n<th scope=\"col\">R\u00e9tention Purview<\/th>\n<th scope=\"col\">Microsoft 365 Backup<\/th>\n<th scope=\"col\">Sauvegarde tierce<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<th scope=\"row\">But principal<\/th>\n<td>Erreur limit\u00e9e et r\u00e9cup\u00e9ration utilisateur<\/td>\n<td>Conformit\u00e9, conservation et eDiscovery<\/td>\n<td>Restauration Exchange, SharePoint et OneDrive \u00e0 grande \u00e9chelle<\/td>\n<td>Protection selon le p\u00e9rim\u00e8tre et les fonctions du fournisseur<\/td>\n<\/tr>\n<tr>\n<th scope=\"row\">Avantage<\/th>\n<td>Imm\u00e9diat et familier<\/td>\n<td>Pr\u00e9serve le contenu selon une politique<\/td>\n<td>Points fr\u00e9quents et restauration optimis\u00e9e dans Microsoft 365<\/td>\n<td>Peut ajouter charges de travail, console ou s\u00e9paration<\/td>\n<\/tr>\n<tr>\n<th scope=\"row\">Limite<\/th>\n<td>Fen\u00eatre et volume limit\u00e9s ; d\u00e9pend du service<\/td>\n<td>Pas optimis\u00e9e pour la restauration de masse<\/td>\n<td>P\u00e9rim\u00e8tre produit et facturation \u00e0 v\u00e9rifier dans le tenant<\/td>\n<td>Capacit\u00e9s, localisation, s\u00e9curit\u00e9 et performances variables<\/td>\n<\/tr>\n<tr>\n<th scope=\"row\">Validation<\/th>\n<td>Restaurer un fichier, une version et un dossier<\/td>\n<td>Tester recherche, export et obligations<\/td>\n<td>Tester lots, point sain, droits et dur\u00e9e compl\u00e8te<\/td>\n<td>Exiger preuves, logs, RTO mesur\u00e9 et sortie des donn\u00e9es<\/td>\n<\/tr>\n<tr>\n<th scope=\"row\">Meilleur choix selon le besoin<\/th>\n<td>Incident ponctuel de faible ampleur<\/td>\n<td>Obligation de conservation et enqu\u00eate<\/td>\n<td>Reprise Microsoft 365 native et restauration \u00e0 l\u2019\u00e9chelle<\/td>\n<td>Besoins suppl\u00e9mentaires v\u00e9rifi\u00e9s par un pilote<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/section>\n<section class=\"gv-blog-section\" id=\"clean-point\">\n<h2>Comment choisir un point de r\u00e9cup\u00e9ration sain ?<\/h2>\n<p>Le dernier point disponible n\u2019est pas toujours le bon. L\u2019attaque peut avoir commenc\u00e9 avant le chiffrement visible : vol de session, r\u00e8gle de bo\u00eete aux lettres, application consentie, synchronisation malveillante ou modifications lentes. Combinez les journaux d\u2019identit\u00e9, alertes de s\u00e9curit\u00e9, changements d\u2019administration et t\u00e9moignages m\u00e9tier pour \u00e9tablir une fen\u00eatre de compromission.<\/p>\n<p>Choisissez un point avant le premier indicateur cr\u00e9dible, puis testez-le sur un petit p\u00e9rim\u00e8tre. Comparez des fichiers repr\u00e9sentatifs, leurs versions, exp\u00e9diteurs, dates et droits. Recherchez aussi les m\u00e9canismes persistants : r\u00e8gle de transport, d\u00e9l\u00e9gation de bo\u00eete, compte invit\u00e9, application OAuth ou appareil synchronis\u00e9. Un contenu intact peut \u00eatre remis en danger par une configuration rest\u00e9e hostile.<\/p>\n<p>Documentez le raisonnement et l\u2019incertitude. S\u2019il existe deux points plausibles, un pilote sur chacun peut \u00eatre plus s\u00fbr qu\u2019une restauration globale pr\u00e9cipit\u00e9e. Le propri\u00e9taire m\u00e9tier doit accepter la perte de donn\u00e9es correspondant au point retenu.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"waves\">\n<h2>Dans quel ordre restaurer Exchange, SharePoint et OneDrive ?<\/h2>\n<p>Travaillez par vagues plut\u00f4t que par produit entier. La vague z\u00e9ro s\u00e9curise les comptes d\u2019administration, le canal de crise et les postes utilis\u00e9s pour la reprise. La premi\u00e8re remet les communications et documents indispensables \u00e0 la cellule. La deuxi\u00e8me cible les services qui bloquent directement l\u2019activit\u00e9. La troisi\u00e8me couvre les \u00e9quipes du jour. La quatri\u00e8me traite le reste et les demandes individuelles.<\/p>\n<p>Dans Exchange, commencez par les bo\u00eetes op\u00e9rationnelles et partag\u00e9es qui re\u00e7oivent commandes, demandes ou alertes. Dans SharePoint, priorisez les sites li\u00e9s \u00e0 ces bo\u00eetes. Dans OneDrive, restaurez les personnes critiques seulement apr\u00e8s avoir confirm\u00e9 leurs appareils et clients de synchronisation. Chaque vague poss\u00e8de un responsable, un lot limit\u00e9, des crit\u00e8res d\u2019entr\u00e9e, un test et une d\u00e9cision de passage.<\/p>\n<p>Une grande restauration n\u2019est pas forc\u00e9ment plus rapide qu\u2019une s\u00e9quence contr\u00f4l\u00e9e. Les premi\u00e8res vagues doivent produire de la valeur m\u00e9tier tout en validant la m\u00e9thode.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"exchange\">\n<h2>Quels contr\u00f4les sont propres \u00e0 Exchange Online ?<\/h2>\n<p>La bo\u00eete restaur\u00e9e doit \u00eatre v\u00e9rifi\u00e9e au-del\u00e0 du nombre de messages. Contr\u00f4lez les dossiers, \u00e9l\u00e9ments envoy\u00e9s, calendrier, contacts, archives et pi\u00e8ces jointes repr\u00e9sentatives. V\u00e9rifiez les d\u00e9l\u00e9gations, r\u00e8gles de bo\u00eete, transferts, connecteurs et r\u00e8gles de transport qui pourraient avoir servi \u00e0 la fraude ou \u00e0 la persistance. Pour une bo\u00eete partag\u00e9e, faites valider les membres et les droits Envoyer en tant que.<\/p>\n<p>D\u00e9finissez comment g\u00e9rer les messages re\u00e7us pendant la crise. Une restauration sur place, une restauration vers un autre emplacement ou un export temporaire ne cr\u00e9ent pas la m\u00eame exp\u00e9rience. Pr\u00e9voyez les doublons et la r\u00e9conciliation.<\/p>\n<p>Testez la recherche d\u2019un message connu, l\u2019ouverture d\u2019une pi\u00e8ce jointe et l\u2019envoi depuis un compte autoris\u00e9. Ne rouvrez pas automatiquement tous les clients Outlook si certains appareils restent suspects.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"sharepoint\">\n<h2>Quels contr\u00f4les sont propres \u00e0 SharePoint et OneDrive ?<\/h2>\n<p>Pour SharePoint, v\u00e9rifiez la structure du site, les biblioth\u00e8ques, m\u00e9tadonn\u00e9es, versions, liens et permissions. Une restauration vers la m\u00eame URL facilite parfois le retour des utilisateurs, mais augmente le besoin de s\u2019assurer que la configuration est saine. Une restauration vers un nouvel emplacement peut prot\u00e9ger l\u2019original pour l\u2019enqu\u00eate et faciliter la comparaison, au prix d\u2019une r\u00e9int\u00e9gration plus organis\u00e9e.<\/p>\n<p>Pour OneDrive, surveillez la synchronisation. Un poste compromis ou un client rest\u00e9 hors ligne peut renvoyer des modifications ind\u00e9sirables \u00e0 la reconnexion. Validez d\u2019abord avec un navigateur propre et un compte pilote. Rouvrez ensuite les clients de synchronisation par groupes et observez les conflits, suppressions et volumes de changement.<\/p>\n<p>Microsoft indique dans son <a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/backup\/backup-restore-data\" target=\"_blank\" rel=\"noopener\">guide officiel de restauration<\/a> que Microsoft 365 Backup peut restaurer vers l\u2019emplacement original ou un nouvel emplacement, avec des modes normal ou express selon le sc\u00e9nario. Le choix doit correspondre au plan de validation, pas \u00e0 la seule vitesse annonc\u00e9e.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"performance\">\n<h2>Que promet r\u00e9ellement Microsoft 365 Backup ?<\/h2>\n<p>La documentation Microsoft 365 Backup, mise \u00e0 jour le 18 ao\u00fbt 2026, d\u00e9crit une protection de bo\u00eetes Exchange, comptes OneDrive et sites SharePoint dans les limites de donn\u00e9es des services. Elle publie des fr\u00e9quences de points de r\u00e9cup\u00e9ration et des attentes de performance, notamment des points express pour certains sc\u00e9narios. Ces valeurs sont des caract\u00e9ristiques \u00e9diteur, pas un RTO contractuel pour votre organisation.<\/p>\n<p>Le temps observ\u00e9 d\u00e9pend notamment du nombre d\u2019objets, de leur taille, du type de restauration, de la file de t\u00e2ches et de la validation. Une op\u00e9ration techniquement termin\u00e9e n\u2019est pas encore un service revenu : il faut confirmer l\u2019int\u00e9grit\u00e9, les droits, les applications et le poste utilisateur. Utilisez l\u2019<a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/backup\/backup-overview\" target=\"_blank\" rel=\"noopener\">aper\u00e7u officiel de Microsoft 365 Backup<\/a> comme base, puis mesurez votre tenant.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"rto-model\">\n<h2>Comment calculer un RTO r\u00e9aliste ?<\/h2>\n<p>D\u00e9composez le RTO en six blocs : d\u00e9tection et d\u00e9cision, confinement, pr\u00e9paration des comptes d\u2019administration, s\u00e9lection du point, restauration technique, puis validation et r\u00e9ouverture. Pour chaque bloc, indiquez une hypoth\u00e8se basse, habituelle et d\u00e9grad\u00e9e. Le total r\u00e9aliste est rarement la valeur affich\u00e9e par la console.<\/p>\n<p>Construisez des objectifs par niveau. Par exemple, la cellule de crise et les bo\u00eetes op\u00e9rationnelles critiques peuvent viser quelques heures ; les sites essentiels, la m\u00eame journ\u00e9e ; les espaces secondaires, le jour ouvrable suivant. Ces valeurs sont des exemples de m\u00e9thode, pas des engagements universels.<\/p>\n<p>Incluez les d\u00e9pendances : DNS, identit\u00e9, MFA, postes propres, r\u00e9seau, fournisseur de sauvegarde, support Microsoft et d\u00e9cideur m\u00e9tier. Si une seule personne conna\u00eet la proc\u00e9dure, ajoutez le temps de mobilisation et formez un rempla\u00e7ant.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"runbook\">\n<h2>Que doit contenir le runbook de reprise ?<\/h2>\n<p>Le runbook indique qui d\u00e9clare l\u2019incident, qui bloque les sessions, qui acc\u00e8de \u00e0 la sauvegarde, qui choisit le point et qui valide chaque service. Ajoutez les comptes d\u2019urgence, coordonn\u00e9es du fournisseur, proc\u00e9dures de preuve, canaux de communication hors bande et mod\u00e8le de d\u00e9cision.<\/p>\n<p>Pr\u00e9parez des commandes et captures de r\u00e9f\u00e9rence sans stocker de secret dans le document. D\u00e9finissez les noms des lots, l\u2019ordre de priorit\u00e9, les crit\u00e8res d\u2019arr\u00eat et le retour arri\u00e8re. Pr\u00e9cisez o\u00f9 conserver le journal d\u2019\u00e9v\u00e9nements et comment enregistrer une exception.<\/p>\n<p>Le <a href=\"https:\/\/gvision.be\/infrastructure-et-cloud\/disaster-recovery-plan-drp\/\">plan de reprise informatique<\/a> relie cette reprise SaaS aux autres d\u00e9pendances : identit\u00e9s, postes, r\u00e9seau, applications et communication.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"test\">\n<h2>Comment tester sans perturber la production ?<\/h2>\n<p>Choisissez un site, une bo\u00eete partag\u00e9e et un compte OneDrive non sensibles mais repr\u00e9sentatifs. Cr\u00e9ez des fichiers et messages t\u00e9moins, modifiez-les, supprimez-en une partie et notez l\u2019heure. Lancez une restauration vers un emplacement isol\u00e9 ou un lot contr\u00f4l\u00e9. Mesurez chaque \u00e9tape depuis la d\u00e9cision jusqu\u2019\u00e0 la validation m\u00e9tier.<\/p>\n<p>Le test doit v\u00e9rifier le contenu, les versions, la recherche, les pi\u00e8ces jointes, les droits et la capacit\u00e9 d\u2019un utilisateur propre \u00e0 travailler. Simulez aussi un \u00e9chec : point erron\u00e9, volume sup\u00e9rieur, propri\u00e9taire absent ou compte administrateur indisponible.<\/p>\n<p>Apr\u00e8s le test, consignez la dur\u00e9e par phase, les \u00e9carts et les actions. Un statut \u00ab termin\u00e9 \u00bb dans la console n\u2019est pas une validation de processus.<\/p>\n<figure class=\"gv-blog-figure\"><picture><source srcset=\"https:\/\/gvision.be\/wp-content\/uploads\/2026\/09\/valider-restauration-microsoft-365-equipe.webp\" type=\"image\/webp\"><img loading=\"lazy\" src=\"https:\/\/gvision.be\/wp-content\/uploads\/2026\/09\/valider-restauration-microsoft-365-equipe.webp\" width=\"1200\" height=\"800\" loading=\"lazy\" decoding=\"async\" alt=\"Administrateur et responsable m\u00e9tier validant des e-mails et documents restaur\u00e9s dans un environnement de test\"><\/picture><figcaption>La validation m\u00e9tier pr\u00e9c\u00e8de la r\u00e9ouverture g\u00e9n\u00e9rale. \u2014 Illustration GVISION<\/figcaption><\/figure>\n<figure class=\"gv-blog-figure gv-blog-infographic\"><picture><source srcset=\"https:\/\/gvision.be\/wp-content\/uploads\/2026\/09\/vagues-restauration-microsoft-365-fr.svg\" type=\"image\/svg+xml\"><img loading=\"lazy\" src=\"https:\/\/gvision.be\/wp-content\/uploads\/2026\/09\/vagues-restauration-microsoft-365-fr.png\" width=\"1200\" height=\"900\" loading=\"lazy\" decoding=\"async\" alt=\"Chronologie en cinq vagues pour restaurer Microsoft 365 apr\u00e8s un ransomware\"><\/picture><figcaption>Chronologie en cinq vagues pour restaurer Microsoft 365 apr\u00e8s un ransomware \u2014 Illustration GVISION<\/figcaption><\/figure>\n<\/section>\n<section class=\"gv-blog-section\" id=\"belgium\">\n<h2>Quels sc\u00e9narios belges changent les priorit\u00e9s ?<\/h2>\n<p>Un cabinet comptable peut prioriser la bo\u00eete de r\u00e9ception des documents et le site des \u00e9ch\u00e9ances fiscales. Une \u00e9cole peut remettre d\u2019abord les communications de direction et les espaces n\u00e9cessaires aux cours du jour. Un groupe multi-sites peut restaurer le service desk, les proc\u00e9dures d\u2019exploitation et les sites des implantations selon leur capacit\u00e9 \u00e0 travailler hors ligne.<\/p>\n<p>Une ASBL doit prot\u00e9ger les donn\u00e9es de donateurs et r\u00e9tablir les campagnes sans rouvrir un acc\u00e8s compromis. Un \u00e9tablissement de sant\u00e9 distingue l\u2019information clinique h\u00e9berg\u00e9e ailleurs des documents administratifs Microsoft 365 ; il ne doit pas confondre disponibilit\u00e9 documentaire et continuit\u00e9 des soins. Une administration conserve les obligations de preuve et de d\u00e9cision pendant la reprise.<\/p>\n<\/section>\n<section class=\"gv-blog-section\" id=\"errors\">\n<h2>Quelles erreurs rendent un plan de reprise irr\u00e9aliste ?<\/h2>\n<p>La premi\u00e8re erreur consiste \u00e0 confondre r\u00e9tention, disponibilit\u00e9 et sauvegarde. La deuxi\u00e8me est de mesurer seulement la copie des donn\u00e9es. Viennent ensuite l\u2019absence d\u2019inventaire, le point choisi sans enqu\u00eate, le compte administrateur unique, les appareils non assainis, la restauration globale sans pilote et la r\u00e9ouverture sans validation m\u00e9tier.<\/p>\n<p>\u00c9vitez aussi les objectifs identiques pour toutes les donn\u00e9es, les estimations sans volume et les preuves stock\u00e9es uniquement dans le tenant touch\u00e9. Ne testez pas seulement une suppression accidentelle si le sc\u00e9nario prioritaire est un ransomware. Ne promettez pas un d\u00e9lai \u00e0 la direction avant d\u2019avoir mesur\u00e9 le temps de confinement, de d\u00e9cision et de contr\u00f4le.<\/p>\n<\/section>\n<aside class=\"gv-blog-takeaways\">\n<h2>\u00c0 retenir<\/h2>\n<ul>\n<li>D\u00e9finir RTO et RPO par processus, pas pour \u00ab Microsoft 365 \u00bb en bloc.<\/li>\n<li>Contenir identit\u00e9s, sessions et appareils avant la r\u00e9ouverture.<\/li>\n<li>Choisir un point ant\u00e9rieur au premier indicateur cr\u00e9dible et le tester.<\/li>\n<li>Restaurer par vagues avec un propri\u00e9taire m\u00e9tier et des crit\u00e8res de passage.<\/li>\n<li>Mesurer toute la cha\u00eene, puis corriger le runbook.<\/li>\n<\/ul>\n<\/aside>\n<section class=\"gv-blog-section gv-blog-faq\" id=\"faq\">\n<h2>Questions fr\u00e9quentes<\/h2>\n<details>\n<summary>Microsoft 365 sauvegarde-t-il automatiquement toutes les donn\u00e9es ?<\/summary>\n<p>Microsoft fournit r\u00e9silience, r\u00e9tention et m\u00e9canismes de r\u00e9cup\u00e9ration propres \u00e0 chaque service, mais cela ne garantit pas chaque RPO, dur\u00e9e de conservation ou sc\u00e9nario de restauration. Cartographiez les besoins et testez la solution activ\u00e9e.<\/p>\n<\/details>\n<details>\n<summary>Le RTO commence-t-il au clic sur Restaurer ?<\/summary>\n<p>Non. Un RTO m\u00e9tier inclut la d\u00e9tection, le confinement, la d\u00e9cision, la restauration, la validation et la r\u00e9ouverture. Mesurer uniquement la t\u00e2che technique sous-estime le d\u00e9lai.<\/p>\n<\/details>\n<details>\n<summary>Purview Retention remplace-t-il une sauvegarde ?<\/summary>\n<p>Non. La r\u00e9tention sert d\u2019abord la conservation, la conformit\u00e9 et l\u2019eDiscovery. Elle peut aider \u00e0 retrouver du contenu, mais Microsoft distingue cette fonction d\u2019une restauration massive optimis\u00e9e.<\/p>\n<\/details>\n<details>\n<summary>Faut-il restaurer au m\u00eame emplacement ?<\/summary>\n<p>Pas toujours. Le m\u00eame emplacement simplifie les habitudes et les liens ; un nouvel emplacement facilite l\u2019isolement, la comparaison et la pr\u00e9servation de l\u2019original.<\/p>\n<\/details>\n<details>\n<summary>Quel service restaurer en premier ?<\/summary>\n<p>Le service qui r\u00e9tablit la capacit\u00e9 m\u00e9tier prioritaire, pas n\u00e9cessairement le plus gros. Une bo\u00eete partag\u00e9e et un site op\u00e9rationnel peuvent pr\u00e9c\u00e9der des milliers de comptes secondaires.<\/p>\n<\/details>\n<details>\n<summary>Comment prouver qu\u2019un point est sain ?<\/summary>\n<p>Croisez journaux d\u2019identit\u00e9, alertes, changements d\u2019administration et observations m\u00e9tier, puis restaurez un \u00e9chantillon isol\u00e9. Aucune console ne peut remplacer compl\u00e8tement cette analyse.<\/p>\n<\/details>\n<details>\n<summary>\u00c0 quelle fr\u00e9quence tester ?<\/summary>\n<p>Testez apr\u00e8s un changement majeur et \u00e0 une cadence compatible avec la criticit\u00e9. Pour les services essentiels, un exercice r\u00e9gulier avec preuves, chronom\u00e9trage et actions correctives est plus utile qu\u2019une v\u00e9rification symbolique annuelle.<\/p>\n<\/details>\n<\/section>\n<section class=\"gv-blog-section\" id=\"conclusion\">\n<h2>Conclusion : un RTO cr\u00e9dible se prouve par un test<\/h2>\n<p>Une sauvegarde n\u2019est pas un d\u00e9lai. Le RTO devient cr\u00e9dible lorsque l\u2019organisation a mesur\u00e9 la cha\u00eene compl\u00e8te, corrig\u00e9 les blocages et obtenu une validation m\u00e9tier. GVISION peut vous aider \u00e0 <a href=\"https:\/\/gvision.be\/contacts\/\">pr\u00e9parer un test de restauration avec GVISION<\/a>, avec un p\u00e9rim\u00e8tre pilote, des crit\u00e8res de r\u00e9ussite et un plan d\u2019am\u00e9lioration.<\/p>\n<\/section>\n<footer class=\"gv-blog-footer\">\n<h2>Sources<\/h2>\n<ul>\n<li><a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/backup\/backup-overview\" target=\"_blank\" rel=\"noopener\">Microsoft 365 Backup overview<\/a><\/li>\n<li><a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/backup\/backup-restore-data\" target=\"_blank\" rel=\"noopener\">Restore data in Microsoft 365 Backup<\/a><\/li>\n<li><a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/backup\/backup-faq\" target=\"_blank\" rel=\"noopener\">Microsoft 365 Backup FAQ<\/a><\/li>\n<li><a href=\"https:\/\/learn.microsoft.com\/en-us\/purview\/retention\" target=\"_blank\" rel=\"noopener\">Microsoft Purview retention<\/a><\/li>\n<li><a href=\"https:\/\/www.cisa.gov\/stopransomware\/ive-been-hit-ransomware\" target=\"_blank\" rel=\"noopener\">CISA ransomware recovery guidance<\/a><\/li>\n<\/ul>\n<\/footer>\n<\/article>\n","protected":false},"excerpt":{"rendered":"<p>Runbook belge pour choisir un point sain, restaurer Microsoft 365 par vagues et valider la reprise.<\/p>","protected":false},"author":4,"featured_media":13217,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_price":"","_stock":"","_tribe_ticket_header":"","_tribe_default_ticket_provider":"","_tribe_ticket_capacity":"0","_ticket_start_date":"","_ticket_end_date":"","_tribe_ticket_show_description":"","_tribe_ticket_show_not_going":false,"_tribe_ticket_use_global_stock":"","_tribe_ticket_global_stock_level":"","_global_stock_mode":"","_global_stock_cap":"","_tribe_rsvp_for_event":"","_tribe_ticket_going_count":"","_tribe_ticket_not_going_count":"","_tribe_tickets_list":"[]","_tribe_ticket_has_attendee_info_fields":false,"footnotes":""},"categories":[96,18],"tags":[],"class_list":["post-13216","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-fr","category-cybersecurite"],"_links":{"self":[{"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/posts\/13216","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/comments?post=13216"}],"version-history":[{"count":1,"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/posts\/13216\/revisions"}],"predecessor-version":[{"id":13225,"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/posts\/13216\/revisions\/13225"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/media\/13217"}],"wp:attachment":[{"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/media?parent=13216"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/categories?post=13216"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/gvision.be\/nl\/wp-json\/wp\/v2\/tags?post=13216"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}