Quand l’attaque devient inévitable, faire de la reprise d’activité un enjeu business. RUBRIK-Alain Afflelou 

Future of It 2026 – room cyber

Face à l’inévitabilité des cyberattaques, la remédiation devient aussi critique que la prévention.

Comment sauvegarder et sécuriser vos données critiques dans vos data centers on-prem, vos plateformes cloud et vos applications SaaS et restaurer rapidement los données, où qu’elles se trouvent, tout en surveillant les risques associés.

Au-delà de la sanctuarisation des données, se posent désormais des questions cruciales :
Comment identifier la copie saine et détecter les données sensibles impactées ? Dans un contexte où les sauvegardes sont compromises dans plus de 9 cas sur 10 lors d’attaques par ransomware, DSI et RSSI doivent repenser en profondeur leur stratégie de résilience.

Retour d’expérience sur la transformation des stratégies de sauvegarde et de cyber-résilience avec Brice Pinsart, Directeur Technique chez RUBRIK, (22 Pays – 3 000 employés – 6 100 clients) et Ludovic Tassy, DSI Groupe Alain Afflelou (19 Pays – 1484 Magasins – 1.1 Milliards d’euros TTC – 300 Salariés – 5 000 Collaborateurs et franchisés en France – 800 Franchisés dans le monde).

Au programme : les vulnérabilités des architectures traditionnelles, l’approche hyperconvergée avec gap logique et invisibilité réseau, la protection des données structurées et non structurées, les environnements on-premises et cloud public avec contournement des limitations des tiers chauds natifs), la sauvegarde SaaS (Microsoft 365, Salesforce, Jira), la sécurisation des services d’identité critiques (Okta, Active Directory, Entra ID), l’architecture zero trust avec MFA obligatoire et mécanisme de quorum pour la validation des modifications de rétention, la définition d’un Minimum Viable Company (tier 0), et un ROI documenté sur 6 ans : 20 % de réduction des coûts opérationnels et impact mesurable sur les primes d’assurance cyber.

Effet collatéral positif : le DSI dort mieux et ses actionnaires aussi.

ENTRETIEN

Julien Merali
Bienvenue à Future Of IT Tour Paris – room cyber, consacré aujourd’hui au thème de la cybersécurité. Nous sommes ravis de vous accueillir pour cette journée de contenus, exclusivement composée de retours d’expérience de vos pairs et de décideurs, qui viendront témoigner des enjeux de cybersécurité qu’ils ont rencontrés, ainsi que des projets menés ces derniers mois.

Nous aurons le plaisir d’accueillir nos partenaires, qui viendront témoigner aux côtés de vos pairs, notamment Tenexa, Poggi Avocats IT, Cheops Technology et Rubrik maintenant, sur un thème qui vous concerne toutes et tous la cyber‑résilience des données: Quand l’attaque devient inévitable : faire de la reprise d’activité un enjeu business.

On le sait bien aujourd’hui : les attaques sont inévitables. En revanche, la capacité à redémarrer rapidement les activités critiques constitue un enjeu business majeur.

Le groupe Alain Afflelou,  opticien et acousticien, a fait de la reprise d’activité un pilier de sa stratégie de résilience, dans un contexte où les systèmes d’information soutiennent directement l’activité commerciale et opérationnelle, et où le business se fait aussi sur le digital. Le groupe Alain Afflelou a ainsi choisi Rubrik pour l’accompagner dans la cyber‑résilience de ses données.

Brice Pinsart, est‑ce que vous pouvez nous présenter Rubrik ?

Brice Pinsart
Rubrik est une société qui a douze ans, qui réalise environ 1,5 milliard de dollars de chiffre d’affaires en revenus récurrents, avec 40 % de croissance.
Rubrik prend le contre‑pied de beaucoup d’acteurs du monde de la cybersécurité, puisque l’essentiel des communications et du marché se concentre aujourd’hui sur la prévention.

Chez Rubrik, nous avons fait un choix différent : nous nous intéressons à la remédiation. Nous avons la conviction que le risque zéro n’existe pas, et qu’il est indispensable de garantir la capacité d’une organisation à redémarrer.

Julien Merali
Ludovic, pouvez‑vous nous présenter le groupe Alain Afflelou et les enjeux IT associés ?

Ludovic Tassy
Le groupe Alain Afflelou, ce sont environ 1 400 magasins, répartis dans 19 pays à travers le monde. Deux grandes activités, l’optique et l’audioprothèse. Et de forts enjeux autour du digital, au sens large, avec beaucoup d’échanges de données partenaires, franchisés, fournisseurs.

Donc beaucoup d’interactions et de possibilités de cyberattaques. Cela implique évidemment de forts enjeux de reprise d’activité et la nécessité d’être certain que les données sont correctement sauvegardées.

Et cela fait 6 ans que nous travaillons avec Rubrik aujourd’hui ?

Julien Merali
Comment fonctionniez‑vous auparavant sur ces sujets de reprise d’activité et de sauvegarde ?

Ludovic Tassy
Avant, nous avions plusieurs outils de sauvegarde selon les plateformes, donc plusieurs solutions, avec des spécialistes sur chacun de ces outils. Cela générait des soucis de jobs qui finissent par se cannibaliser, un job de sauvegarde qui empêche le suivant de démarrer, etc.

Et donc, beaucoup de temps passé sur ces sujets.

Julien Merali
Ça veut aussi dire plusieurs collaborateurs mobilisés, donc du temps et de l’argent pour l’entreprise.

Ludovic Tassy
Tout à fait. Ce sont des enjeux de connaissance de ces plateformes et du temps passé sur ces sujets. Et quand on commence à avoir des problèmes de sauvegarde, qu’il faut tout relancer parce qu’une sauvegarde a échoué pour une raison ou une autre, cela mobilise un temps collaborateur très important.

Julien Merali
Brice, côté Rubrik, vous avez une vision assez globale du marché. Quel est aujourd’hui le niveau de maturité des directions IT et Cyber en matière de cybersécurité, et plus particulièrement sur la reprise d’activité dans les grandes entreprises ?

Brice Pinsart
Deux éléments de réponse. D’abord, le marché de la sauvegarde et de la restauration traditionnelle existe depuis des décennies. C’est un marché extrêmement mature, et la quasi‑totalité des organisations disposent aujourd’hui d’une stratégie de sauvegarde, de RTO (objectif de délai de restauration ou durée d’interruption de service visée en cas de panne informatique). Et il y a donc une vraie maturité sur cet axe sauvegarde‑restauration.

En revanche, dans le cas d’une cyberattaque, des enjeux supplémentaires apparaissent : comprendre ce qui a été touché, identifier le périmètre impacté, savoir ce qu’il faut restaurer, retrouver la copie saine, déterminer le bon moment pour restaurer. Et si l’on restaure des données dont on n’est pas certain, comment s’assurer d’éliminer les malwares potentiels, les indicateurs de compromission, etc.

Tous ces enjeux compromettent la capacité d’une organisation à atteindre son RTO, à remettre rapidement ses applications en ligne. Sur cet angle‑là, la maturité est beaucoup plus faible, car la problématique est nettement plus complexe.

Julien Merali
Qu’est‑ce qui vous différencie, dans un marché qui remonte à l’époque des bandes de sauvegarde, toujours utilisées d’ailleurs ?

Brice Pinsart
Comme je l’évoquais, il y a d’abord ces capacités à identifier la copie saine, à comprendre le périmètre touché, ce qu’il faut restaurer, et à détecter si des données sensibles sont impactées — ce qui est particulièrement important en France.
Et puis il y a un deuxième volet, dont on parle moins : la capacité à sanctuariser les sauvegardes.

Pourquoi ? Parce que si l’on se place un instant du point de vue d’un attaquant, pour obtenir une rançon dans un scénario de ransomware, il faut s’assurer que les sauvegardes ne sont pas exploitables.

Et les sauvegardes sont d’ailleurs attaquées dans plus de neuf cas sur dix. Dans des systèmes de sauvegarde traditionnels, sans jugement de valeur, les sauvegardes sont souvent stockées sur des environnements tiers, dont la protection n’est pas toujours à la hauteur pour ce type d’événement.

Un exemple classique : si un attaquant compromet une baie de stockage, on va pouvoir désactiver l’immuabilité, supprimer certains paramètres, changer l’heure ou la date — des pratiques très courantes dans le monde de la sauvegarde traditionnelle.

Tous ces mécanismes permettent, chez Rubrik, de sanctuariser les sauvegardes. Et c’est absolument essentiel en cas de cyberattaque.

Julien Merali
Ludovic, qu’est-ce qui vous a poussé à faire appel à Rubrik pour gérer ces sujets de sauvegarde et de reprise d’activité ?

Ludovic Tassy
Un des sujets qui vient d’être évoqué, ce sont les sauvegardes inaliénables. Clairement, ça a été l’un des facteurs déclencheurs. Cela permet quand même de dormir tranquille, de savoir que ses sauvegardes sont protégées, propres, et que l’on pourra repartir sur ce jeu de données en cas de besoin.

Ensuite, Rubrik sauvegarde tous types de données. On en est même à sauvegarde des serveurs physiques et virtuels, mais aussi des données non structurées : photos, vidéos, etc. Cela couvre vraiment l’ensemble des usages.
Il y a aussi la simplicité d’utilisation : une interface unique, accessible à l’ensemble des équipes techniques, ce qui rend l’usage globalement très simple.

Et des restaurations, on en fait tous les jours. Tous les jours, il se passe quelque chose : un utilisateur supprime un fichier, une erreur intervient… Bref, les restaurations sont quotidiennes. Et donc, à partir d’une interface unique, commune à tout le monde, c’est quand même très facile à utiliser.

Julien Merali
Brice, comment abordez-vous chez Rubrik les problématiques métiers critiques, comme celles du groupe Alain Afflelou ? Est-ce que vous faites du « tuning » (réglages) en fonction des clients ?

Brice Pinsart
C’est la même solution pour tous les types de clients. Ce qui est intéressant, en revanche, c’est la manière dont les projets sont travaillés conjointement par nos partenaires intégrateurs, Rubrik et nos clients. On observe aujourd’hui une tendance très claire : les organisations définissent ce que l’on appelle en anglais un Minimum Viable Company.

Cela correspond à un périmètre d’applications critiques : si demain une organisation doit repartir de zéro, quelles sont les applications, les dépendances, les bases de données, les VM (machines virtuelles), les briques de sécurité à relancer pour remettre le business en marche ?

Ce périmètre est parfois appelé le « tier zéro ». Les appellations varient selon les clients. Avoir cette approche est déjà très structurant : cela suppose une forte maturité pour disposer de cette cartographie. Une fois celle-ci établie, elle permet de définir des règles de restauration et de sécurité spécifiques, adaptées à ces environnements critiques, afin de repartir rapidement sur ces périmètres.

Julien Merali
Ludovic, au-delà du projet que vous avez mené, y a-t-il eu un élément déclencheur et qu’est-ce qui vous a conduit à choisir Rubrik plutôt qu’une autre solution ?

Ludovic Tassy
L’élément déclencheur, c’était clairement le temps passé à gérer les sauvegardes. Ce temps devenait de plus en plus important, parce que, comme je l’expliquais, les jobs finissaient par se percuter les uns les autres. On arrivait à un point où, sur une journée complète, on n’avait parfois même pas assez de temps pour sauvegarder l’ensemble de ce qui devait l’être.

Ensuite, avec le recul — et ça, on l’a vraiment mesuré après coup — Rubrik représente certes un investissement, mais aujourd’hui, avec six ans de recul, on peut dire qu’on a globalement gagné environ 20 % sur l’ensemble des sujets liés aux sauvegardes.

Julien Merali
C’est un sujet que l’on entend souvent concernant ces solutions de sauvegarde onéreuses mais en tenant compte du temps passé, de l’administration et de la gestion, vous avez finalement gagné de l’argent.

Ludovic Tassy
Oui, tout à fait. On a gagné de l’argent sur deux aspects. D’abord sur le temps homme passé : globalement, on estime un gain d’environ 20 % sur les coûts.
Et il y a un deuxième sujet que j’aime bien citer : pendant très longtemps, à chaque renégociation de nos assurances cyber, les coûts augmentaient tandis que les périmètres couverts diminuaient.

Et il y a trois ans, nous avons atteint un plateau, et aujourd’hui les coûts d’assurance commencent même à baisser. Rubrik n’est évidemment pas le seul facteur, mais il contribue clairement à la confiance que les assureurs accordent aux solutions que nous avons mises en œuvre.

Julien Merali
En quoi l’architecture Rubrik — notamment l’isolation et l’immutabilité des sauvegardes — fait-elle la différence par rapport à d’autres solutions ? Et qui garantit que Rubrik ne sera pas cyberattaqué et que les données restent propres ?

Brice Pinsart
Sans entrer dans des considérations trop techniques, historiquement, beaucoup de solutions de sauvegarde reposent sur un logiciel qui tourne sur un système d’exploitation, souvent Windows, lui-même hébergé sur une machine virtuelle. Ce logiciel sauvegarde ensuite les données sur une base de stockage, puis éventuellement sur des bandes ou des systèmes d’archivage.

Ce modèle présente plusieurs risques. Même si le logiciel de sauvegarde est robuste, si le système d’exploitation sous-jacent — par exemple Windows — est chiffré ou attaqué, le logiciel devient indisponible.

De la même manière avec les VM, on observe une recrudescence des attaques au niveau des hyperviseurs. Si une vulnérabilité est exploitée à ce niveau, toutes les machines virtuelles peuvent être impactées, indépendamment de l’EDR ou des fichiers de sauvegarde que vous pouviez voir dedans.

Dans ce cas, les sauvegardes deviennent des victimes collatérales, rendant leur exploitation impossible.

Rubrik, en tant qu’acteur plus récent, n’a pas fait ce choix d’architecture. Nous nous appuyons sur un modèle hyperconvergé.

Concrètement, plusieurs appliances peuvent être ajoutées très simplement, avec un système d’exploitation distribué sur l’ensemble des appliances, tout comme les données. Cela nous permet de maîtriser totalement la solution : les données sont sauvegardées directement dans nos appliances.

Typiquement, un attaquant qui scannerait le réseau d’une organisation ne verrait pas les sauvegardes : pas de S3 exposé, pas de NFS visible, uniquement une interface d’administration.

Les données sont immuables, avec ce que nous appelons un « gap logique » dans la solution. De plus, notre architecture repose sur un design zero trust : donc vous n’avez pas la possibilité de vous dialoguer sans MFA pour toutes les modifications que vous allez pouvoir faire. Sur les délais de rétention, il va falloir le faire valider par plusieurs administrateurs.

L’ensemble de ces mécanismes garantit l’inviolabilité des sauvegardes.

Julien Merali
Ludovic, comment s’est passé le déploiement de la solution ? C’est un point qui fait parfois peur aux organisations.

Ludovic Tassy
Nous avons été accompagnés par l’un des partenaires de Rubrik. Le déploiement s’est fait assez rapidement. Globalement, en un mois, nous étions opérationnels sur la nouvelle solution et sur ce nouveau système de sauvegarde. Mon CTO a été onboardé dès le départ et le déploiement s’est déroulé de manière très fluide

Julien Merali
Est-ce qu’il y a des choses à anticiper ou à prévoir pour prévenir certains écueils lorsqu’on déploie une solution comme Rubrik ?

Brice Pinsart
L’intégration est réellement très simple. Grâce aux API, tout le monde utilise les mêmes mécanismes d’intégration. Que ce soit avec Microsoft 365, VMware, des environnements Microsoft ou Oracle, l’intégration est relativement simple — tout est bien sûr relatif.

Ce qui est un peu plus complexe, et qui nécessite davantage d’expertise et d’accompagnement, c’est la mise en place des processus de restauration. Quand je parle de processus, c’est au sens large : process internes, cellules de crise, gestion humaine, etc. Cela demande un peu d’adaptation et de transformation. Comme toujours, la technique reste un outil au service du business, et cette transformation est aussi humaine.

La définition de la criticité des applications, les règles de restauration, tout cela peut demander un peu plus de travail. Mais techniquement, à proprement parler, la mise en œuvre reste globalement simple.

Julien Merali
Ludovic, comment administrez-vous la solution et pouvez-vous nous décrire votre mode de fonctionnement actuel ?

Ludovic Tassy
Il y a une seule plateforme Rubrik au moment de l’installation, qui évolue ensuite dans le temps en fonction des nouvelles applications et des nouveaux matériels. On définit des politiques de sauvegarde : des sauvegardes incrémentales quotidiennes, une consolidation en fin de semaine, puis des cycles sur plusieurs semaines, avec la conservation d’images mensuelles, etc.

Ces politiques sont assez simples à décrire et à mettre en œuvre. Et le vrai point fort, c’est qu’on dispose d’une interface unique. Toutes les équipes techniques IT passent par cette interface lorsqu’elles ont besoin d’effectuer des restaurations.

Avant, il fallait des spécialistes pour chacun des outils. Aujourd’hui, l’interface est suffisamment simple pour permettre de déléguer certaines opérations, comme les restaurations, sans mobiliser systématiquement des experts très pointus.

Julien Merali
Pourquoi avoir fait évoluer votre stratégie de sauvegarde sur également la protection des données non structurées, des fichiers médias ?

Ludovic Tassy
Ces données font partie intégrante du patrimoine digital et data du groupe Alain Afflelou. Nous produisons des campagnes publicitaires, des volumes importants de flyers, d’images, de photos, de vidéos, etc. Tout cela est stocké dans des banques de données et doit être protégé au même titre que les autres actifs.

Julien Merali
Brice, on parle beaucoup aujourd’hui de Microsoft 365, du cloud, et de l’explosion des données non structurées dans les entreprises. Comment Rubrik évolue-t-il pour répondre à ces nouveaux enjeux ?

Brice Pinsart
La plateforme évolue en permanence. Nous ajoutons régulièrement de nouveaux environnements protégés. Aujourd’hui, à grands traits, environ 40 % de nos projets concernent des environnements data centers on-premises avec solutions VMware, Oracle, SQL, etc. — et environ 40 % concernent des environnements cloud.

Le cloud est particulièrement intéressant, parce que la plupart des clients qui adoptent le cloud public utilisent des outils natifs, y compris pour la restauration. Et ces outils sont bourrés de limitations. Ce n’est même pas une affaire de prix, c’est vraiment une affaire de limitations techniques. Ils vont utiliser des tiers chauds pour les sauvegardes, là où nous on fait complètement fi de ces limitations.

Nous améliorons ainsi la cyber-résilience, avec un outil unique pour l’ensemble des comptes cloud, indépendamment du fournisseur. Cela permet aussi de réduire les coûts. Nous avons mené de nombreux projets et enregistré de très beaux succès sur ces sujets, notamment sur la partie SaaS.

Quand on parle de SaaS, on pense bien sûr à Microsoft 365, mais aussi à des solutions comme Jira ou Salesforce. De la même manière, il y a une responsabilité partagée. Si demain, vous utilisez Salesforce et qu’il est accidentellement effacé, que ce soit malveillant ou non, eh bien Salesforce est le responsable du service, pas des données. Et nous, on s’occupe des données.

Enfin, un dernier point extrêmement important concerne l’identité. Quand on redémarre un périmètre business avec des applications critiques, si les services d’authentification ne fonctionnent pas, rien ne fonctionne. Qu’il s’agisse d’Okta, Active Directory, Microsoft Entra ID ou d’autres solutions d’identité, ces briques doivent elles aussi être protégées. C’est un axe fort d’évolution de notre plateforme.

Julien Merali
Ludovic, la question n’est plus de savoir si ça va arriver, mais quand. Est-ce que ça a changé votre façon d’appréhender les cyberattaques ?

Ludovic Tassy
En tout cas, je dors mieux. Et vis-à-vis du Comex et de nos actionnaires, je suis beaucoup plus serein que je ne pouvais l’être auparavant. Je peux leur affirmer que les données sont inaliénables, sauvegardées et que j’en ai l’exhaustivité. Alors évidemment, ça n’empêche pas les PRA mais c’est devenu beaucoup plus simple à réaliser : on mobilise moins de monde et, au final, ça nous apporte surtout beaucoup plus de sérénité.

Julien Merali
Comment êtes-vous organisés sur l’accès à la plateforme, notamment sur la partie identité ? On sait que la malveillance peut aussi être interne. Comment ça fonctionne sur Rubrik ? Y a-t-il un workflow de validation ?

Brice Pinsart
Oui, on a ce qu’on appelle un mécanisme de quorum authorization. Concrètement, si quelqu’un tentait de réduire une rétention — par exemple sur des applications C0 les plus critiques, qu’elles soient dans le cloud, on prem ou en SaaS — et que cette rétention est définie à trois semaines, il ne pourrait pas la ramener à deux heures tout seul.

Il lui faudrait l’autorisation de plusieurs administrateurs.

Julien Merali
Ludovic, sur la protection des identités justement ?

Ludovic Tassy
C’est un sujet qui arrive très fort et qui va devenir central. On sauvegarde les données, donc on sait qu’on peut repartir de zéro si besoin. Mais derrière, la vraie question, c’est l’identité : est-ce que l’identité de tes employés est elle aussi sauvegardée ?

Parce que si les identités sont compromises, même si tu restaures tes données, tu ne pourras tout simplement pas te reconnecter.

Brice Pinsart
C’est un sujet passionnant d’un point de vue technique, même si les anecdotes cyber sont évidemment dramatiques. On l’a vu récemment avec Jaguar Land Rover ou Marks & Spencer, qui ont fait la une cette année.

Dans les deux cas, il s’agissait de social engineering : quelqu’un a appelé le support informatique, obtenu un compte légitime, un login et un mot de passe. Les dégâts ont été immenses.
Pour le Royaume-Uni, on parle de plus de deux milliards d’impact sur le PIB. Pour Marks & Spencer, ce sont des centaines de millions de livres.

Et pourtant, il n’y a pas eu d’exploitation de vulnérabilité, pas d’attaque technique. Juste une connexion légitime au SI.  Il n’y a pas eu d’anomalie en fait.
Et donc ça change un tout petit peu je trouve le regard de nos clients sur sur ce risque-là, parce que tous les mécanismes de prévention, si on a un vrai mot de passe, en fait, ça va être difficile.

Julien Merali
Et donc comment est-ce que vous adressez ce sujet-là aujourd’hui ?

Brice Pinsart
Il y a évidemment beaucoup de bonnes pratiques à mettre en place, notamment contre le social engineering. Rubrik n’est pas la seule solution, mais notre message est clair : en 2026, le risque zéro n’existe pas en cyber.

Il faut donc avoir un plan de restauration prêt et testé régulièrement. Et quand on parle de tests, il ne s’agit pas seulement de restaurations unitaires, mais de chaînes applicatives complètes : front-end, bases de données, authentification, etc. Restaurer Microsoft 365 ne sert à rien si personne ne peut se connecter.

Donc, mettre en place ces mécanismes de restauration et s’assurer que si on a un incident cyber ou plutôt quand on aura un incident cyber, on puisse redémarrer et qu’on soit sûr de cette capacité-là.

Julien Merali
Pour conclure, Ludovic, avez-vous un message à faire passer à ceux qui nous écoutent ?

Ludovic Tassy
Le message principal, c’est qu’il faut se simplifier la vie : avoir un seul système de sauvegarde pour l’ensemble des plateformes, une seule interface, et être capable de démontrer qu’assez rapidement, on gagne de l’argent.

Et évidemment, l’immuabilité des sauvegardes apporte une vraie tranquillité d’esprit. Je ne regrette absolument pas ce changement, même s’il faut parfois se battre un peu au départ avec certaines équipes techniques attachées à leurs solutions historiques.

Et quand on a installé Rubrik, on était sur du VMWare. Depuis, on a migré sur du Nutanix et ça s’est fait de manière totalement transparente. On peut changer de techno sans impact.

Julien Merali
Brice, sur les nouveaux usages qui arrivent chez Rubrik, qu’est-ce qui est prévu dans la Roadmap ?

Brice PINSART
Sans surprise, on s’intéresse beaucoup à l’intelligence artificielle agentique. On est convaincus que les premiers usages concrets passeront par ce qu’on appelle les agents IA, capables de prendre des décisions métiers pour les clients.
Ces décisions se traduisent techniquement par des écritures en base de données et des actions sur le système d’information. Comme toute intelligence, artificielle ou humaine, il peut y avoir des erreurs.

Notre objectif est de pouvoir monitorer ces décisions IA, puis littéralement “rembobiner” — agent rewind — les actions prises par un agent IA, afin de restaurer rapidement des données erronées ou supprimées. C’est l’un des grands axes que nous lançons cette année.

Interview réalisée par Julien Merali, Directeur du Pôle IT
Un rendez-vous de l’Agora des RSSI
Un événement Agora Managers Groupe