La sauvegarde que personne n'a jamais restaurée
C'est la situation que je rencontre le plus. Une sauvegarde tourne, un rapport vert arrive chaque matin, tout le monde est tranquille. Le jour où il faut restaurer, on découvre qu'elle ne contenait pas la base de données. Ou qu'elle était sur le même serveur que ce qu'elle devait protéger. Ou qu'elle s'est arrêtée onze mois plus tôt sans prévenir personne.
Tant qu'une sauvegarde n'a pas été restaurée au moins une fois, on ne sait pas si elle fonctionne.
Il y a pire : pas de sauvegarde du tout. En mars 2021, une fédération associative m'a appelé après l'incendie du datacenter d'OVHcloud à Strasbourg. Son serveur s'y trouvait, sans aucune copie ailleurs. Il a survécu par chance, et il a fallu le migrer en urgence avant sa mise hors service. Les sauvegardes ont suivi immédiatement : tirées chaque jour par un serveur dédié, avec des instantanés en lecture seule conservés jusqu'à deux ans, et une archive hebdomadaire sur un stockage à froid, ailleurs encore.
Ce que je mets en place
- Des sauvegardes chiffrées sur plusieurs zones géographiques, dont au moins une copie hors ligne ou immuable : c'est la seule vraie protection contre un rançongiciel.
- Des restaurations testées à intervalle régulier, avec le temps mesuré et noté.
- Un plan de reprise d'activité : qui fait quoi, dans quel ordre, avec quels accès, et en combien d'heures.
- Le durcissement des systèmes : accès cloisonnés, comptes dormants supprimés, authentification forte, exposition réseau réduite au nécessaire.
- Des audits de sécurité, et un accompagnement si l'incident arrive.
Temps de reprise et perte de données acceptable
Deux chiffres décident de tout. Le temps de reprise (RTO) : combien d'heures entre l'incident et le retour à un service normal. La perte de données acceptable (RPO) : combien d'heures de travail vous acceptez de refaire. Avec une sauvegarde quotidienne à minuit, un incident à 23 h vous coûte une journée entière de saisie.
Ces chiffres ne se choisissent pas sur des critères techniques. On part de ce que vous coûte une heure d'arrêt, et ils déterminent ensuite l'architecture de sauvegarde et son prix.
Rançongiciel : pourquoi la copie hors ligne
Une attaque par rançongiciel commence par chercher vos sauvegardes, parce que ce sont elles qui vous permettraient de ne pas payer. Une sauvegarde accessible depuis le réseau, avec les mêmes identifiants que le reste, sera chiffrée en même temps que le serveur.
La copie immuable ou déconnectée est ce qui fait la différence entre une catastrophe et une mauvaise semaine. C'est aussi pour cela que je préfère les sauvegardes « tirées » : le serveur de sauvegarde vient chercher les données, et le serveur de production n'a aucun moyen d'atteindre les copies.