Sauvegarder les données ne suffit pas, encore faut-il s’assurer que les informations seront récupérables. Pour y parvenir, il faut tester les sauvegardes. Voici les 5 critères à prendre en compte.
La réalisation de sauvegardes régulières est la clé de voûte de toute stratégie de continuité ou de reprise des activités après sinistre. Les entreprises doivent conserver des copies de leurs données pour se protéger contre les défaillances matérielles et les pannes des systèmes, ainsi que contre les coupures de courant ou de réseau, les inondations ou les incendies. Les temps d’arrêt du système sont coûteux. Selon un chiffre souvent cité par le cabinet d’analyse Gartner, le coût d’une minute d’interruption est en moyenne de 5 000 euros, soit 300 000 euros par heure.
La sauvegarde protège aussi une entreprise contre la corruption des données causée par des erreurs d’application et des suppressions accidentelles. À ce titre, les sauvegardes stockées de plus en plus en dehors du site d’origine constituent une défense efficace contre les logiciels malveillants, et notamment les ransomwares. Si les entreprises ne parviennent pas à sauvegarder efficacement leurs données, elles risquent de ne rien pouvoir récupérer du tout après un incident.
Toutefois, les sauvegardes ne servent que s’il est possible de restaurer leurs contenus. Il est donc essentiel de les tester et de le faire régulièrement. Hélas, les analystes estiment qu’un tiers des entreprises n’effectuent jamais ces tests. Et même celles qui les font ne les réalisent pas toujours de manière efficace.
Rappelons que l’objectif final des tests de sauvegarde est de s’assurer que l’entreprise peut récupérer ses données et poursuivre ses activités. Les règles de sauvegarde doivent donc être conçues dans un contexte de plan de continuité ou de reprise des activités (PCA/PRA), lequel consiste à définir quelles données chronologiques récupérer (RPO, ou objectif de point de récupération) et en combien de temps au maximum (RTO, ou objectif de temps de récupération).
Le RPO détermine l’ancienneté de la sauvegarde la plus récente ou, en d’autres termes, le niveau de perte de données que l’organisation peut tolérer pour continuer à fonctionner. Le RTO précise la rapidité avec laquelle les systèmes doivent être restaurés. Si une entreprise ne teste pas la restauration des sauvegardes, les équipes ne sauront pas si elles peuvent respecter les RTO et RPO nécessaires à la poursuite de l’activité, ni même si les données sont récupérables.
Cet article liste les cinq critères que les équipes informatiques doivent prendre en compte pour avoir la garantie que leurs sauvegardes permettront réellement à leur entreprise de poursuivre ses activités.
1/ Que faut-il tester ?
Les entreprises doivent s’assurer qu’elles peuvent restaurer des fichiers, des dossiers et des volumes à partir de sauvegardes en indiquant quel stockage, quels utilisateurs ou quelles applications sont concernés. Pour les applications critiques, la restauration des bases de données est essentielle. Pour les fichiers des utilisateurs, il s’agit de pouvoir restaurer les volumes présents sur des serveurs ou sur une baie NAS.
Parvenir à restaurer depuis des sauvegardes locales sur disques, depuis des bandes ou depuis un service cloud ne suffit pas. Les entreprises doivent prévoir des pannes qui endommagent l’ensemble de l’environnement informatique, et pas uniquement des données elles-mêmes.
En cas de panne électrique ou matérielle, les entreprises doivent tester le fait qu’elles savent installer et mettre en production un équipement de secours, ou qu’elles savent basculer vers un site de secours et y restaurer les données.
Il convient aussi de tester les restaurations complètes et partielles. La restauration d’un environnement entier prend du temps et va mobiliser les équipes. Les tests à plus petite échelle pour les données vitales ou vulnérables, ainsi que les tests de récupération de simples fichiers supprimés ou corrompus, vont de pair avec les exercices de reprise après incident (PRA) à grande échelle.
2/ À quelle fréquence mener les tests ?
Les tests de sauvegarde doivent être réguliers et de routine. Les experts en protection des données recommandent plutôt des tests mensuels ou hebdomadaires, voire encore plus fréquents pour les systèmes, applications et données critiques.
Les tests de sauvegarde doivent être réguliers et de routine. Dans un monde idéal, les entreprises devraient tester à chaque fois toutes les sauvegardes, mais cela est rarement pratique. Au lieu de cela, les équipes informatiques doivent mettre en place un calendrier de tests réguliers, basé sur le degré de risque encouru dans différents cas et l’importance des données.
Un grand exercice annuel de PRA n’est pas suffisant. Les experts en protection des données recommandent plutôt des tests mensuels ou hebdomadaires, voire encore plus fréquents pour les systèmes, applications et données critiques.
Les entreprises doivent également tester les sauvegardes avant et après une modification ou une mise à niveau du système. Un certain nombre de pannes très médiatisées dans le secteur bancaire, par exemple, ont été causées par de simples mises à niveau du matériel. Les organisations devraient également tester à nouveau leurs systèmes après une panne et tester les nouveaux systèmes avant leur mise en production.
3/ Pouvez-vous restaurer les données ?
La première question est de savoir si vos sauvegardes fonctionnent, physiquement. Cela peut sembler évident avec les bandes et autres supports amovibles, mais les entreprises doivent également vérifier que leur logiciel de récupération peut restaurer avec succès les données à partir de disques, de centres de données hors site et du cloud. Le déplacement d’une grande quantité de supports physiques, ou la restauration sur un réseau WAN ou LAN sera toujours un défi dans des conditions de PRA.
Les tests mettent en évidence les points faibles. Les tests confirment également si l’entreprise peut respecter ses RTO, RPO et autres exigences réglementaires.
« Les entreprises devront fixer un seuil de tolérance aux perturbations pour chacun de leurs services et s’assurer qu’elles ne vont pas outre. Cela inclut la récupération des systèmes qui soutiennent les services eux-mêmes », explique Elliot Rose, responsable de la cybersécurité au sein de la société de conseil PA Consulting.
4/ La récupération est-elle précise et efficace ?
En plus de vérifier que la récupération est physiquement possible, les équipes informatiques doivent s’assurer que les bonnes données sont récupérées sur les bons systèmes. Les logiciels de sauvegarde vérifient la validité d’une restauration grâce à des outils de calcul de l’empreinte, mais d’autres contrôles seront nécessaires pour se prémunir à coup sûr d’une corruption des données.
Ces contrôles nécessiteront l’intervention des métiers sur les applications concernées ; ils sont les mieux placés pour repérer les ensembles de données incorrects ou endommagés. Ils indiqueront si les systèmes ont été récupérés dans le bon ordre et si les objectifs RTO, RPO, réglementaires ont été respectés.
Bien que cela ne fasse pas directement partie d’un test de récupération, la DSI doit vérifier que les mesures de continuité d’activité restent efficaces pendant une panne et que les protections contre les ransomwares sont maintenues pendant la récupération des données à partir de supports hors site.
5/ Les restaurations sont-elles cohérentes ?
Les DSI ont la charge de vérifier que les processus de sauvegarde et de restauration eux-mêmes fonctionnent de manière cohérente et qu’ils sont correctement testés au sein de l’entreprise.
Cela signifie que les sauvegardes doivent être faites de la même façon dans tous les services métiers et pour toutes les applications, conformément à la politique de PRA. Elles doivent conserver le même format au fil du temps. Et, dans la mesure du possible, elles doivent être interchangeables entre les entrepôts de données internes, externes et en cloud.
Enfin, l’équipe informatique doit enregistrer les résultats des tests et tirer les enseignements de ces derniers. Un test de récupération ou un exercice de PRA peut être coûteux en termes de temps et de mobilisation des équipes, alors faites en sorte que l’investissement profite à l’entreprise.
