Dans les audits que nous menons, la question « avez-vous des sauvegardes ? » reçoit presque toujours un oui tranquille. La question suivante — « quand avez-vous restauré une sauvegarde pour la dernière fois ? » — provoque en général un silence gêné.
Ce n’est la faute de personne en particulier : c’est qu’une sauvegarde qui s’exécute chaque nuit sans erreur ressemble à une sauvegarde qui fonctionne. Et ce n’est pas toujours le cas.
Ce qui cloche en pratique
Voici les cas que nous rencontrons le plus, par ordre de fréquence :
- La sauvegarde se fait, mais elle n’inclut pas tout : il manque une base de données, un dossier partagé ou le serveur ajouté il y a huit mois.
- La sauvegarde est au même endroit que l’original. Un incendie, un vol ou un ransomware emporte les deux.
- La sauvegarde se fait sur un disque USB qui est débranché depuis des mois et que personne n’a regardé.
- La sauvegarde existe et elle est complète, mais sa restauration prend quatre jours alors que l’entreprise n’en tient qu’un.
- La sauvegarde est chiffrée et personne ne sait où se trouve la clé.
La règle 3-2-1, en clair
Trois copies de vos données, sur deux supports différents, dont une hors de vos locaux. C’est le minimum. À cela, nous ajoutons aujourd’hui une condition de plus : au moins une copie doit être immuable, c’est-à-dire impossible à effacer, même avec des identifiants d’administrateur. C’est la seule chose qui résiste à un ransomware bien mené.
Une sauvegarde sans test de restauration n’est pas une sauvegarde : c’est une bonne intention.
Comment le tester sans monter un cirque
Il n’est pas nécessaire d’arrêter l’entreprise pour tester une restauration. Voici comment nous procédons :
- On monte la sauvegarde dans un environnement isolé, sans toucher à la production.
- On vérifie que ça démarre, que les données sont là et que la date est bien celle attendue.
- On chronomètre : le temps écoulé entre la décision de restaurer et le moment où le service est utilisable.
- On documente le résultat et on le compare au RTO convenu.
C’est ce dernier point qui rend l’exercice utile. Si votre plan annonce huit heures pour être opérationnel et que le test en donne vingt-six, vous avez un problème à régler aujourd’hui, au calme, et non le jour du sinistre.
Deux questions auxquelles vous devriez savoir répondre
RPO : combien d’heures de travail pouvez-vous vous permettre de perdre ? Cela détermine la fréquence des sauvegardes. RTO : combien de temps pouvez-vous rester à l’arrêt ? Cela détermine la technologie qu’il vous faut.
Si ces deux chiffres ne sont pas fixés par écrit avec la direction, tout le reste n’est que détails techniques sans contexte.
