Vos sauvegardes ne sont fiables que si vous avez déjà restauré des données à partir d'elles, récemment, et sur un périmètre représentatif de votre activité. Tant que ce test n'a pas eu lieu, vous avez une procédure de sauvegarde, pas une capacité de reprise.
C'est une nuance qui paraît théorique jusqu'au jour de l'incident. Dans les PME que nous accompagnons, la sauvegarde tourne presque toujours. Ce qui manque, c'est la preuve qu'elle sert à quelque chose.
Ce que veut dire vraiment « tout est sauvegardé »
C'est la phrase que les dirigeants entendent de leur prestataire, et elle est presque toujours sincère. Le problème est qu'elle décrit un outil en marche, pas un périmètre vérifié.
L'exercice utile tient en trois questions posées à voix haute. Qu'est-ce qui est sauvegardé exactement, fichier par fichier et serveur par serveur. Quand la dernière restauration réelle a-t-elle eu lieu et sur quoi. Combien de temps prendrait un redémarrage complet de l'activité.
Dans la plupart des cas, les deux premières réponses arrivent vite et la troisième reste en suspens. C'est là que se situe le risque, pas dans le choix du logiciel.
Les oublis que nous rencontrons le plus souvent sont toujours les mêmes. Les postes de travail, où finissent par vivre des fichiers qui ne sont nulle part ailleurs. Les configurations d'équipements réseau, dont la reconstruction prend des jours. Les applications hébergées chez un éditeur, que beaucoup croient sauvegardées par contrat alors que le contrat ne dit souvent rien de tel. Et les boîtes de messagerie en ligne, dont la corbeille n'est pas une sauvegarde.
Deux chiffres à fixer avant de choisir un outil
Toute la stratégie découle de deux valeurs, et elles se décident avec la direction, pas avec l'informatique.
La première est la quantité de travail que vous acceptez de perdre, exprimée en temps. Une sauvegarde quotidienne de nuit signifie que vous acceptez de perdre une journée de saisie. Pour une comptabilité, c'est souvent tenable. Pour une production qui trace des lots à l'heure, ça ne l'est pas.
La seconde est le délai au bout duquel l'activité doit avoir repris. Quatre heures et deux jours ne conduisent pas aux mêmes choix techniques, ni au même budget. Un atelier à l'arrêt coûte par heure, un service administratif coûte par jour.
Ces deux chiffres se contredisent souvent avec les moyens en place. Une sauvegarde une fois par nuit avec une reprise annoncée en deux heures est une incohérence, et elle se découvre le mauvais jour. Les écrire noir sur blanc suffit généralement à révéler l'écart.
La règle 3-2-1, et ce qu'elle devient face aux rançongiciels
La règle classique demande trois copies des données, sur deux supports différents, dont une hors site. Elle protège bien contre la panne matérielle, l'incendie et le dégât des eaux.
Elle ne suffit plus contre un rançongiciel, parce qu'un attaquant qui prend la main sur le réseau cherche les sauvegardes avant de chiffrer quoi que ce soit. Si vos copies sont accessibles depuis le même annuaire et avec les mêmes comptes, elles seront détruites en même temps que le reste.
La version renforcée ajoute deux exigences. Une copie doit être inaltérable ou déconnectée, c'est-à-dire impossible à modifier ou à supprimer même avec un compte administrateur. Et la vérification des sauvegardes doit remonter zéro erreur, ce qui suppose que quelqu'un lise effectivement les rapports.
Cette seconde exigence est celle qui tombe le plus vite dans une PME. Les rapports arrivent par messagerie, personne n'a le temps, et une règle de tri finit par les ranger dans un dossier que plus personne n'ouvre.
Protéger les sauvegardes elles-mêmes
Une sauvegarde contient l'intégralité de vos données, souvent sans les protections de l'environnement d'origine. Elle mérite donc au moins autant d'attention que la production.
Le chiffrement des copies, en transit et au repos, empêche qu'un support égaré ou un accès distant compromis livre l'ensemble du patrimoine informationnel. La question à poser à votre prestataire est de savoir qui détient les clés, et ce qui se passe si vous changez de prestataire.
Le cloisonnement des accès est le point suivant. Le compte qui pilote les sauvegardes ne doit pas être un compte d'administration courant, et surtout pas le vôtre. En pratique, dans beaucoup de PME, un seul compte fait tout, ce qui annule l'essentiel de la protection.
L'inaltérabilité, enfin, garantit qu'une copie ne peut pas être supprimée avant une date donnée, y compris par quelqu'un qui possède tous les droits. La plupart des offres sérieuses la proposent aujourd'hui, encore faut-il qu'elle soit activée.
Le cas de l'atelier, presque toujours oublié
C'est le point qui distingue une PME industrielle d'une PME de services, et celui que les stratégies de sauvegarde standard ignorent.
Les postes de supervision, les automates et les machines à commande numérique portent des programmes et des paramétrages qui ne se trouvent nulle part ailleurs. Ils tournent souvent sur des systèmes anciens, hors du domaine, sans agent de sauvegarde, parfois sous la responsabilité du fabricant de la machine plutôt que de l'informatique.
Le jour où une carte lâche, la production s'arrête, et la question devient de savoir qui détient le dernier programme connu. La réponse est régulièrement une clé USB dans un tiroir, ou le portable d'un technicien de l'intégrateur.
Traiter ce périmètre ne demande pas une architecture compliquée. Il demande de l'inventorier, de définir qui en est responsable, et de vérifier que les copies existent ailleurs que sur la machine elle-même.
Comment tester sans risquer la production
Un test de restauration ne consiste pas à écraser des données vivantes pour voir. Il consiste à restaurer un échantillon représentatif dans un environnement séparé, puis à vérifier que les fichiers s'ouvrent et que l'application démarre.
Un test par an est déjà un vrai progrès pour une structure de quelques dizaines de personnes. Mieux vaut un test annuel réellement effectué que quatre inscrits au plan et jamais tenus. Passer à deux fois par an se justifie quand l'arrêt de l'activité se compte en heures plutôt qu'en jours.
L'échantillon doit changer d'une fois sur l'autre et couvrir au moins un serveur, une base applicative et un poste de travail. Ce qui compte est moins la fréquence que la trace écrite, avec la date, le périmètre testé, le temps réel de restauration et les difficultés rencontrées.
Ce relevé a une vertu inattendue. Il transforme une conviction en fait mesuré, et il donne une base de discussion avec votre prestataire qui ne repose plus sur la confiance mutuelle.
Questions fréquentes
Notre prestataire gère les sauvegardes, avons-nous besoin de vérifier ?
Oui, et cela ne remet pas en cause son travail. Votre prestataire garantit que l'outil fonctionne sur le périmètre qui lui a été confié. Personne d'autre que vous ne peut dire si ce périmètre correspond à ce dont votre activité a réellement besoin pour redémarrer. La vérification porte sur cet écart, pas sur sa compétence.
À quelle fréquence faut-il tester une restauration ?
Un test par an constitue déjà une base sérieuse pour une petite structure, à condition qu'il soit réellement effectué et que l'échantillon change d'une année sur l'autre. Deux fois par an se justifie lorsque l'arrêt de l'activité se compte en heures. Ce qui compte davantage que la fréquence est la trace écrite de chaque test, qui permet de constater une dérive.
Le cloud sauvegarde-t-il automatiquement nos données ?
Non, et c'est une confusion fréquente. Un hébergeur garantit la disponibilité de son service, pas la récupération de vos données après une suppression, une erreur de manipulation ou un chiffrement malveillant. Les principales suites bureautiques en ligne conservent les éléments supprimés quelques semaines seulement. Au-delà, sans sauvegarde dédiée, les données sont perdues.
Faut-il sauvegarder les machines de production ?
Oui, et c'est le périmètre le plus souvent absent des stratégies de sauvegarde. Les programmes d'automates, les paramétrages de machines à commande numérique et les postes de supervision conditionnent le redémarrage de l'atelier. Ils vivent hors du système d'information classique, ce qui les fait échapper aux outils habituels. Leur inventaire est la première étape.