Votre sauvegarde n’en est pas une tant qu’elle n’a pas été restaurée

Toutes les entreprises que nous auditons ont des sauvegardes. À peu près aucune ne les a restaurées. C’est le décalage le plus constant que nous rencontrions, et le plus coûteux le jour où il se révèle.

Une sauvegarde qu’on n’a jamais restaurée n’est pas une sauvegarde. C’est une hypothèse : l’hypothèse que le fichier existe, qu’il est complet, qu’il est lisible, qu’on sait où il est et qu’on saura s’en servir sous pression. Cinq hypothèses, dont chacune est fausse une fois sur trois dans la réalité.

La règle 3-2-1, et ce qu’elle ne dit pas

Le principe est connu : trois copies de vos données, sur deux supports différents, dont une hors site. C’est un bon point de départ, et la plupart des entreprises l’appliquent à peu près.

Ce que la règle ne dit pas, et qui pose problème :

• Elle ne parle pas du temps. Trois copies du même moment ne servent à rien face à un rançongiciel qui a chiffré vos fichiers il y a huit jours. Il faut de la profondeur d’historique : quotidienne sur un mois, mensuelle sur un an.
• Elle ne parle pas de l’isolement. Une sauvegarde accessible depuis le serveur qu’elle protège sera chiffrée en même temps que lui. C’est le scénario le plus fréquent aujourd’hui, et de très loin.
• Elle ne parle pas de la restauration. C’est pourtant la seule chose qui compte.

Les trois questions qu’on ne se pose pas

Combien de temps pour être de nouveau opérationnel ? Restaurer deux téraoctets depuis un stockage distant peut demander vingt heures. Si votre activité ne survit pas à vingt heures d’arrêt, votre dispositif ne répond pas à votre besoin, quel qu’en soit le coût.

Combien de travail acceptez-vous de perdre ? Une sauvegarde nocturne signifie que vous perdez au pire une journée de saisie. Pour certaines activités c’est acceptable, pour d’autres non. Cela se décide, cela ne se subit pas.

Qui restaure, et avec quelles clés ? Si une seule personne sait le faire, et que ses mots de passe sont dans un coffre auquel elle seule accède, vous avez un point de défaillance unique qui n’est pas technique.

Le protocole, en une page

Une fois par trimestre, une heure, dans l’ordre :

• Choisir un fichier ou une base au hasard, pas celui qu’on restaure d’habitude.
• Le restaurer sur une machine qui n’est pas la machine d’origine.
• Chronométrer. Le chiffre obtenu est votre vrai délai de reprise, pas celui du contrat.
• Ouvrir le fichier restauré et vérifier son contenu. Une archive qui se décompresse n’est pas une archive dont les données sont intactes.
• Noter la date, la durée et le résultat dans un tableau. Trois lignes suffisent.
• Faire faire l’exercice par quelqu’un d’autre au moins une fois par an.

Ce dernier point est le plus révélateur. C’est là qu’on découvre que la procédure existe dans la tête d’une personne et nulle part ailleurs.

Les trois pannes qu’on voit vraiment

Le rançongiciel. Le plus fréquent aujourd’hui, et celui qui vise directement les sauvegardes : le logiciel malveillant cherche les partages réseau et les chiffre en même temps que le reste. Seule une copie isolée — hors ligne, ou sur un stockage qui n’autorise pas la suppression — y survit.

L’erreur humaine. Un dossier supprimé, un fichier écrasé, une mauvaise manipulation dans un logiciel de gestion. Beaucoup moins spectaculaire que le rançongiciel, et beaucoup plus courant. Elle se remarque parfois des semaines plus tard, ce qui rend la profondeur d’historique décisive.

La panne matérielle. Un disque lâche, un serveur ne redémarre pas. C’est le scénario auquel tout le monde pense, et paradoxalement le moins fréquent des trois — mais le seul contre lequel une simple copie suffit.

Un dispositif conçu contre la seule panne matérielle laisse donc les deux cas les plus probables sans réponse. C’est l’erreur de conception la plus répandue.

Ce que ça coûte

Beaucoup moins qu’on ne l’imagine. Un stockage externalisé chiffré coûte 5 à 15 € par mois pour une petite structure. L’outillage — restic, borg, et quelques autres — est libre et éprouvé. Le vrai coût est celui de l’heure trimestrielle, et c’est la meilleure heure que vous passerez sur votre informatique.

Nous incluons systématiquement ce protocole dans les projets que nous livrons, et nous refusons de le retirer d’un devis pour en faire baisser le montant. C’est l’un des rares postes sur lesquels nous ne discutons pas.