Avec l’augmentation de l’utilisation du cloud, les supports des données ont considérablement changé. L’engagement contractuel sous forme de contrat de service est-il un moyen de sécurisation suffisant pour les données d’une entreprise ?
Un stockage en ligne permet d’héberger des données de toute forme : fichiers, bases de données, machines virtuelles, … mais également toutes les applications SaaS dont on dispose. Aussi, il est bon de se rappeler que comme pour l’ensemble des applications d’un SI, il est indispensable de se pencher sur la sauvegarde permettant de répondre à grand nombre de risques cyber.
Duplication et sauvegarde, quels sont les enjeux ?
Le principe du stockage en ligne
L’avantage direct d’un stockage en ligne est de s’épargner d’un support physique local et de permettre leur accessibilité partout. Son intérêt s’explique par ces critères :
- La modification de données « chaudes », souvent sollicitées
- Le besoin d’y accéder dans un contexte géographique étendu
- Interopérabilité avec les logiciels de l’entreprise
Les données d’un stockage en ligne sont dupliquées, ce qui leur permet une grande disponibilité.
Par contre, si modification est faîte sur la donnée, elle le sera définitivement et de manière dupliquée : impossible de retourner en arrière, sauf exceptions. Il s’agit donc de bien discerner la disponibilité du service et la sauvegarde permettant un retour arrière.
Attention à bien discerner duplication de données et sauvegarde. Seule la sauvegarde permet le retour en arrière.
Une notion supplémentaire s’ajoute : la rétention. Elle permet de déterminer avec le fournisseur la durée pendant laquelle la donnée sera disponible après son effacement. Pour faire simple, il s’agit de la durée pendant laquelle la donnée restera dans la corbeille.
L’impact d’une perte de données sur le business peut être important. En effet, base de données, mails, machines virtuelles… ne relèveront pas toutes du même niveau de sensibilité.
Et la sauvegarde alors ?
La sauvegarde est la préservation de la donnée à un instant précis. Les données sauvegardées peuvent être archivées afin d’effectuer un retour en arrière à tout moment.
Si le contrat lié au stockage en ligne assure une disponibilité de vos données, ils ne font pas forcément état du tri de données à sauvegarder.
Son intérêt s’explique par ces critères :
- Le besoin d’archiver des données « froides »
- Le besoin de s’affranchir de son intégrité de manière locale
- La volonté d’optimiser un plan de reprise d’activité
Différents types de stockage à prendre en compte
Il existe une de nombreux types de stockages :
- Bases de données
- Fichiers et documents
- Mails
- Machines virtuelles et serveurs
- Objets
- Dumps
- Snapshots
- etc.
Tous les types de données ne se sauvegardent pas de la même façon,.
Certains nécessaires des agents qui permettent une récupération générale du stockage, ou fournissent une granularité permettant la récupération d’un dossier, ou même fichier cible. Cette opération peut être effectuée sans écraser aucune autre donnée.
En fonction des circonstances, la sauvegarde peut être plus importante du fait de sa récurrence, et accorde une marge de manœuvre à condition de savoir la maîtriser.
RPO1 & RTO2 & SLA3
La mise en place d’une sauvegarde nécessite de comprendre les enjeux des RPO et RTO. Ces deux termes signifient respectivement le temps prenant en compte la dernière sauvegarde, et le temps de récupération de la donnée et remise en état du service. Il s’agit donc de définir le point de sauvegarde récurrent, et le temps de récupération possible. Cependant, il ne faut pas oublier les temps que le fournisseur n’inclura pas comme le temps de remonter l’information.
Dans cet exemple, le RPO est de 24h et le RTO de 8h sur une plage d’horaire standard (8h-18h). Le temps de production perdu est presque de 3 jours, n’incluant pas le weekend. De ce fait, toute la production effectuée entre ce temps est déjà compromise.
Le temps de prise en charge dépend du SLA convenu au moment de l’élaboration du contrat, et est estimé de 4 heures. Ce qui signifie que le prestataire promet une réponse éventuelle, ou une action, dans les 4 heures suivant la remontée de l’incident.
Ensuite vient le temps de récupération du document, qui est prévu de 8h n’incluant que les horaires de travail convenus et donc, ici, s’étend jusqu’au lendemain.
C’est pour ces raisons que l’étude préalable à la transition de stockage vers le cloud est importante. Des coûts trop bas d’un prestataire pourraient impliquer que certains services à valeur ajouté ne sont pas fournis, comme la récupération granulaire de documents. Cette étude permettra d’optimiser au mieux les sauvegardes inhérentes au SI et leurs pertinences.
1 Recovery Point Objective
2 Recovery Time Objective
3 Service Level Agreement
Finalement, quelles sont mes solutions ?
Il est clair que certaines données critiques ou vitales doivent être sauvegardées différemment car il serait inconcevable de ne laisser la survie d’une entreprise dépendre d’une prestation pas nécessairement maîtrisée.
De plus, il est très important de ne pas se laisser essentiellement tenter par les coûts ou le discours d’un prestataire quant à ses capacités de répondre au besoin. Il est préférable de faire vérifier son offre par :
- La réclamation de normes telles que ISO 2700x
- L’élaboration d’un audit
La norme 2700x permet de garantir que le dispositif organisationnel du prestataire choisi est prêt à répondre aux engagements voulus. Et enfin, gardez à l’idée de faire des tests de restauration avec le prestataire, cela permettra de se porter garant de la solution.
Nous pouvons donc conclure que la sauvegarde des stockages inclues aux produits du Cloud ne doit pas être laissée sans contrôle. Il est également important de ne pas confondre sauvegarde et disponibilité du service.
Nous recommandons d’étudier avec la plus grande attention les contrats d’un fournisseur Cloud comme pour tout autre fournisseur, et de mettre en œuvre des plans de tests de ses sauvegardes comme pour un Plan de Reprise d’Activité en interne.
