Guide Pratique : Quelles que soient les actions préventives mises en œuvre, il faut toujours s’attendre à une panne de vos équipements informatiques ou à une cyberattaque. Face à ces risques majeurs, le dernier rempart est la sauvegarde. A condition toutefois de la réaliser dans les règles de l’art.
La méthode de sauvegarde 3-2-1 est une bonne pratique permettant de protéger efficacement les données de ses équipements informatiques. Son principe est simple :
Il faut disposer au minimum de 3 copies de vos données : les fichiers originaux, stockés par exemple sur un poste de travail ou un serveur, et deux sauvegardes. Si un incident informatique majeur arrive au moment où vous réalisez une sauvegarde, les données d’origine comme celles de la sauvegarde en cours risquent d’être perdues. Il est donc impératif de disposer d’au moins deux sauvegardes.
Pour ces deux sauvegardes, il faut utiliser 2 types de stockage différents : par exemple une copie sur un NAS local et une réalisée dans le cloud. Si vous utilisez deux disques externes pour les sauvegardes, probablement achetés en même temps, la probabilité qu’ils tombent en panne au même instant n’est pas nulle. Il faut donc varier les types de stockage. Et éviter tant qu’à faire les CD/DVD (non certifiés M-DISC) et les clés USB (en particulier celles en plastique), des supports peu fiables dans le temps. Gare également aux disques durs externes, qui peuvent chuter.
L’une des copies des données doit être réalisée sur 1 site tiers. Par exemple sur le cloud, ou sur un média amovible qui sera stocké hors site. La cyberattaque n’est en effet pas le seul risque qui pèse sur vos données : il y a aussi les inondations, le feu, le vol, etc. Répartir les deux copies de sauvegarde sur deux sites permet de diminuer ce risque. Dernier conseil enfin, n’oubliez pas de tester périodiquement vos médias et le processus de restauration des données.
Qu’êtes-vous prêt à perdre ?
La règle des 3-2-1 n’est qu’un minimum acceptable pour disposer d’une sauvegarde fonctionnelle. Faire tourner plus de jeux de sauvegarde permettra de reculer plus loin dans le temps, ou d’augmenter la fréquence des sauvegardes. Tout cela se doit d’être défini dans le cadre d’un plan de reprise d’activité, le fameux PRA. Deux éléments doivent y être pris en considération concernant les sauvegardes :
Le RPO, ou Recovery Point Objective, qui peut se traduire par le travail que vous êtes prêt à perdre, et donc à devoir refaire. Une entreprise qui considère qu’elle peut se permettre de réenregistrer ses opérations comptables sur la dernière semaine peut – fort logiquement – se borner à ne faire des sauvegardes qu’une fois par semaine. Plus le RPO est court, plus la fréquence des sauvegardes va augmenter, et avec elle le risque qu’elles ne puissent plus être réalisées pendant les heures de fermeture de l’entreprise. Il faudra alors utiliser des sauvegardes incrémentielles ou différentielles, qui vont réduire la durée de l’opération et la taille des sauvegardes, tout en risquant par contre d’augmenter le RTO.
Le RTO, c’est le Recovery Time Objective, la durée d’interruption maximale du système d’information. Plus le système d’information est complexe et les médias lents, plus longue risque d’être la remise en place des données. Sans compter que ce n’est pas le seul paramètre à prendre en compte : il faudra parfois réparer ou changer du matériel, réinstaller le système d’exploitation et les applications, etc.
Quel prix êtes-vous prêt à investir ?
Il est tentant de réaliser des sauvegardes complètes le plus fréquemment possible, afin de réduire au maximum RTO et RPO. Mais aussi de conserver les sauvegardes sur de longues périodes, afin d’augmenter la durée de rétention des données. Le corollaire de ce choix, c’est le coût relatif au volume de données stockées, que ce soit sur site ou dans le cloud.
Définir une bonne stratégie de sauvegarde, c’est donc avant tout savoir trouver un juste équilibre entre le risque encouru et l’investissement réalisé pour le réduire.