De nombreuses entreprises dépendent désormais entièrement des données stockées sur leurs serveurs réseau, ordinateurs, portables, appareils mobiles et dans le cloud. Certaines de ces données sont susceptibles de contenir des informations personnelles et/ou des informations confidentielles de l'entreprise.
Nous allons ici examiner certains des points à prendre en compte lors de l'évaluation de la sécurité de vos systèmes informatiques et de vos données.
La sauvegarde des données est une procédure essentielle de reprise après sinistre et doit être effectuée régulièrement. Une entreprise doit considérer les sauvegardes régulières comme une forme d'assurance contre les sinistres, le vol ou les cyberattaques.
Il y a plusieurs points à prendre en considération.
Supports d'installation des logiciels système et applicatifs
Idéalement, une fois le logiciel installé, le support d'installation original devrait être stocké en lieu sûr hors site, sauf si le logiciel a été téléchargé. De même, les clés et codes d'activation doivent être conservés en lieu sûr.
Emplacements des fichiers de données
Dans un environnement réseau, certains fichiers de données peuvent être stockés sur le serveur et d'autres sur des disques locaux. Dans ce cas, des sauvegardes distinctes peuvent être nécessaires pour le serveur et pour un ou plusieurs PC.
Idéalement, une solution réseau devrait être mise en place, garantissant que toutes les données soient recopiées du disque local vers le serveur.
Une stratégie possible consisterait à utiliser un service de synchronisation tel que Microsoft OneDrive, voire SharePoint, au lieu du stockage disque réseau plus traditionnel.
Stratégie et fréquence de sauvegarde
Il sera probablement nécessaire de mettre en place deux procédures de sauvegarde parallèles. L'une pour effectuer une sauvegarde complète des systèmes de serveurs, généralement sous forme d'image, et l'autre pour sauvegarder de manière incrémentale (ou différentielle) les fichiers de données mis à jour depuis la sauvegarde précédente.
Le cycle de sauvegarde le plus courant est la méthode grand-père-père-fils. Il consiste en un cycle de quatre sauvegardes quotidiennes, quatre ou cinq sauvegardes hebdomadaires et douze sauvegardes mensuelles.
N'oubliez pas que certaines données doivent être conservées pendant de nombreuses années – par exemple, les documents comptables doivent être conservés pendant au moins six ans.
Certains supports de sauvegarde, comme les bandes magnétiques ou les CD/DVD, peuvent être réutilisés de nombreuses fois, mais leur durée de vie n'est pas illimitée et ils doivent être remplacés après deux à dix ans, selon leur qualité et le nombre d'utilisations. Des informations complémentaires à ce sujet sont disponibles dans la section consacrée à la dégradation des supports de sauvegarde.
Les solutions telles que la sauvegarde disque à disque, ou disque à disque puis sur bande, et les services de sauvegarde dans le cloud éliminent le besoin de s'inquiéter de la dégradation.
Responsabilités de sauvegarde
Un membre du personnel désigné devrait être responsable des procédures de sauvegarde. Cette personne doit être capable de :
- S'assurer régulièrement que tous les fichiers de données (serveur et locaux) sont inclus dans le(s) cycle(s) de sauvegarde
- Adapter les critères de sauvegarde à mesure que de nouvelles applications et de nouveaux fichiers de données sont ajoutés
- modifier le calendrier de sauvegarde selon les besoins
- interpréter les journaux de sauvegarde et réagir aux erreurs signalées
- Restaurez les données si des fichiers sont supprimés accidentellement ou corrompus
- Tester régulièrement que les données peuvent être restaurées à partir de supports de sauvegarde
- Tenir un registre régulier des sauvegardes et des emplacements où sont stockés les supports de sauvegarde.
routines de sauvegarde des applications
De nombreuses applications de comptabilité et de paie intègrent leurs propres routines de sauvegarde. Il est recommandé de les utiliser régulièrement (en complément des sauvegardes serveur classiques) et systématiquement avant toute mise à jour critique. Ces fichiers de sauvegarde doivent être stockés sur le disque du serveur afin d'être sauvegardés en même temps que ce dernier.
PC locaux
Certains utilisateurs stockent les fichiers de données des applications exclusivement sur leur disque dur local, par exemple les données de paie. Ces fichiers nécessitent une procédure de sauvegarde régulière qui, comme indiqué précédemment, peut combiner la sauvegarde sur support physique et la sauvegarde sur serveur. Il convient également de déterminer si ces données doivent rester sur les ordinateurs locaux ou être déplacées vers un autre emplacement.
Supports de sauvegarde
Le choix du support de sauvegarde dépend de plusieurs critères, notamment le budget disponible, le volume de données à sauvegarder et le système d'exploitation du réseau. Les disques durs externes ou un NAS avec sauvegarde dans le cloud peuvent constituer de bonnes solutions. Si vous faites appel à un prestataire de services externe ou à une solution cloud, celui-ci doit disposer de son propre système de sauvegarde. Toutefois, ne vous fiez pas uniquement à ce dernier : assurez-vous que tout fournisseur tiers réponde, voire dépasse, vos exigences en matière de sauvegarde.
D'autres types de supports tels que les bandes magnétiques ou le stockage optique (CD/DVD/Blu-ray) peuvent également être envisagés comme une alternative moins coûteuse, mais leur capacité et leur durée de vie peuvent être limitées.
Les disques durs externes constituent une autre option. Toutefois, tout disque devant être stocké hors site à des fins de sauvegarde doit également être chiffré en cas de perte ou de vol.
Emplacement de sauvegarde
Les sauvegardes doivent être stockées à divers endroits, à la fois sur site et hors site. Les sauvegardes sur site sont facilement accessibles pour une restauration rapide des données, mais elles sont vulnérables aux sinistres tels que les incendies ou les inondations.
De nombreuses entreprises utilisent des coffres-forts sur site. Cependant, en cas de sinistre, ces derniers pourraient être inaccessibles pendant un certain temps.
Les sauvegardes hors site présentent l'avantage d'être récupérables en cas d'urgence, mais le stockage doit être à la fois sécurisé et accessible.
Conservation des sauvegardes
Enfin, certains types de documents, tels que les documents comptables par exemple, doivent être conservés pendant une période minimale et il faut en tenir compte lors de l'élaboration de la stratégie de sauvegarde des données (voir également ci-dessous concernant la dégradation).
Dégradation/décomposition des supports de sauvegarde
Les supports de sauvegarde se dégradent et les données qu'ils contiennent se décomposent au fil du temps.
Les supports optiques tels que les CD/DVD et les Blu-ray sont particulièrement sensibles à la lumière (photosensibles) ; il est donc essentiel de les conserver à l’abri de la lumière. Ils sont également fragiles et peuvent être endommagés lors de leur manipulation. Enfin, les CD-R et CD-RW ont une durée de vie de cinq à dix ans, tandis que les DVD-RW et les bandes LTO peuvent durer jusqu’à 30 ans.
Les sauvegardes doivent être vérifiées régulièrement afin de détecter tout signe de dégradation numérique, et testées pour s'assurer que les données peuvent être restaurées avec succès.
En interne ou dans le cloud ?
De nombreux fournisseurs d'accès à Internet et prestataires de services informatiques proposent désormais des solutions d'hébergement de données externalisées ainsi que des solutions applicatives en ligne complètes, soit de série, soit en option payante. Cela permet de s'affranchir de la gestion interne d'un serveur et de ses logiciels d'exploitation et d'application. Toutefois, un nombre important de problèmes de sécurité critiques doivent être abordés dans le contrat/accord de niveau de service (SLA). Ces problèmes doivent notamment inclure :
- niveau de chiffrement
- les pays dans lesquels les données sont traitées et stockées (car cela peut poser des problèmes au regard des lois sur la protection des données)
- périodes de suppression et de conservation des données
- la disponibilité de pistes d'audit, indiquant qui accède aux données
- la propriété des données si le fournisseur est placé sous administration/sous tutelle.
Lorsque des données sont stockées dans le nuage, veillez à ce que le moins de données personnelles possible soient traitées et stockées de cette manière. Si cela s'avère impossible, anonymisez au moins les données afin que les personnes ne puissent pas être identifiées.
Assurez-vous de pouvoir effectuer manuellement vos propres copies de sauvegarde des données stockées chez un tiers, et que ces données soient dans un format lisible et puissent être restaurées sur d'autres services et applications.
