Le média de ceux qui réinventent l'entreprise
Le média de ceux qui réinventent l'entreprise
Les solutions informatiques évoluent depuis une dizaine d’années vers le modèle « as a Service ». Les solutions de sauvegarde et de Plan de Reprise d’Activité Informatique ne font pas exception.
La sauvegarde en tant que service est appelée aussi Backup as a Service (BaaS) et le Plan de Reprise d’Activité après sinistre en tant que service est aussi connu comme Disaster Recovery as a Service (DRaaS). Ces services font référence aux solutions fournies par des prestataires aux entreprises.
Cela signifie que les équipes informatiques de l’entreprise n’ont pas besoin d’installer et de maintenir localement les solutions au sein de leurs propres datacenters. La gestion des tests (redémarrage, PRA, réseau) et du maintien opérationnel du service peut également faire partie des offres des prestataires.
Les DSI sont au centre des choix de ces solutions. Ils doivent alors comprendre les différentes options qui leur sont proposées et ce que cela implique au niveau de la protection de leurs données avant de prendre leur décision. Ces deux modes de protection, souvent perçus comme similaires, ne couvrent pas les mêmes scénarios de risque.
On voit de plus en plus de prestataires proposant des solutions de Backup as a Service. Celles-ci correspondent à l’achat d’une prestation de services de sauvegarde en ligne, généralement vers un Cloud (public, privé, privatif).
Le BaaS peut couvrir plusieurs domaines différents :
Les évolutions récentes apportées au BaaS permettent d’automatiser des tests de restauration ou redémarrage de serveurs (complets/partiels). Ces tests peuvent alors être faits soit manuellement, soit via des API ou des automates.
La notion de Plan de Reprise d’Activité as a Service est plus récente, mais connaît une forte expansion, car elle répond à de nouvelles problématiques, comme les cybermenaces.
C’est une offre de service complète fournie et administrée par un fournisseur, s’appuyant sur le modèle cloud et qui offre une garantie de reprise (RTO).
Ces solutions exploitent les principaux avantages du Cloud (élasticité, paiement à l’usage) et entraînent donc des diminutions des coûts liés aux tailles des infrastructures.
Les périmètres adressés par ces solutions de DRaaS sont potentiellement très différents :
Ces différents éléments sont importants à prendre en compte lors du choix de votre solution. C’est pour cette raison qu’une analyse préalable est nécessaire, pour connaître vos besoins au niveau des serveurs à protéger, des délais de redémarrage et de fraîcheur des données (RTO et RPO) et pour finir le besoin de management, en fonction des disponibilités et compétences de vos équipes techniques.
Pour bien comprendre la différence entre ces deux services, il faut d’abord se poser la question des différents risques que traite chacune des deux solutions.
Nous allons analyser plusieurs types de risques à couvrir par les sauvegardes (BaaS) et PRA (DRaaS) décomposée en famille.
| Famille de risque | Risques | Origines potentielles | Mécanisme de récupération principal |
| Perte ou corruption de données |
Perte ou corruption de fichiers Corruption données, OS ou BDD |
Erreur utilisateur ou erreur de procédure | Backup |
| Indisponibilité infrastructure serveur |
Un serveur HS Un ensemble de serveurs HS Toute l'infrastructure HS |
Problème hardware ou software | Backup ou PRA |
| Indisponibilité du Datacenter |
Indisponibilité longue liée à un sinistre Indisponibilité liée aux fluides (électricité, etc.) Indisponibilité liée aux télécoms |
Incendie, tempête, attentat, travaux, etc. | PRA |
| Ransomware |
Ransomware sur un serveur de fichiers Ransomware au niveau des OS du SI |
Logiciels malveillants propagés par mail, faille, etc. | Backup ou PRA |
| Cyber attaque |
Attaque sophistiquée Déni de service (Ddos) Advanced Persistent Threat |
Attaque coordonnée sur l’infrastructure IT | PRA |
Perte de corruption de fichiers : il peut s’agir soit d’une erreur utilisateur/informatique ou d’un problème hardware ou d’une erreur de procédure.
| Couverture du risque avec la Sauvegarde externalisée (BaaS) |
Couverture du risque avec un Plan de Reprise d’Activité Managé (DRaaS) |
|
Ce risque est le principal risque couvert par toutes les solutions de sauvegarde externalisée. Les points spécifiques à creuser sont :
|
Dépend des mécanismes de sauvegarde ou de réplication utilisés par la solution de PRA :
|
Questions à se poser vis-à-vis du scénario de risque :
| Couverture du risque avec la Sauvegarde externalisée (BaaS) |
Couverture du risque avec un Plan de Reprise d’Activité Managé (DRaaS) |
La couverture de ce risque dépend de la couverture fonctionnelle de la sauvegarde externalisée :
|
La couverture de ce risque dépend des mécanismes de sauvegarde ou de réplication utilisée par la solution de PRA :
|
Questions à se poser vis-à-vis du scénario de risque :
| Couverture du risque avec la Sauvegarde externalisée (BaaS) |
Couverture du risque avec un Plan de Reprise d’Activité Managé (DRaaS) |
| Suivant la couverture de la solution de sauvegarde, ce risque est couvert. Mais il faut analyser :
|
En général ce risque n’est pas bien couvert par une solution de PRA :
|
Questions à se poser vis-à-vis du scénario de risque :
Datacenter entièrement indisponible soit à la suite d’un sinistre (incendie, tempête, inondation, attentat, etc.), soit lié à une indisponibilité longue du réseau ou des fluides (électricité, climatisation, etc.).
| Couverture du risque avec la
Sauvegarde externalisée (BaaS) |
Couverture du risque avec un
Plan de Reprise d’Activité Managé (DRaaS) |
| Non couvert | Ce risque est totalement couvert par une solution de PRA, car c’est son objectif principal.
Les notions de RTO et RPO sont prépondérantes. Il faut alors se poser les questions :
|
Questions à se poser vis-à-vis du scénario de risque :
Sans test de PRA, point de salut, il faut donc vérifier la réalisation de tests réguliers de PRA : une fréquence semestrielle de test ou moins est préconisée.
Les tests de votre PRA doivent porter sur la remontée de l’infrastructure, les tests réseau, la reconnexion utilisateur avec tests fonctionnels de l’espace de secours par l’utilisateur final.
Infection par un ransomware via un logiciel malveillant propagé par un mail, exploitant une vulnérabilité.
| Couverture du risque avec la Sauvegarde externalisée (BaaS) |
Couverture du risque avec un Plan de Reprise d’Activité Managé (DRaaS) |
La couverture du risque dépend de l’étanchéité de la sauvegarde au ransomware :
|
Ce risque est totalement couvert par une solution de PRA, car c’est son objectif principal.
Les notions de RTO et RPO sont prépondérantes. Il faut alors se poser les questions :
|
Questions à se poser vis-à-vis du scénario de risque :
Attaque construite qui permet à l’attaquant de prendre le contrôle de l’infrastructure du client avec des droits privilégiés.
| Couverture du risque avec la Sauvegarde externalisée (BaaS) |
Couverture du risque avec un
Plan de Reprise d’Activité Managé (DRaaS) |
Dépend de l’étanchéité de la sauvegarde à l’attaque :
|
Même couverture du risque que pour la partie sauvegarde. |
Points de vigilance : l’étanchéité des sauvegardes cloud est devenue un sujet majeur en cas de cyberattaque sophistiquée.
Infection par un APT ou un malware dormant qui peut être activé plusieurs mois après l’infection nécessitant une rétention longue des données des OS (plus de 6 mois).
| Couverture du risque avec la
Sauvegarde externalisée (BaaS) |
Couverture du risque avec un
Plan de Reprise d’Activité Managé (DRaaS) |
| Dépend de la profondeur de la sauvegarde des OS.
Cela nécessite que le prestataire offre des possibilités d’archivage longue durée sur du stockage froid. |
Généralement non couvert par les solutions de PRA.
Sauf si la solution PRA offre des possibilités d’archivage longue durée sur du stockage froid. |
Questions à se poser vis-à-vis du scénario de risque :
Le premier conseil est, comme dans beaucoup de projets IT, de bien comprendre les enjeux des métiers de l’entreprise :
Ensuite, il faut identifier les scénarios de risque à couvrir dans le cas des métiers de l’entreprise et de l’infrastructure (perte de données, ransomware, perte datacenter) :
À partir de l’identification des risques à couvrir, il faut alors identifier les exigences vis-à-vis de la solution :
Eric a créé Nuabee en 2014 suite au constat que les PME et ETI avaient besoin de solutions de protection de SI comme le PRA et la Sauvegarde externalisée, mais n’en avaient pas forcément les moyens.
Après plus de 15 ans d’expérience de conseil, d’audit et de gestion de projet dans la sécurité et le risk management des SI et de la continuité d’activité, il développe une solution de PRA Cloud automatisée, accessible pour les PME et ETI, s’appuyant sur le modèle du Cloud public.
