Sauvegardes et récupération dans les services TIC : quand les avez-vous testées pour la dernière fois ?
La question « avez-vous une sauvegarde » n'est pas la question qui compte. La question qui compte est : quand quelqu'un a-t-il tenté pour la dernière fois de restaurer effectivement un système à partir de cette sauvegarde, et combien de temps cela a-t-il pris ? Une sauvegarde qui est effectuée mais jamais restaurée est en pratique une hypothèse. Les autorités de contrôle et les clients qui s'appuient sur les mesures de diligence requise de la directive NIS2 ne regardent donc pas seulement l'existence d'une politique de sauvegarde, mais la preuve que la récupération fonctionne réellement.
Pour un prestataire de services TIC, ce n'est pas une question secondaire. Vous gérez souvent non seulement votre propre environnement, mais aussi les systèmes des clients, à distance, parfois avec l'aide d'un sous-traitant. Si quelque chose se passe mal, ce qui compte n'est pas de savoir qui a fait l'erreur, mais si la récupération a fonctionné dans un délai que le client pouvait justifier. Cela fait du test de récupération l'une des rares mesures que vous ne pouvez pas valider avec un document.
Pourquoi une sauvegarde non testée ne compte pas
Une sauvegarde peut être inutilisable pour diverses raisons : un fichier corrompu, une mauvaise configuration, un mot de passe que personne ne connaît plus, ou une procédure de récupération qui est correcte sur le papier mais qui prend en pratique trois jours au lieu de trois heures. Aucun de ces problèmes n'apparaît tant que quelqu'un n'utilise pas effectivement la sauvegarde. L'article 21 de la directive NIS2 mentionne explicitement la politique de sauvegarde et de récupération comme faisant partie des mesures de gestion des risques que prend en compte une organisation dans ses relations avec ses prestataires. En pratique, cela signifie qu'un client qui relève lui-même de la diligence requise demande à son prestataire TIC comment la récupération est organisée et, de plus en plus souvent, quand cela a été testé pour la dernière fois.
Ce qu'une autorité de contrôle ou un client entend par « testé » n'est pas uniformément défini, mais la question centrale revient constamment : y a-t-il eu un moment où un système ou un ensemble de données a effectivement été restauré, en dehors de l'environnement de production, et le résultat a-t-il été documenté ? Un rapport de test avec une date et un résultat est différent d'une communication interne selon laquelle « les sauvegardes fonctionnent ».
Gestion à distance : à qui appartient réellement la sauvegarde ?
En gestion à distance, la sauvegarde d'un système client ne se trouve souvent pas physiquement chez le client, mais chez le prestataire de services, ou chez un service cloud que le prestataire a mis en place au nom du client. Cela transforme une question qui semble à première vue technique en une question de responsabilité : qui teste, qui conserve le résultat du test, et qui peut prouver que la récupération fonctionne si le client le demande ? Un questionnaire de sécurité d'un client pose ici des questions de plus en plus précises, et « c'est notre prestataire d'hébergement qui s'en charge » n'est pas une réponse pour une autorité de contrôle ou un auditeur — c'est une référence qui demande une vérification propre.
Il est donc judicieux de documenter pour chaque système client qui a accès à la sauvegarde, comment cet accès est sécurisé, et qui est responsable du dernier test de récupération. les mesures de diligence requise organisées par sujet montre comment la sauvegarde et la récupération sont liées aux autres mesures de diligence requise, telles que la gestion des accès et l'enregistrement des incidents.
Sous-traitants : qui teste quoi
De nombreux prestataires de services TIC travaillent avec des sous-traitants pour des éléments spécifiques : un prestataire d'hébergement, un prestataire qui gère le pare-feu, un prestataire indépendant qui déploie les correctifs. Si l'un d'eux gère également la sauvegarde, le test de récupération disparaît facilement entre deux parties : le prestataire de services pense que le sous-traitant teste, le sous-traitant pense que cela ne fait pas partie de sa mission. Pour le client, cela ne fait aucune différence — celui-ci pose la question à la partie avec laquelle il a un contrat.
Il est donc judicieux de préciser explicitement dans les accords avec un sous-traitant qui effectue le test de restauration, à quelle fréquence, et qui conserve la preuve. Cette preuve n'a pas besoin d'être un rapport détaillé ; une date, une description de ce qui a été restauré et le résultat suffisent généralement pour montrer à un client que la restauration n'est pas une simple hypothèse.
Ce que vous documentez, et ce que vous ne documentez pas
Un test de restauration est un travail manuel : quelqu'un restaure un système, mesure combien de temps cela prend et vérifie si les données sont correctes. Vous effectuez ce travail vous-même ou le faites effectuer par votre prestataire de gestion ; une plateforme ne peut pas le faire à votre place, pas plus qu'elle ne peut remplacer un test de pénétration ou un audit. Ce qui aide, en revanche, c'est un endroit où le résultat de chaque test se trouve aux côtés des autres mesures de conformité, de sorte que vous n'ayez pas besoin de chercher quand cela s'est produit pour la dernière fois lors de la prochaine questionnaire.
Si vous ne savez pas encore si votre organisation elle-même est soumise à l'obligation de diligence, ou si vous ne rencontrez ces questions que via un client, découvrez en cinq questions où vous en êtes vous en donne une première indication. Si vous voulez savoir comment nous gérons les données que vous enregistrez dans un tel dossier, comment nous gérons vos données l'explique. Et si vous doutez que votre situation s'inscrive exactement dans ce cadre, consultez les réponses aux questions qui reviennent souvent ou adressez-vous à l'autorité de surveillance de votre secteur.
La vérification NIS2 gratuite et la base de connaissances sur secria.eu montrent où se situent précisément la sauvegarde et la restauration dans votre situation, sans que vous ayez besoin d'un compte.