Test de restauration d’une sauvegarde informatique

Un lundi matin, les écrans de la comptabilité affichent tous le même message en anglais : les fichiers sont chiffrés, une rançon est demandée. Le dirigeant respire, il paie un prestataire pour les sauvegardes depuis cinq ans. Le prestataire arrive à 10 h. Les sauvegardes étaient sur le NAS du bureau, branché au réseau : chiffrées elles aussi. La copie « externe » est un disque USB qui n’a plus été rebranché depuis mars. Il faudra trois semaines pour reconstituer la comptabilité à partir des relevés bancaires.

Une sauvegarde qu’on n’a jamais restaurée est un pari. Le logiciel affiche « terminée avec succès » tous les soirs, et personne ne sait si le fichier qu’il contient s’ouvre, s’il est complet, ni combien de temps il faudrait pour tout remettre en place. Ce contrôle ne pose qu’une question sérieuse : a-t-on, aujourd’hui, remis quelque chose en service à partir d’une sauvegarde ? Tout le reste sert à y arriver. Il remplace le mail rassurant du prestataire et le voyant vert du NAS.

Il ne refait pas l’audit cybersécurité d’une PME, qui regarde les mots de passe, les mises à jour et le pare-feu. Il ne s’intéresse qu’aux copies de vos données et à votre capacité à les récupérer.

Pour qui : le dirigeant de PMI, le responsable informatique, le prestataire d’infogérance qui veut montrer à son client que la sauvegarde fonctionne vraiment.

Fréquence recommandée : chaque trimestre, et après tout changement de serveur, de logiciel ou de prestataire. L’ANSSI et la CNIL demandent des tests réguliers de restauration, sans fixer de fréquence.

Ce que mesure le score : la part des points conformes parmi les points applicables. La restauration du jour doit réussir à chaque fois : un seul fichier qui ne s’ouvre pas suffit à remettre en cause toute la chaîne. Un score qui baisse d’un trimestre à l’autre montre presque toujours la même chose : de nouvelles données ou un nouveau logiciel que personne n’a ajoutés à la sauvegarde. Un score élevé ne prouve pas que l’entreprise redémarrera : seule une restauration menée jusqu’au bout le prouve.

Ce que ce modèle ne couvre pas : le plan de continuité complet de l’entreprise et la sécurité générale du système informatique. Il ne remplace pas non plus les engagements écrits d’un prestataire, qu’il faut lire à part.

1. Préparez le périmètre, les accès et les critères de réussite. Un exercice organisé est ce qui évite d’abîmer la production. Choisissez des données représentatives, et ajoutez si vous le voulez un fichier tiré le jour même.
2. Restaurez ailleurs que sur l’original. Un dossier de test évite d’écraser les données de production pendant le contrôle.
3. Ouvrez vraiment ce que vous avez restauré. Un fichier présent mais illisible n’est pas une sauvegarde.
4. Chronométrez du début à la fin. La durée réelle, comparée à ce que l’entreprise peut supporter d’arrêt, dit si la sauvegarde est utile ou seulement présente.
5. Faites restaurer par la deuxième personne. Si seul le prestataire sait le faire, l’entreprise dépend d’un numéro de téléphone.
6. Faites vérifier la copie hors ligne dans un environnement isolé. C’est celle qui survit à un rançongiciel, et souvent celle qu’on oublie depuis des mois. Après un incident, ne la rebranchez jamais sur le système suspect : faites-la tester à part, par une personne compétente, en préservant l’original.
7. Notez tout de suite ce qui a manqué. Chaque donnée absente de la sauvegarde s’ajoute avant le test suivant.

• Garder toutes les copies branchées au réseau. Un rançongiciel chiffre le serveur et les sauvegardes dans la même nuit.
• Se fier au message « sauvegarde réussie ». Il dit que la copie s’est faite, pas qu’elle contient les bonnes données ni qu’elle se relit.
• Oublier les données des postes. Les fichiers enregistrés sur le bureau d’un ordinateur échappent à la sauvegarde du serveur, et ce sont souvent les plus récents.
• Ne sauvegarder que la dernière version. Un fichier corrompu la semaine dernière a déjà écrasé sa copie saine, et rien ne permet de revenir en arrière.
• Ranger le disque de sauvegarde à côté du serveur. Un incendie, un dégât des eaux ou un vol emportent l’original et la copie ensemble.
• Laisser un seul prestataire détenir les accès. S’il est injoignable ou si le contrat s’arrête, personne ne peut lancer la restauration.