Section 7 : Sauvegarde et simulation de restauration
Dans cette section, vous apprendrez à :
Création de sauvegardes et mise en pratique de la restauration
Un fichier peut être supprimé par erreur, un ordinateur portable peut tomber en panne ou un compte peut devenir inaccessible. Les ransomwares peuvent également vous empêcher d'accéder à vos données en les chiffrant et en exigeant le paiement d'une rançon.
Une sauvegarde est une copie distincte et récupérable des données. Elle permet à votre association de restaurer des documents importants et de poursuivre ses activités en cas de problème.
L'objectif est de savoir ce qui peut être récupéré, à quelle date cela remonte et qui est en mesure de le restaurer. Il n'est pas nécessaire de comprendre tous les détails techniques, mais il est indispensable d'obtenir des réponses claires à ces questions.
Commencez par ce qui compte le plus
Utilisez votre inventaire des mesures de protection pour identifier les informations et les services que votre organisation ne pourrait pas remplacer facilement. Pensez notamment à :
Selon les services, les modalités de reprise d'activité peuvent varier. Une sauvegarde des fichiers de bureau n'inclut pas nécessairement votre site web, votre messagerie électronique ou votre plateforme de collecte de fonds. Posez-vous ces deux questions concrètes :
- Quelle part de notre travail récent pourrions-nous nous permettre de perdre ? Si les données évoluent quotidiennement, une sauvegarde mensuelle risque d'entraîner un travail de restauration trop important.
- Combien de temps pourrions-nous tenir sans y avoir accès ? Les informations nécessaires pour les rendez-vous avec les clients de demain peuvent nécessiter une récupération plus rapide que celle d'une archive d'anciennes lettres d'information.
Ces réponses permettent de déterminer la fréquence à laquelle il faut effectuer des sauvegardes et ce qu'il convient de restaurer en priorité.
Prenez conscience de ce dont vous disposez déjà
Le stockage dans le cloud, la synchronisation et les sauvegardes peuvent fonctionner de concert, mais ils remplissent des fonctions différentes.
Stockage en nuage
Conserve les informations sur les systèmes d'un prestataire.
Éléments à vérifier : que se passe-t-il si des fichiers sont supprimés, si le compte est piraté ou si le service devient indisponible ?
Synchronisation
Assure la cohérence des fichiers d'un appareil à l'autre ou d'un emplacement à l'autre.
Points à vérifier : les suppressions ou les modifications indésirables peuvent également être synchronisées.
Historique des versions ou récupération de fichiers supprimés
Cela peut vous permettre de récupérer une version antérieure ou un élément supprimé.
Ce qu'il faut vérifier : jusqu'à quand peut-on remonter, qu'est-ce qui est couvert et qui peut le restaurer ?
Sauvegarde
Conserve des copies récupérables pouvant être utilisées en cas de perte ou de dommage.
Points à vérifier : les copies sont-elles protégées contre tout incident susceptible d'affecter les données opérationnelles ?
Par exemple, la suppression d'un dossier partagé sur un ordinateur portable peut également entraîner sa suppression de l'espace de stockage cloud synchronisé. Une récupération pourrait encore être possible grâce aux fonctionnalités de récupération du service, mais uniquement dans la mesure où celles-ci le permettent.
“ C'est dans le cloud ” ne constitue pas un plan de reprise complet. Vérifiez ce que propose votre service plutôt que de partir du principe que tout peut être restauré.
Découvrez les différentes options
Votre association à but non lucratif peut recourir à un service de sauvegarde, à un disque dur externe, à une solution gérée par un prestataire ou à une combinaison de ces solutions.
- Disque dur externe – Il nécessite un stockage sécurisé et une procédure de sauvegarde bien définie. Un disque dur laissé branché peut être victime de la même attaque que l'ordinateur.
- Service de sauvegarde dans le cloud - Permet d'automatiser les sauvegardes et de conserver des copies hors de vos locaux. Vérifiez la couverture, les limites de restauration, la protection des accès et les coûts.
- Sauvegardes gérées par le fournisseur – Cela peut alléger la charge de travail de votre équipe, mais les responsabilités, la couverture et l'assistance à la remise en état doivent être clairement définies.
- Fonctionnalités de récupération incluses dans les services existants – Elles peuvent offrir une protection utile. Vérifiez si elles répondent à vos besoins ou s’il faut les compléter.
Commencez par passer en revue les fonctionnalités et les contrats existants. Il se peut qu'il y ait des lacunes nécessitant un espace de stockage supplémentaire, une nouvelle organisation ou des dépenses. Identifiez ces lacunes afin que la direction puisse prendre des décisions éclairées.
Pensez aussi à protéger vos sauvegardes
Les sauvegardes peuvent contenir les mêmes informations sensibles que vos dossiers de travail. Limitez l'accès, protégez les comptes de sauvegarde à l'aide de l'authentification multifactorielle (MFA) lorsque cela est possible et utilisez le chiffrement pour les informations sensibles contenues dans les sauvegardes.
Évitez que toutes vos copies soient exposées aux risques liés à un seul et même événement. Un disque dur placé à côté d'un ordinateur portable pourrait être perdu lors d'un vol ou d'un incendie. Une sauvegarde gérée via le même compte piraté pourrait également être supprimée.
Parmi les options possibles, on peut citer la conservation d'une copie hors site, la déconnexion d'un disque de sauvegarde lorsqu'il n'est pas utilisé, ou le recours à un service qui protège les copies conservées contre toute modification ou suppression.
Le Centre canadien de cybersécurité recommande de disposer de plusieurs copies, d'un stockage hors site et d'une sauvegarde hors ligne. Vous entendrez peut-être parler de la Règle du 3-2-1: trois copies au total, réparties sur deux types de supports différents, dont une hors site. L'objectif concret est d'éviter de perdre toutes les copies en même temps.
Préciser qui fait quoi
Attribuer la responsabilité de :
- Vérifier quelles informations et quels services sont concernés.
- Vérification de la bonne exécution des sauvegardes planifiées.
- Assurer le suivi des dysfonctionnements ou des informations manquantes.
- Maintenir l'accès sécurisé à la restauration.
- Tester la restauration et consigner les résultats.
Prévoyez une personne de remplacement. Si un prestataire se charge de cette tâche, désignez une personne au sein de votre association qui examinera les modalités de cet accord et posera des questions.
Demandez au prestataire : “ Si nous perdions aujourd’hui l’accès à ces informations, que pourriez-vous restaurer, à partir de quelle date, combien de temps cela prendrait-il et que devrions-nous faire ? ”
Une réponse claire est plus utile qu'une simple assurance générale selon laquelle les sauvegardes sont en cours d'exécution.
S'entraîner à restaurer des informations
Une notification indiquant que la sauvegarde s'est déroulée avec succès signifie simplement qu'un processus s'est achevé. Elle ne garantit pas que les informations puissent être restaurées et utilisées. Commencez par un petit test bien préparé :
1/
Sélectionnez un fichier représentatif figurant dans la sauvegarde.
2/
Restaurer une copie dans un emplacement de test sécurisé sans supprimer ni écraser le fichier de travail.
3/
Vérifiez qu'il s'ouvre et qu'il contient les informations attendues.
4/
Notez la durée de l'essai, le nom de la personne qui l'a réalisé et tout problème éventuel.
Veillez à protéger les informations sensibles restaurées et supprimez les copies de test temporaires lorsqu'elles ne sont plus nécessaires.
Un test sur un fichier constitue un bon point de départ. Il ne garantit toutefois pas que l'ensemble d'un site web, d'une base de données ou d'un service puisse être restauré. Organisez des tests adaptés avec votre fournisseur pour ces systèmes.
Le Centre canadien de cybersécurité recommande de vérifier régulièrement que la restauration fonctionne comme prévu.
Comprendre ce que les sauvegardes ne peuvent pas résoudre
Les sauvegardes permettent de récupérer des informations. Elles ne permettent toutefois pas d'annuler leur divulgation si quelqu'un les a déjà copiées ou publiées.
La restauration doit également s'attaquer à la cause du problème. Après une intrusion dans un compte ou un incident lié à un rançongiciel, la restauration des données avant la sécurisation de l'environnement concerné pourrait l'exposer à nouveau à des risques.
Utilisez votre procédure d'intervention en cas d'incident pour coordonner la restauration. Veillez à ce que les instructions de restauration essentielles et les coordonnées nécessaires restent accessibles via un moyen alternatif sécurisé au cas où votre compte ou votre appareil habituel ne serait pas disponible.
Définir les modalités de conservation et d'examen des documents
Déterminez la durée de conservation des copies de sauvegarde, en tenant compte des besoins en matière de restauration et des exigences de conservation évoquées dans Section 6.
Les anciennes copies peuvent aider à remédier à un problème détecté tardivement, mais conserver toutes ces données indéfiniment génère un volume supplémentaire d'informations à protéger. Vérifiez comment votre fournisseur gère la conservation des copies et leur suppression éventuelle.
Vérifiez la couverture de la sauvegarde lorsque vous ajoutez un service, déplacez des fichiers, remplacez des appareils ou changez de fournisseur.
Une proposition de règle de politique générale
Les informations organisationnelles essentielles doivent faire l'objet de procédures documentées de sauvegarde et de restauration. La fréquence des sauvegardes et la durée de conservation doivent répondre aux besoins opérationnels et aux exigences applicables. Les copies doivent être protégées contre tout accès non autorisé et contre tout événement susceptible d'affecter les informations opérationnelles. Les personnes désignées doivent vérifier que les sauvegardes ont bien été effectuées, tester la restauration et assurer le suivi des défaillances.
Avant d'adopter cette règle, déterminez ce qu'elle couvre, le calendrier, les personnes responsables et la manière dont la restauration sera testée.
Vérifiez vos dispositions en matière de reprise des activités
Choisissez un test de reprise, désignez une personne responsable et fixez une date. Si vous ne connaissez pas la réponse à une question, indiquez qui se chargera de la vérifier.
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Nous avons déterminé ce qui doit pouvoir être récupéré et dans quels délais.
- Nous avons vérifié la couverture et les limites des contrats existants.
- Responsable des sauvegardes et de la restauration.
- Prévoir un test de restauration et assurer le suivi des éventuelles lacunes.
Vous allez ensuite passer en revue les questions à poser aux fournisseurs et prestataires de services afin que votre association à but non lucratif comprenne bien ce qu’ils protègent, ce qu’ils prennent en charge et ce qui relève de votre responsabilité.
Section 8 : Poser les bonnes questions aux fournisseurs
Pour protéger votre association à but non lucratif lorsque vous utilisez des services tiers, il est essentiel de bien comprendre les responsabilités de chaque prestataire en matière de sécurité, de gérer les accès et les informations, et de savoir comment obtenir de l'aide en cas de besoin.
English 
French 
Chinese 
Spanish 
Ukrainian 