Une stratégie mesurable

Deux métriques clés (ANSSI)

• PDMA / RPO (Recovery Point Objective) : temps maximal entre deux sauvegardes = données qu'on accepte de perdre.
• DIMA / RTO (Recovery Time Objective) : temps pour restaurer après une panne.

DIMA < 24h ? La simple sauvegarde ne suffit pas → réplication temps réel.

La règle 3-2-1

• 3 copies des données (1 originale + 2 copies)
• 2 types de support différents
• 1 copie hors site (ou hors ligne)

Rétention (exemple)

15 jours de journalières · 1 an de mensuelles · 5 ans d'annuelles.

Sécuriser les sauvegardes

• Isoler dans un réseau d'administration dédié (VLAN).
• Comptes d'admin de sauvegarde dédiés et nominatifs.

Solutions courantes

• Open source : Bacula
• Commerciales : Veeam, Acronis, Commvault

Cas concret : fixer ses objectifs

Une boutique en ligne décide : « je ne peux pas perdre plus de 1 heure de commandes, et je dois être de nouveau en ligne en moins de 4 heures ».

• RPO = 1 h → il faut une sauvegarde (ou réplication) au moins toutes les heures.
• RTO = 4 h → la procédure de restauration + le matériel de secours doivent permettre de repartir en 4 h, testé chrono en main.

Ces deux nombres pilotent tout le reste (fréquence, support, budget).

La règle 3-2-1 en image

flowchart LR
  D["Données"] --> O["Original<br/>disque"]
  D --> L["Copie locale<br/>NAS"]
  D --> H["Copie hors site<br/>cloud / bande"]
  O -.->|3 copies| L
  L -.->|2 supports| H

Erreurs fréquentes

• Les 3 copies sur le même disque / le même lieu → un dégât (incendie, ransomware) emporte tout.
• Sauvegardes connectées en permanence → un rançongiciel les chiffre aussi. Garde une copie hors ligne / immuable.
• Définir un RPO/RTO ambitieux sans jamais tester la restauration.

À retenir

• RPO = données perdables · RTO = temps de remise en route. Ce sont des décisions métier, pas techniques.
• 3-2-1 : 3 copies, 2 supports, 1 hors site (+ idéalement 1 hors ligne).
• Tester la restauration régulièrement, sinon les chiffres ne valent rien.

Mini-exercice

Un cabinet comptable veut RPO = 24 h et RTO = 8 h, et garder 5 ans les bilans annuels. Propose : fréquence de sauvegarde, type (complète/incr/diff), supports, et rétention. (Indice : journalière incrémentielle + complète hebdo, 1 copie NAS + 1 cloud, rétention longue sur les annuelles.)