Toutes les organisations qui ont déjà échoué dans une tentative de reprise après sinistre – et elles sont plus nombreuses qu’on ne veut bien l’admettre – avaient un point commun : elles pensaient pouvoir se remettre sur pied avant même d’avoir essayé.
Cette conviction venait de quelque part. Un exercice de simulation mené à bien. Un système de sauvegarde qui affichait « vert ». Un test annuel de reprise après sinistre réussi. Tout cela était documenté. Tout cela, à un moment donné, était exact. Mais rien de tout cela n’était à jour lorsque l’incident s’est réellement produit. C’est ce qu’on appelle le « déficit de confiance ». Et c’est précisément ce déficit que la validation continue de la reprise est censée combler.
Ce que signifie réellement le terme « test » dans la plupart des organisations
Si l’on demande à la plupart des responsables de la sécurité ou de l’informatique à quelle fréquence ils testent leurs capacités de reprise, la réponse est généralement « une fois par an », voire « deux fois par an ». Le test consiste à restaurer un sous-ensemble de systèmes à partir d’une sauvegarde dans un environnement de test, à vérifier qu’ils démarrent correctement, puis à rédiger un rapport. Il arrive parfois qu’un exercice de simulation soit organisé en parallèle. Ce que ce type de test ne permet pas de faire : vérifier que les données de sauvegarde sont exemptes de logiciels malveillants ; confirmer que la séquence de reprise fonctionne pour des services interdépendants ; tester la Recovery, ce qui est essentiel lorsque ce sont des identifiants compromis qui ont permis l’attaque. Confirmer que l’équipe chargée d’exécuter la Recovery connaît les procédures opérationnelles en vigueur. Ou produire des preuves suffisamment probantes pour convaincre un régulateur, un auditeur ou un conseil d’administration que la capacité de Recovery est réelle et à jour. En résumé, cela permet de valider un instant donné. Les opérations de résilience (ResOps) nécessitent une validation en continu.
Le modèle de validation continue
La validation continue de la reprise après sinistre ne consiste pas simplement à effectuer un même test plus fréquemment. Il s’agit d’un ensemble de pratiques intégrées qui permettent d’apporter en permanence la preuve, fondée sur des données concrètes, de la capacité de reprise de tous les services critiques. Analyse automatisée de l’intégrité des sauvegardes. Chaque sauvegarde est évaluée en continu afin de détecter d’éventuelles anomalies, des schémas de chiffrement et des signatures de logiciels malveillants. Non pas au moment de la restauration, mais avant celle-ci. L’objectif est de s’assurer que vos points de reprise sont intacts avant d’en avoir besoin, et non pendant un incident.
Cleanroom Recovery Cleanroom Recovery Cleanroom Recovery programmée. Au moins deux fois par an, restauration à partir de points de sauvegarde immuables dans un Cleanroom Recovery isolé – ni en production, ni dans un environnement de test adjacent à la production, mais dans un espace véritablement isolé où une analyse médico-légale peut être effectuée sans risque de réinfection. Ces exercices fournissent des preuves documentées de la capacité de restauration par rapport à des seuils d’impact définis.
Validation de la restauration des identités. L’usurpation d’identifiants étant le vecteur d’intrusion le plus courant, la restauration d’Active Directory et d’Entra ID doit être testée parallèlement à la restauration des données. Les entreprises qui restaurent leurs systèmes sans avoir préalablement restauré une couche d’identité dont la propreté a été vérifiée risquent de voir les attaquants revenir par la même porte.
Tableaux de bord des indicateurs de résilience des services (SRI). Les SRI – signaux continus issus de la télémétrie de sauvegarde, de la cartographie des dépendances et des résultats de tests – offrent aux RSSI, aux DSI et aux conseils d’administration une vue en temps réel de l’état de la capacité de reprise. Il ne s’agit pas d’un rapport ponctuel, mais d’un signal opérationnel continu.
Chacune de ces pratiques alimente ce que Deloitte et Commvault appellent le « backlog de résilience » : une liste actualisée en permanence et classée par ordre de priorité des lacunes identifiées lors des tests, dont le suivi est assuré jusqu’à leur résolution. C’est le mécanisme par lequel la validation devient un moteur d’amélioration, plutôt que de se limiter à la simple production de rapports.
Que signifie « temps moyen de reprise après un nettoyage » ?
Les indicateurs de reprise traditionnels – l’objectif de temps de reprise (RTO) et l’objectif de point de reprise (RPO) – mesurent la vitesse et l’actualité des données. Ils ne fournissent aucune information sur la fiabilité des données restaurées. Le « Mean Time to Clean Recovery » (MTCR) comble cette lacune : il mesure le temps nécessaire pour restaurer des données dont la propreté est vérifiable, et non pas simplement leur disponibilité technique.
Le MTCR revêt une importance particulière car, lors d’une attaque par ransomware, l’objectif de l’attaquant est souvent de corrompre les options de restauration, et pas seulement de chiffrer les systèmes de production. Une entreprise qui effectue une restauration rapide, mais à partir d’une sauvegarde compromise, ne s’est pas réellement remise de l’attaque. Elle s’est en réalité réinfectée.
L’intégration du MTCR dans votre cadre de mesure de la résilience, aux côtés du RTO et du RPO, modifie les critères sur lesquels vous vous concentrez pour l’optimisation ainsi que les éléments que vous communiquez au conseil d’administration. Rapidité, actualité et intégrité : voilà ce qui constitue le tableau complet de l’état de préparation à la reprise.
Une résilience que vous pouvez démontrer
Les organisations qui parviennent à surmonter les perturbations informatiques en subissant le moins de dommages possible partagent une caractéristique commune : elles considèrent que la capacité de reprise doit être démontrée en permanence, et non pas simplement affirmée de manière ponctuelle. Elles connaissent leur MTCR. Leurs SRI sont à jour. Leur « cleanroom » a été testée au cours des 90 derniers jours. Cette approche ne repose pas uniquement sur une technologie plus performante. Elle résulte d’une discipline opérationnelle – les ResOps – qui rend la résilience continue, mesurable et gouvernable. La plateforme Commvault fournit les fondements techniques : une Recovery sans faille, une validation automatisée et une visibilité unifiée sur les données, les identités et les services dont les ResOps ont besoin à grande échelle.
En ce qui concerne l’aspect organisationnel de cette équation – comment définir les seuils de tolérance aux impacts, aligner la direction générale et mettre en place la structure de gouvernance qui soutient cette discipline –, consultez le blog complémentaire de Deloitte, « La conversation sur la résilience que votre conseil d’administration n’a pas encore eue »
».
Et pour découvrir le cadre complet du ResOps, y compris ses six domaines et le modèle de mesure qui relie la récupérabilité technique à la responsabilité au niveau du conseil d’administration, lisez le livre blanc conjoint : « De la viabilité minimale à la résilience opérationnelle : le ResOps en pratique »
».
Bill O’Connell est directeur de la sécurité chez Commvault
.
