La cyber-résilience à l'ère de la directive NIS 2 : pourquoi la sauvegarde n'est plus seulement une fonction informatique

Une question que toute entreprise devrait se poser est la suivante : en cas de problème, dans quel délai pouvons-nous reprendre nos activités ?

Les temps d'arrêt coûtent cher et, dans les cas extrêmes, peuvent même avoir des répercussions sur l'économie dans son ensemble : on estime ainsi que la cyberattaque contre Jaguar Land Rover a entraîné une perte de 0,1 % du PIB britannique.  

C’est pourquoi des textes législatifs tels que la directive NIS 2 de l’UE mettent fortement l’accent sur la capacité de reprise, et pas seulement sur la prévention, pour les entreprises considérées comme « critiques » ou « importantes ». Même les organisations qui ne sont pas directement soumises à la directive NIS 2 peuvent néanmoins être amenées à démontrer qu’elles disposent de mesures de protection appropriées si elles souhaitent travailler avec des clients, des partenaires ou des fournisseurs qui, eux, y sont soumis. 

Mais toutes les entreprises devraient se poser cette question, qu'elles soient concernées ou non par la législation. La sauvegarde ne se résume plus à disposer d'une simple copie supplémentaire de vos données. Elle constitue un élément clé de tout plan de reprise après sinistre et détermine la rapidité avec laquelle vous pouvez passer de la phase de reprise à la reprise normale de vos activités. 

C'est pourquoi les débats sur la sauvegarde et la restauration dépassent désormais le cadre des services informatiques pour devenir des priorités au niveau du conseil d'administration. 

En quoi une bonne stratégie de sauvegarde soutient la norme NIS2 

 Pendant de nombreuses années, le modèle de sauvegarde largement admis était le suivant : 

• 3 copies des données (pour se prémunir contre toute perte de données) 

• 2 formats différents (enregistrés sur au moins deux types de supports) 

• 1 copie hors site (pour se prémunir contre les sinistres physiques) 

Cependant, il est désormais recommandé d'ajouter deux mesures supplémentaires pour garantir une véritable efficacité de la sauvegarde : 

• 1 copie immuable (garantissant des sauvegardes à l'abri des ransomwares) 

• Il ne fait aucun doute que vous pourrez récupérer vos données (des tests réguliers garantissent la fiabilité) 

Cette approche en constante évolution joue un rôle essentiel dans la mise en conformité avec la directive NIS2. 

Que prévoit la directive NIS2 en matière de stratégie de sauvegarde ? 

La directive NIS 2 est axée sur la reprise après sinistre et la continuité des activités. Son objectif est de garantir que les perturbations soient réduites au minimum en cas d'incident. À ce titre, la plupart des dispositions de la directive NIS 2 s'appuient sur une stratégie de sauvegarde efficace. 

Trois domaines revêtent une importance particulière. 

L'un des piliers de la directive NIS 2 est celui des « politiques d'évaluation de l'efficacité ». En termes simples, il ne s'agit pas seulement d'être convaincu que l'on dispose d'un système de secours efficace, mais aussi d'être en mesure de le prouver.  

Une sauvegarde ne sert à rien si on ne peut pas s'en servir. Le principe selon lequel « il n'y a aucun doute quant à la possibilité de restauration » doit faire partie intégrante de toute stratégie de restauration, et s'appuyer sur des procédures de restauration documentées ainsi que sur des tests réguliers. Les organisations doivent avoir l'assurance que, lorsqu'une restauration s'avère nécessaire, celle-ci fonctionnera comme prévu. 

Par ailleurs, la copie inaltérable répond aux exigences de la législation en matière de « mesures de continuité des activités » et d’« hygiène informatique » de base. Il est essentiel de disposer d’une copie des données qui ne puisse être ni modifiée ni supprimée et qui puisse servir de point de restauration connu et fiable en cas de besoin. Cela est nécessaire pour la reprise après sinistre en général et permet de disposer d’une version fiable des données en cas de cyberattaque ou d’incident lié à un rançongiciel. 

Évitez de vous reposer sur vos lauriers en matière de cloud 

 L'une des plus grandes idées reçues dans le domaine de l'informatique moderne est de croire que les services cloud offrent automatiquement une protection totale et que les fournisseurs se chargent de la sauvegarde et de la restauration. Ce problème est exacerbé par le SaaS, où la promesse d'un accès instantané à une solution est séduisante et souvent mise en œuvre sans intervention du service informatique. 

Mêmedes servicesbien établiscomme Microsoft 365 peuvent présenter des lacunes en matière de sauvegardesi les entreprises ne disposent pas d'une stratégie de protection indépendante. 

Le terme « cécité des nuages » a été inventé pour désigner ce phénomène ainsi que d’autres cas de complaisance face aux nuages. 

Même si les services cloud intègrent un certain niveau de résilience, les entreprises ne peuvent pas se permettre d'adopter une approche passive dans des domaines critiques tels que la sauvegarde et la restauration. 

Les entreprises doivent adopter une politique de « confiance zéro » en matière d'intégrité de leurs données. Quels que soient le responsable du stockage des données et le lieu de stockage, et quelles que soient les promesses faites en termes de fiabilité, la stratégie de sauvegarde doit rester cohérente à tous les niveaux.  

Les sauvegardes permettent de reprendre ses activités 

Dans un monde où les attaques par ransomware sont de plus en plus courantes et où les pannes de services SaaS font régulièrement la une de l'actualité, les sauvegardes doivent constituer un élément clé de toute stratégie de conformité. 

Chaque moment d'indisponibilité représente potentiellement une perte de chiffre d'affaires. L'approche adoptée par la législation visant à intégrer l'informatique dans la gouvernance au sein des conseils d'administration est bénéfique pour les équipes informatiques, et Datto plaide depuis longtemps pour que les sauvegardes occupent une place importante dans ce débat. 

Lisezle guide complet de Dattosur la BCDR : « Pourquoi la sauvegarde et la reprise après sinistre sont-elles essentielles? »