Meilleures pratiques pour une sauvegarde sécurisée des données

Dans de nombreux environnements, le stockage échappe au domaine des responsables de la sécurité, lesquels se concentrent principalement sur la sécurité périmétrique, la détection/prévention des intrusions et la protection des systèmes hôtes. De ce fait, l’infrastructure de stockage a toutes les chances de constituer le talon d’Achille de l’entreprise en matière de sécurité.

La politique de sécurisation des données est au coeur des préoccupations des entreprises et devrait constituer un élément fondamental de leur stratégie de sécurité. Les mesures de sécurité stratégiques peuvent ensuite engendrer des règles tactiques et opérationnelles grâce aux efforts conjoints des équipes de sécurité et de stockage. A cette fin, le stockage doit faire partie intégrante de la stratégie de sécurité de l'entreprise.
 
Pour atteindre ces objectifs, une entreprise doit mettre en place un pôle autour des cinq aspects essentiels suivants :

Attribution des responsabilités
Evaluation des risques
Elaboration d'une procédure de protection des données
Communication de cette procédure
Exécution et test de la procédure

 
1.  Attribution des responsabilités
 
Il s'agit de faire de la sécurité du stockage une fonction à part entière dans l'ensemble des règles et de l'architecture de sécurité informatique. Même si l'entreprise décide que la responsabilité de la sécurité des sauvegardes ou du stockage doit incomber à l'équipe de stockage, elle doit néanmoins intégrer toute mesure de sécurité dans ce domaine avec les mesures de sécurisation du reste de l'infrastructure. Cette intégration contribuera à la mise en place d'une protection en profondeur.
 
Il est également conseillé de partager la responsabilité des données extrêmement sensibles. Il est ainsi prudent de s'assurer que la personne autorisant les accès n'est pas la même que celle chargée de l'exécution.

 
2.  Evaluation des risques du stockage en matière de sécurité informatique
 
Les responsables doivent examiner chaque étape de leur méthodologie de sauvegarde en y recherchant les failles de sécurité. Un administrateur peut-il secrètement effectuer des copies des bandes de sauvegarde ? Celles-ci sont-elles rangées dans des boîtes accessibles à tous ?

Existe-t-il une chaîne de surveillance rigoureuse de bout en bout pour les bandes de sauvegarde ? Si les données critiques sont sauvegardées et transportées en clair, des vulnérabilités de cette nature pourraient en faire des proies faciles.

Dans le cas où l'analyse des risques fait apparaître de nombreuses vulnérabilités, l'entreprise doit sérieusement se poser la question du cryptage de ses données. 

 
3.  Elaboration d'un programme de protection de l'information qui garantit la sécurité des données de l'entreprise, en permanence, où qu'elles se trouvent
 
Il convient d'adopter une protection à plusieurs niveaux en reprenant les meilleures pratiques existant déjà pour le réseau de données afin de les appliquer au réseau de stockage, tout en y ajoutant des couches spécifiques, adaptées aux caractéristiques des données archivées, à savoir :
Authentification : application de techniques d'authentification à plusieurs niveaux et d'antispoofing (lutte contre les usurpations d'identité ou d'adresse).
Autorisations : droits d'accès en fonction des rôles et responsabilités (par opposition à un accès administratif total).
 
Il est impératif de dupliquer les bandes de sauvegarde car il n'est jamais bon de dépendre d'une seule copie des données. En dépit de la longévité des bandes, celles-ci restent exposées à des dommages environnementaux et physiques. Une pratique courante consiste à réaliser des sauvegardes nocturnes, puis à stocker ces bandes hors site, sans aucune vérification. Les meilleures pratiques recommandées consistent à dupliquer les bandes de sauvegarde, puis à stocker les copies hors site.
 
Les bandes magnétiques demeurent le mode de stockage privilégié pour les sauvegardes car elles sont économiques et offrent une capacité suffisante pour sauvegarder l'ensemble d'un système d'exploitation sur une seule cartouche.

Lorsqu'elles sont stockées correctement, les bandes d'archivage ont une durée de vie supérieure à 30 ans, ce qui en fait un support de stockage d'une fiabilité exceptionnelle.

 
4.  Communication de la procédure à appliquer en matière de protection et de sécurité de l'information
Une fois définie la procédure destinée à assurer la protection et la manipulation des données sensibles, il importe de veiller à l'information et à la formation des responsables de leur sécurité. Les règles de sécurité représentent l'aspect le plus important dans l'attribution des responsabilités. Les responsables fonctionnels doivent être informés des risques, des contre-mesures et des coûts.

La perte de données et le vol de propriété intellectuelle concernent toute l'entreprise, et pas seulement le service informatique. A ce titre, le directeur de la sécurité doit entreprendre une démarche de sécurisation des données en formant les différents cadres fonctionnels aux risques, menaces et préjudices potentiels découlant des failles de sécurité, ainsi que du coût des diverses contre-mesures possibles dans ce domaine.

De la sorte, les dirigeants de l'entreprise pourront prendre en connaissance de cause leurs décisions relatives au profil coût/bénéfice des investissements en matière de sécurisation des données. 

 
5.  Exécution et test du plan de protection et de sécurité de l'information
La sécurisation des données n'est pas affaire de technologie mais de procédure. C'est pourquoi il est essentiel de tester la procédure. En outre, la croissance de l'entreprise s'accompagnant d'une évolution des besoins de protection des informations et des données, les pratiques de sécurité informatique doivent elles aussi évoluer.
 
Une fois le plan complet de sécurité élaboré, défini et communiqué aux personnes concernées, le moment est venu de le mettre à exécution. Il convient alors de s'assurer de la mise en place des outils, technologies et méthodologies nécessaires au classement des informations. Il faudra peut‑être déployer de nouvelles technologies permettant de classer les informations ou de les étiqueter avec des métadonnées de sorte qu'elles soient sauvegardées suivant les règles et procédures appropriées.
 
Une fois en place, la procédure doit être testée, à la fois en ce qui concerne la sauvegarde et la restauration. Le test consiste à introduire dans le processus tout danger possible et imaginable, qu'il s'agisse de la perte d'une bande ou d'un serveur, de problèmes de réseau, d'équipement ou de classement des données ou de tout autre scénario susceptible d'affecter la marche de l'entreprise.

Il est conseillé d'effectuer des tests avec du personnel connaissant moins bien la procédure, pour s'assurer que celle-ci peut néanmoins être appliquée sans difficulté en cas d'absence du responsable habituel (pour cause de maladie, de congés ou de départ).