La dématérialisation, la virtualisation et l’externalisation sont de grandes tendances du marché de l’informatique auxquelles n’échappe évidemment pas la sauvegarde. Dans le cadre de l’externalisation des données (qu’il s’agisse de la sauvegarde externalisée ou de tout autre service), la notion de confidentialité est fondamentale. Comment un utilisateur peut-il s’assurer que cette confidentialité est réellement respectée ?

Sans chiffrement, point de salut

C’est le chiffrement des données (appelé communément « cryptage ») qui va rendre les données confidentielles : seul le processus ou la personne détenant une clé pourra lire le contenu des données.
Plusieurs paramètres rentrent en ligne de compte pour un résultat fiable :

• La clé de chiffrement : à l’instar de vos mots de passe, plus la clé est complexe et longue, plus il sera difficile de la craquer. Sur les méthodes de chiffrement les plus fiables, les attaques de type «force brute» sont les seules qui peuvent s’avérer efficaces. Ces attaques consistent à essayer toutes les clés possibles afin de trouver la bonne. C’est pour cela, dans le cas de l’AES que les clés deviennent de plus en plus longues : l’AES-128 fonctionnait avec des clés de 128 bits, puis l’AES-192 avec des clés de 192 bits, puis l’AES-256, etc… La clé est un véritable garant de la confidentialité et c’est le paramètre le plus important. Les points essentiels d’une bonne clé de chiffrement sont :
  • Sa longueur
  • Sa complexité
  • Sa confidentialité (vous seul devez pouvoir y avoir accès)
• La méthode de chiffrement : Il en existe une grande variété qui utilisent des algorithmes plus ou moins complexes à mettre en œuvre. Les plus connues sont DES, Triple DES, AES, Blowfish, etc… Leur «solidité» et variable mais les méthodes les plus répandues sont généralement les plus fiables.
• La portée du chiffrement : Pour que le chiffrement soit efficace, il doit couvrir toutes vos données et il doit être fait un plus proche de vos données.

Dans le cas de sauvegarde externalisées, il est donc impératif pour la confidentialité de vos données qu’elles soient chiffrées à la source avec une clé et une méthode fiable.

Il est beau mon aspirateur, il est beau !

Un récent article posté sur le réseau social LinkedIn faisait état d’une fraude à l’hébergement de données de santé. La société contrevenante avait déclaré auprès de la CNIL des procédés de sécurités non conforme à la réalité des faits. En l’occurrence il s’agissait d’un chiffrement partiel de données de santé, à la place d’un chiffrement total.
Malheureusement, cet état de fait est le triste reflet des pratiques de certains prestataires peux scrupuleux : vous avez un besoin et ils sont prêts à vous raconter n’importe quoi pour vous engager avec eux.

Mais alors, que faire ?

Il y a deux mesures très simples à prendre afin de ne pas se faire piéger :
Première mesure, lisez ce que le prestataire vous écrit. Si vous trouvez des incohérence entre la documentation, les conditions générales de ventes et les échanges commerciaux, passez votre chemin !
Parmi les énormités qui nous ont été données de voir, en voici un florilège :

• « Vos données sont dédupliquées avec celles des autres clients afin de réduire l’occupation disque ». Cela signifie que les données arrivent en clair (pas chiffrées) sur les serveurs de stockage, le taux de déduplication de données chiffrées avec des clés différentes étant de zéro.
• « Les données de sauvegarde sont traitées par un antivirus une fois sur le serveur de stockage ». Si les données sont chiffrées, comment l’antivirus peut-il en lire le contenu ? Soit elles ne sont chiffrées qu’en suite (donc pas à la source) soit le prestataire peut très simplement et sans votre accord accéder à vos données…

Nous vous le répétons, lisez bien ce qui vous est fourni… il s’agit tout de même de la sécurité de vos données !

Deuxième mesure, demandez des engagements. Votre prestataire doit vous assurer qu’il chiffre bien vos données avec des méthodes fiables et que la clé n’est accessible qu’à vous. Si rien est écrit dans les conditions générales de vente, n’hésitez pas à vous faire préciser les engagements du fournisseur dans les conditions particulières de l’offre.

Conclusion

Qu’il s’agisse de sauvegarde externalisée ou d’externalisation de données au sens large, soyez prudent ! Il ne s’agit, au fond, que d’une dématérialisation de ses données, mais dans ce cadre leur confidentialité est fondamentale.
La prudence consiste simplement à lire les CGV et à demander des engagements écrits aux prestataires.
Si les réponses et écrits vous paraissent fumeux ou contradictoires, passez votre chemin !
Par contre, si votre prestataire est sérieux, ce type de solutions peut vous rendre de grands services.

Externalisez, mais choisissez bien votre prestataire !

Les risques pesant sur vos données informatiques sont nombreux. Ils peuvent assez rapidement entrainer des pertes de données et par voie de conséquences une perte de valeur pour les entreprises.

Un homme prévenu en vaut deux

Connaitre les risques, c’est être capable de les évaluer et de les anticiper.
Il est donc essentiel pour toute organisation professionnelle d’avoir une véritable politique de sécurité informatique.
C’est cela qui vous garantira de ne pas perdre de valeur, ou pire, toute votre entreprise, à la suite d’un sinistre informatique.

Les risques

La liste des risques les plus fréquents a été publiée en octobre 2011 dans le magazine Novamag (édité par Novacité). Elle concerne les entreprises du Rhône, mais le constat doit être très proche dans le reste de la France.
Les voici par ordre décroissant :

• 15% – Attaque virale
• 10% – Perte de données liée à une panne matérielle
• 10% – Perte de données liée à une erreur humaine
• 5% – Vol de matériel informatique
• 4% – Panne d’électricité
• 3% – Accidents physiques (incendie, dégat des eaux, explosion…)
• 1% – Intrusion dans le système informatique de l’entreprise

Conclusion

Cette liste ne présente rien de bien surprenant… Ceci dit, elle met en évidence deux points :

• Un bon anti-virus vous préservera des 15% d’attaques virales
• Une bonne sauvegarde externalisée vous préservera de l’intégralité des risques

Le point de la sauvegarde n’est vrai que si votre prestataire s’engage à du résultat… si le contrat de sauvegarde est signé avec un intermédiaire financier et/ou que les conditions générales de ventes sont très opaques, dite vous que c’est le premier signe du prestataire qui ne souhaite prendre aucun risque ni aucun engagement !

Bref, on ne le dira jamais assez : protégez et sauvegardez vos données !

Le mode de rétention de vos données peut vous sembler secondaire, mais ne vous y trompez pas, il a un impact direct sur la sécurité de vos données.

Définition de la rétention

En clair, cela signifie qu’un logiciel de sauvegarde de données va conserver plusieurs versions de vos données constituant un historique des modifications : c’est ce que l’on appelle la rétention.

Rétention par nombre de versions

La rétention basée sur un nombre de versions fonctionne de la façon suivante :

• Chaque fois qu’un fichier est sauvegardé, il est référencé comme une nouvelle version.
• Si le nombre de versions du fichier dépasse le nombre de versions autorisées, la version la plus ancienne est supprimée.

Cette méthode est extrêmement simple à comprendre et à implémenter : c’est au moment de la sauvegarde que le logiciel va gérer la purge des anciennes version.

Rétention temporelle

La logique de la rétention temporelle des données de sauvegarde est différente. Elle n’est non plus basé sur un nombre de version fini, mais sur des étapes temporelles.
Vous pouvez par exemple décider de garder toutes les versions de vos fichiers pendant une semaine, puis une seule version par semaine pendant un mois, puis une version par mois pendant 3 mois, etc…
Le processus de « purge » de données est donc différent :

• Chaque fois qu’un fichier est sauvegardé, il est horodaté.
• A une fréquence donnée, les serveurs de stockage vont scruter les versions disponibles du fichier et en fonction des règles temporelles établies (x versions par semaine, plus ancien que y mois, etc…), certaines versions pourront êtres supprimées.

Cette méthode, plus complexe à comprendre et à implémenter, permet d’obtenir un vieillissement plus homogène et granulaire des données.

Exercice pratique

Imaginons que nous ayons deux logiciels de sauvegarde différents :

• Un logiciel A, qui utilise une rétention temporelle selon le modèle suivant :
  • Au bout d’une semaine, on ne conserve au maximum qu’une version par semaine
  • Au bout de quatre semaines, on ne conserve aucune ancienne version
• Un logiciel B, qui utilise une rétention par version sur 10 versions

Notre sélection de fichiers contient deux fichiers :

• Un fichier très critique « 1 », modifié et sauvegardé 3 fois par jour
• Un fichier peu critique « 2 », modifié et sauvegardé 1 fois toutes les deux semaines

Le graphique ci-dessous représente la durée de rétention en jours pour chaque fichier et avec chaque méthode :

Avec une rétention par nombre de versions, on constate que :

• Le fichier 1 qui est très critique a une rétention réelle de moins d’une semaine
• Le fichier 2 qui est peu critique a une rétention d’environs 5 mois

Avec une rétention temporelle, le constat est très différent :

• Le fichier 1 (très critique) a une rétention de quatre semaines, avec la possibilité de restaurer toutes les versions sur la première semaine
• Le fichier 2 (peu critique) a une rétention de quatre semaines, avec la possibilité de restaurer deux versions

Cela laisse clairement apparaître la faiblesse de la rétention par nombre de version : plus vos données sont critiques et modifiées fréquemment, moins la rétention est importante.
Plus simplement, la durée de rétention avec le mode « par versions » est inversement proportionnelle à la criticité du fichier ! Imaginez un tel système couplé à une sauvegarde continue des données…

Notre position

Lors du choix d’une offre de sauvegarde, il faut être particulièrement vigilant sur ce point technique.
Un mauvais choix vous empêcherait clairement de restaurer des données exploitables en cas de problème. Surtout que certains acteurs vous propose, sans aucune possibilité de paramétrage de votre part, une rétention limitée à… 3 version !
Lors de la conception de notre solution de sauvegarde, nous avons choisi d’implémenter une rétention temporelle afin de pouvoir vous assurer une sécurité et une « restaurabilité » optimales.

De plus, vous êtes totalement libre de paramétrer la stratégie de rétention de vos données : nombre de tranches de temps, durées des tranches, durée totale… C’est la solution qui s’adapte à vous, pas le contraire !

Enfin, il est légitime de se poser la question de l’impact de l’historique sur le volume de stockage. Concrètement, avec un mode incrémental par blocs associé à un bon algorithme de déduplication des données à la source, l’impact sur le volume de stockage est extrêmement faible.

N’hésitez plus, contactez-nous pour en discuter !

Ouest Numérique est la représentation de la filière TIC en Pays de la Loire. 0

Quelques chiffres

Pour la seule région des Pays de la Loire, la filière informatique représente :

• 3055 établissements de fournisseurs de TIC
• 2 milliards d’Euros de chiffre d’affaires consolidé
• 26 623 emplois chez les prestataires implantés dans la région
• 20 000 emplois dans les métiers de l’informatique chez les « utilisateurs » (privé et public)
• 85% des entreprises comptent moins de 10 salariés

Il est donc indiscutable que l’informatique est un pan important du tissu économique régional, mais que « l’éparpillement » des compétences au sein des petites entreprises est un frein au développement des activités numériques. (source magazine Interactives).

Les objectifs

L’objectif fondamental de Ouest Numérique est justement de fédérer tous les acteurs du secteur régional afin de les aider à se développer. Cet objectif passe par quatre axes transversaux :

• Métiers et compétences
• Coopération (recherche-entreprise et inter-entreprises)
• Visibilité des entreprises et valorisation du territoire
• Développement marketing et commercial

Organisation

Pour fédérer efficacement les acteurs de la filière, elle a été organisée en groupes de travail :

• Cloud Computing : Solutions à la demande
• Open Data : Mise à disposition et réutilisation des données
• L’Informatique Durable : Green IT et IT for Green
• Logiciels Libres : Représentativité, Solutions
• Innovation Web : Culture, Usages et Outils
• Qualité Des Logiciels : Outils, Méthodes, Tests…
• Décisionnel : Système d’aide à la décision
• Ingénierie Logicielle par les Modèles : Conception et rénovation des SI…

Chaque groupe est piloté par une à deux personnes et travaille de façon autonome aux objectifs donnés précédemment.

Et Arx One, dans tout cela ?

Nos offres de sauvegardes sont toutes proposées sous forme de services, et la partie la plus importante de notre activité est la sauvegarde externalisée.
Il était donc logique que nous rejoignons le groupe Cloud Computing, au cotés d’hébergeurs, éditeurs de solutions à la demande, acteurs technologiques et prestataires de services.

Nous sommes persuadés que cette démarche sera gagnante pour tous, tant sur le plan humain que technologique. Nous ne manquerons pas de vous tenir informés des synergies découvertes !