Contrôle 11 — Récupération des données
Établir et tester des processus de sauvegarde et de récupération pour garantir la continuité d'activité après un incident. Une sauvegarde non testée est une sauvegarde qui peut échouer au pire moment.
Pourquoi ce contrôle est critique ?
La règle 3-2-1 est le standard de l'industrie : 3 copies des données, sur 2 supports différents, dont 1 hors site (ou cloud). Les sauvegardes doivent être testées régulièrement — une sauvegarde non testée peut être corrompue ou incomplète.
Procédures & outils recommandés
Implémenter la règle 3-2-1 : sauvegarde locale (NAS), sauvegarde cloud chiffrée (Backblaze, Wasabi), et test de restauration trimestriel. Les sauvegardes cloud doivent être immuables (immutable backup) pour résister aux ransomwares qui ciblent aussi les sauvegardes.
- Veeam Free Edition — sauvegarde VM et physique gratuite
- Backblaze Business — cloud backup abordable et immuable
- Wasabi — stockage cloud immuable à faible coût
- Windows Server Backup — intégré et gratuit
- Acronis Cyber Protect — sauvegarde + anti-ransomware intégré
Tableau des Safeguards
| # | Action (Safeguard) | IG | Classe |
|---|---|---|---|
| 11.1 | Établir et tenir à jour une politique de sauvegarde (fréquence, types de données, rétention, responsable). | IG1 | Données |
| 11.2 | Effectuer des sauvegardes automatisées des données critiques. Minimum quotidien pour les données métier. | IG1 | Données |
| 11.3 | Protéger les sauvegardes : chiffrement, accès limité, stockage séparé des systèmes de production. | IG1 | Données |
| 11.4 | Tester la restauration des sauvegardes au minimum une fois par trimestre. | IG1 | Données |
| 11.5 | S'assurer que les sauvegardes sont stockées hors site ou dans le cloud (règle 3-2-1). | IG1 | Données |
| 11.6 | Établir des sauvegardes immuables (immutable backup) résistantes aux ransomwares. | IG2 | Données |
| 11.7 | Automatiser la vérification de l'intégrité des sauvegardes après chaque exécution. | IG2 | Données |
Application pour les PME québécoises
Action prioritaire IG1 : tester la restauration d'une sauvegarde si vous avez des sauvegardes. Si non, déployer immédiatement Backblaze Business (7$/mois/appareil) pour une sauvegarde cloud automatique. Chiffrer les sauvegardes et les stocker séparément des systèmes de production.
Quiz de validation — 5 questions
1. Que signifie la règle 3-2-1 pour les sauvegardes ?
2. À quelle fréquence minimum tester la restauration des sauvegardes ?
3. Qu'est-ce qu'une 'sauvegarde immuable' ?
4. Pourquoi stocker les sauvegardes séparément des systèmes de production (Safeguard 11.3) ?
5. Combien de Safeguards IG1 contient le Contrôle 11 ?
Voir aussi