Qu'est-ce qu'un coffre-fort de cyber-récupération ?
Un coffre-fort de cyber-récupération (cyber recovery vault) est une copie séparée et isolée des données de sauvegarde critiques, conservée pour la reprise après une cyberattaque. Il réunit un stockage immuable, un accès réseau restreint et une administration indépendante de la production. Un attaquant qui contrôle l'environnement principal, système de sauvegarde primaire compris, ne peut ni l'atteindre ni le modifier.
En quoi un coffre-fort diffère-t-il d'une autre copie de sauvegarde ?
Une seconde copie ordinaire protège contre une panne matérielle et la perte d'un site. Un coffre-fort est conçu contre un adversaire intelligent doté de droits d'administrateur. Ses propriétés caractéristiques agissent ensemble.
| Propriété | Signification |
|---|---|
| Isolement | Aucun chemin réseau courant depuis la production. La connectivité se limite à un processus de copie contrôlé |
| Immuabilité | Les données ne peuvent être ni modifiées ni supprimées avant la fin de leur rétention |
| Administration séparée | Comptes et identifiants propres, hors de l'annuaire de production |
| Contenu limité | Ce qu'il faut pour reconstruire : systèmes critiques, identité, configuration |
| Vérification | L'intégrité des copies et les signes de compromission sont contrôlés |
| Espace de reprise | Un lieu isolé pour restaurer et inspecter avant le retour en production |
Comment l'isolement est-il obtenu ?
Les approches vont du physique au logique. Certaines architectures n'ouvrent une connexion réseau que pendant la copie des données et la referment ensuite. D'autres gardent la liaison mais n'autorisent qu'une récupération lancée depuis l'intérieur du coffre-fort, ou seulement des écritures vers un stockage objet qui verrouille ensuite chaque objet. Un air gap logique de ce type, construit sur Object Lock S3 en mode conformité avec des identifiants distincts, apporte une grande partie de la protection d'une séparation physique, avec une copie à jour et immédiatement utilisable.
En quoi un coffre-fort diffère-t-il d'un site de reprise après sinistre ?
Un site de reprise après sinistre est construit pour la disponibilité. Il est connecté, suit la production de près et il est administré par la même équipe avec les mêmes outils, afin de prendre le relais rapidement. Ces mêmes propriétés font qu'une attaque contre la production l'atteint souvent aussi : la réplication propage le chiffrement et les suppressions. Un coffre-fort échange la rapidité de bascule contre l'indépendance. Beaucoup d'organisations gardent les deux, pour des événements différents.
Que faut-il prendre en compte pour en construire un ?
Le périmètre vient en premier. Un coffre-fort pour tout coûte cher, et les systèmes nécessaires au redémarrage de l'activité forment un ensemble plus réduit. La rétention doit remonter au-delà du temps pendant lequel un intrus peut passer inaperçu. Les personnes et les identifiants capables d'administrer le coffre-fort doivent être peu nombreux et distincts des administrateurs de production. Enfin, le coffre-fort doit être exercé : une restauration dans une salle blanche au moins une fois par an montre s'il contient ce qu'une reprise réelle exige. L'isolement de la copie sûre présente le principe sous-jacent.
Questions fréquentes
Un coffre-fort de cyber-récupération doit-il être physiquement isolé par air gap ?
Non. La séparation physique est une approche. L'isolement logique, avec un stockage immuable et des identifiants distincts, est très répandu et garde la copie à jour.
Un coffre-fort est-il identique à une sauvegarde immuable ?
L'immuabilité en est un ingrédient. Un coffre-fort y ajoute l'isolement, une administration séparée et un processus de reprise vérifié.
Que met-on dans un coffre-fort ?
Les données et la configuration nécessaires pour reconstruire les services critiques, ce qui inclut en général les systèmes d'identité, les applications centrales et le catalogue de sauvegarde.