L'infonuagique...c'est pas magique!

On pourrait croire que l’infonuagique règle tous les problèmes… voici une belle croyance!

L'infonuagique, c'est pas magique!

Depuis que le nuage s’est démocratisé, les entreprises prennent un virage numérique à toute

vitesse, parfois sans avoir lu les petites lignes au bas du contrat. Une erreur qui peut mener l’entreprise à sa perte.

De plus en plus, avec :

• l’augmentation de la quantité de données à gérer;

• les coûts de fonctionnement des infrastructures informatiques en interne;

• la rareté et l’hyper spécialisation des ressources;

• l’évolution permanente des technologies;

• et toutes les autres bonnes raisons, les entreprises se tournent de plus en plus vers l’infonuagique.

Dans ce virage numérique à grande, voire à très grande vitesse, la priorité c’est la réduction des coûts.

On fait fi de la réflexion sur la souveraineté des données, on néglige de penser à l’indisponibilité éventuelle du fournisseur, ou encore on dédaigne les sauvegardes. Combien de fois ai-je entendu:

« On verra ça plus tard! »

ou encore

« Bin quoi, le fournisseur

s’occupe de tout…»

Adieu à toute rationalité qui permettait d’avoir une vision à long terme. Bienvenue au pays des licornes.

Loin de moi l’idée que l’infonuagique, « ce n’est pas bien ». Au contraire, je pense que c’est une superbe occasion de s’alléger d’une partie de la gestion des T. Mais pas à n’importe quel prix!

Dans cet article, nous partagerons quelques principes de base avec vous permettant de limiter l’impact en cas d’indisponibilité de votre fournisseur infonuagique.

Lorsque vous migrez la totalité de votre informatique chez un fournisseur infonuagique et que celui-ci est inaccessible (peu importe la raison), il ne vous reste, pour maintenir vos activités, que ce que vous avez en local sur vos ordinateurs de bureau. C’est-à-dire pas grand-chose, surtout si vous avez décidé de tout externaliser chez votre fournisseur préféré.

Il se peut en effet que vous perdiez aussi votre messagerie, vos outils de réunion, possiblement votre téléphonie, vos fichiers, vos applications essentielles, vos listes de clients, fournisseurs, commandes, stocks, factures, etc.

Bref, vous êtes dans la « Me….»!

Pour mieux comprendre l’impact, coupez la connexion réseau sur votre ordinateur et voyez ce que vous pouvez faire: pas grand-chose, j’imagine. Vous aurez donc besoin de plans pour :

• Gérer la crise que l’indisponibilité va générer;

• Maintenir vos activités sans informatique;

• Reconstruire (éventuellement) votre informatique.

Pour gérer la crise, ça va vous prendre au minimum un moyen de communiquer (accès à un téléphone ou à une boîte de messagerie, liste de contacts avec numéros de téléphone et adresses électroniques) et des outils et procédures de gestion de crise de base.

Une fois que vous avez ce qu’il faut pour communiquer, vous devez maintenir ou reprendre vos activités essentielles, surtout celles qui vous permettront de conserver vos clients et de préserver votre trésorerie.

Dans le cas d’un sinistre chez votre fournisseur (par.ex un incendie d’OVH), vous devrez activer votre plan de reprise informatique (si vous avez un contrat à cet effet).

Dans le cas d’une cyberattaque sur vos infrastructures hébergées chez votre fournisseur, il est fort possible que la solution de tolérance de panne (redondance de vos systèmes) soit elle aussi compromise.

Et dans le cas où votre fournisseur est indisponible à la suite d’une cyberattaque...

Oups!

Il va falloir attendre que le

fournisseur soit lui-même à

nouveau disponible, ce qui

peut prendre plusieurs

jours, voire plusieurs

semaines.

Vous l’aurez compris, pour éviter de vous retrouver dans une situation catastrophique, il faut vous préparer avant la crise!

Que faut-il au minimum pour survivre?

Voici quelques éléments de base qui vous permettront de survivre:

• Un plan de gestion de crise à jour;

• Des copies de sauvegarde (immuable) de l’ensemble de vos données en dehors de votre fournisseur infonuagique;

• Un plan de continuité de vos activités essentielles avec des procédures qui vous permettront de vous passer du nuage;

• Un plan de reprise informatique en cas de sinistre chez votre fournisseur (si possible, chez un autre fournisseur infonuagique).

Bien entendu, tout cela, il faut y avoir réfléchi et l’avoir mis en place AVANT la crise. Sinon, vous ne vous relèverez pas!

Le versionnage n’est pas une sauvegarde!

Une croyance populaire tend à considérer que l’infonuagique est sûre et que rien ne peut la rendre indisponible. Malheureusement, comme on a pu le constater par le passé, il n’en est rien. Le nuage repose sur des infrastructures qui peuvent elles aussi subir des sinistres et des cyberattaques.

Les fournisseurs proposent souvent de la redondance locale, zonale ou régionale. Ils ne sont toutefois pas responsables de la suppression volontaire ou involontaire des données se trouvant sur les espaces de stockage fournis au client. Les sauvegardes et les contrôles d’intégrité sont de la responsabilité du propriétaire des données.

La plupart des fournisseurs offrent un service de versionnage qui permet de conserver vos modifications un certain nombre de jours. Au-delà de ce délai, vos anciennes versions sont supprimées définitivement.

Donc, si vous supprimez par inadvertance un fichier important, il sera définitivement perdu au bout d’un certain temps

ADIEU MES PRÉCIEUX FICHIERS!

Vos sources et scripts sont-ils en sécurité? Seront-ils accessibles en cas de besoin?

La tendance actuelle est de mettre toutes les sources des programmes chez un hébergeur infonuagique, pensant qu’ils y sont à l’abri du fait qu’ils sont versionnés et répliqués.

Oui, mais que se passera-t-il si vous supprimez « involontairement » une ou plusieurs sources et que la corbeille est vidée au bout de x jours?

Et que ferez-vous si vous n’avez plus cette source pour reconstruire votre application à la suite d’une cyberattaque?

Alors, quelles sont les principales solutions?

Voici deux stratégies qui permettent d’effectuer une reprise informatique en cas de sinistre chez son fournisseur infonuagique.

DRAAS

Disaster Recovery As A Service est beaucoup utilisé dans le cadre des reprises à chaud en fonction du type de production, on réplique les données dans le nuage (de préférence chez un autre fournisseur). Par contre, en cas de cyberattaque, il est probable que votre reprise soit elle aussi compromise.

BAAS

Backup As A Service est un service de sauvegarde en ligne programmable de façon journalière, hebdomadaire, etc. Les sauvegardes peuvent être automatisées, chiffrées et stockées à différents endroits, y compris dans vos locaux Cette stratégie est moins dispendieuse, car nul besoin d’acheter des serveurs et des licences, le tout étant mis à la disposition par le fournisseur.Cette solution est beaucoup utilisée dans le cadre des reprises à froid et en cas de cyberattaque.

Pour choisir un outil de reprise infonuagique, il faut se baser sur des indicateurs de performance tels que la durée maximale d’interruption admissible (car plus le délai est court, plus on doit se tourner vers une solution de type DRASS. Si vous n’avez aucun problème à reprendre après plusieurs jours, vous pouvez vous diriger vers une solution BAAS .

Attention!

Dans tous les cas, vous devez avoir des sauvegardes immuables qui vous permettront de pallier des attaques par rançongiciel.

En somme, il est nécessaire d’établir un plan de continuité des activités pour vous préparer aux imprévus qui peuvent survenir. Après avoir mis sur pied un plan de continuité en fonction du type de nuage que vous utilisez, il faut également choisir un outil de reprise informatique adéquat. Pour tirer pleinement parti de la continuité des activités dans le nuage, les entreprises doivent s’associer à des experts qui comprennent la situation dans son ensemble ainsi que les nuances subtiles de la transition vers l’infonuagique.

Article rédigé par Alexandre Fournier

Alexandre Fournier, expert en gestion et simulation de crise. Il est consultant, formateur et conférencier dans les domaines de la continuité des affaires et de la gestion de crise depuis 30 ans.

Pour en savoir plus : https://www.linkedin.com/in/fournier-alexandre

---

COMPLÉMENTS

LES TYPES DE REPRISES INFORMATIQUES

Il existe plusieurs stratégies de reprise en cas de sinistre informatique, qui se distinguent notamment par leur délai de retour à la normale.

Reprise à froid

On dispose d’un espace vide qu’on équipe en cas de sinistre. Il faut procéder à l’achat et à l’installation de l’équipement nécessaire lorsque le sinistre survient. Cette stratégie peut prendre quelques jours ou quelques semaines.

Reprise à tiède

Cette stratégie se veut un compromis entre la reprise à froid et la reprise à chaud. On dispose d’équipement déjà en place et les données sont disponibles rapidement.

Reprise à chaud

On s’appuie ici sur la stratégie de réplication des systèmes intersites. Cette stratégie permet à l’entreprise de reprendre ses activités peu de temps après le sinistre (quelques heures au maximum).

NORMES POUR LE NUAGE

Obtenir une certification ou un label peut être un moyen pour les fournisseurs de services infonuagiques de montrer leur maturité en matière de sécurité.

La norme ISO/IEC 27017 est une norme internationale qui vise à sécuriser les services d’informatique en nuage. Elle s’adresse à tous les fournisseurs de ces services et propose des lignes directrices pour mettre en place des mesures de sécurité de l’information propres au nuage. Elle fournit des recommandations supplémentaires concernant la mise en oeuvre de mesures de sécurité spécifiées dans l’ISO/IEC 27002 ainsi que des mesures de sécurité supplémentaires liées aux services infonuagiques.

La norme s’adresse aux prestataires de services infonuagiques et à leurs clients et

fournit des recommandations pour la maîtrise et la mise en oeuvre de ces mesures de sécurité.

Aux États-Unis, le CSA (Cloud Security Alliance) délivre des certificats de sécurité pour les fournisseurs de services infonuagiques appelés CSA STAR, qui ont différents niveaux d’exigences.

En France, l’ANSSI propose une certification appelée SecNumCloud et un label nommé Cloud Confidence, qui reposent en partie sur la norme ISO 27001 et se complètent.