Pourquoi les sauvegardes sont scrutées
Tout le monde peut prétendre avoir des sauvegardes. Les auditeurs veulent que vous ayez défini ce qui est sauvegardé, à quelle fréquence, où résident les copies, et — surtout — que vous testiez les restaurations. Une sauvegarde non testée est un espoir, pas un contrôle.
Quoi inclure
- Périmètre — quels systèmes et données, par criticité.
- Fréquence — cadence liée à votre objectif de point de reprise (RPO).
- Rétention — durée de conservation des copies, et suppression sécurisée ensuite.
- La règle 3-2-1 — trois copies, deux supports, une hors-site/immuable pour survivre à un rançongiciel.
- Chiffrement — sauvegardes chiffrées au repos et en transit.
- Tests de restauration — tests périodiques documentés avec résultats conservés ; reliez-les à votre objectif de temps de reprise (RTO).
- Responsabilités — qui exécute, supervise et teste les sauvegardes.
Erreurs fréquentes
- Ne jamais tester les restaurations avant un vrai incident.
- Aucune copie hors-site ou immuable, donc le rançongiciel chiffre aussi les sauvegardes.
- Confondre réplication et sauvegarde — un état corrompu répliqué reste corrompu.
Alignement référentiels
Correspond à l'Annexe A 8.13 d'ISO 27001:2022 (sauvegarde des informations), aux critères de disponibilité SOC 2, et à la fonction Rétablir du NIST CSF (RC.RP).
Sources de référence
- ISO/IEC 27001:2022 — contrôle 8.13 de l'Annexe A, sauvegarde des informations (iso.org/standard/27001).
- NIST SP 800-34 — guide de planification de continuité (sauvegarde et restauration) (csrc.nist.gov/pubs/sp/800/34/r1/final).
- CISA — recommandations anti-rançongiciel et principe de sauvegarde 3-2-1 (cisa.gov).
Générez-la en quelques minutes
Voir un exemple de politique de sauvegarde et restauration ou générez la vôtre gratuitement.