La sécurité des données a atteint son niveau le plus élevé depuis plus d’une décennie, avec des violations de données et des cyber-attaques se produisant régulièrement dans des environnements commerciaux et non commerciaux. La protection des informations personnelles est devenue l’un des sujets les plus importants pour pratiquement toutes les entreprises publiques ou privées, et elle est régie par des réglementations strictes et complexes.
Le GDPR est l’un des exemples les plus connus d’une telle réglementation. Le règlement général sur la protection des données couvre les règles de confidentialité des informations à l’intérieur des frontières de l’UE et de l’Espace économique européen. Toute entreprise qui fournit des services ou des produits à des résidents de l’UE est censée respecter ses exigences réglementaires, notamment les droits de la personne concernée, l’autorité du responsable du traitement des données ou du sous-traitant sur les données des clients et, bien sûr, les niveaux de sécurité nécessaires pour les informations des clients.
Le thème de la sécurité des données n’est pas particulièrement nouveau, et de nombreux progrès ont été réalisés au fil des ans en matière de protection des données numériques. La sauvegarde des données est souvent considérée comme l’une des mesures de sécurité les plus élémentaires, qui existe depuis très longtemps. Elle consiste à créer une copie des informations existantes afin de pouvoir les restaurer ultérieurement si quelque chose arrive à l’original.
Bien entendu, les méthodes de cyber-attaque ont évolué au fil du temps, et les méthodes de protection des données n’ont eu d’autre choix que de faire de même pour suivre le mouvement. La même logique s’applique à la création de sauvegardes de données – une sauvegarde de base des données dans un environnement moderne est beaucoup moins efficace qu’elle ne l’aurait été il y a dix ou vingt ans. Dans ce contexte, il n’est pas particulièrement surprenant que les méthodes de sauvegarde des données aient évolué à un rythme rapide, en ajoutant de nouvelles fonctions et en améliorant les fonctions existantes.
En ce qui concerne les nouvelles fonctionnalités, il y en a au moins une qui a été quelque peu difficile à mettre en œuvre dans le contexte des cadres réglementaires modernes : l’immutabilité des données. L’immutabilité est l’impossibilité de modifier des informations une fois qu’elles ont été écrites une fois, et elle constitue une grande partie des cadres de sécurité complexes et à multiples facettes dans les infrastructures et les environnements modernes.
De nombreuses solutions de sauvegarde modernes reposent sur l’utilisation de l’une des nombreuses itérations de la règle de sauvegarde bien connue 3-2-1 – créer trois copies de sauvegarde, les stocker en utilisant deux types de périphériques de stockage, et au moins une copie étant stockée physiquement à l’écart des autres (hors site). Les sauvegardes immuables sont souvent considérées comme une excellente extension de cette règle, car la copie de sauvegarde hors site est une excellente cible pour l’immuabilité des données, créant une copie de sauvegarde unique dotée d’un système de sécurité étendu très difficile à altérer.
Si de nombreux logiciels malveillants et ransomwares modernes savent déjà comment rechercher des sauvegardes au sein des infrastructures, la plupart d’entre eux ne sont pas capables de faire quoi que ce soit avec des données immuables stockées en dehors de l’infrastructure principale. Dans ce type de scénario, une sauvegarde immuable constitue un excellent « dernier recours » pour toute entreprise confrontée à une cyberattaque grave ou à tout autre type de catastrophe.
Le terme « air gapping » apparaît également assez fréquemment dans le contexte de l’immuabilité des sauvegardes. Ces deux termes sont souvent confondus l’un avec l’autre, même s’ils présentent des différences apparentes et des caractéristiques uniques.
L’air gapping consiste à couper la plupart, voire la totalité, des connexions entre une poche de stockage de données spécifique et le reste du système. Il s’agit d’une méthode de protection des données extrêmement utile qui offre des niveaux de protection impressionnants en échange de la commodité et de la rapidité d’accès aux données.
Il existe également deux approches différentes de l’air gapping. La première approche (air gapping physique) utilise la séparation physique de toute connexion entre le stockage cible et le reste du système. La seconde approche (air gapping logique) est un peu plus difficile à expliquer car elle utilise des techniques complexes pour réaliser une séparation logique entre le système de stockage cible et le reste de l’infrastructure (pare-feu, segmentation du réseau, etc.).
L’immutabilité des données et l’air gapping représentent des approches différentes pour restreindre l’accès à des informations spécifiques. La première s’appuie principalement sur des moyens logiques pour rendre l’information insensible à toute modification. Dans le même temps, la seconde est une caractéristique essentiellement physique qui implique la séparation de toute connexion entre une poche de stockage unique et le reste du système. Il n’est pas rare non plus que l’immutabilité et le « air gapping » soient utilisés l’un à côté de l’autre, car ils interagissent avec différents aspects et caractéristiques du système.
Un autre sujet qui mérite d’être abordé ici est la différence entre la « vraie » et la « fausse » immutabilité. Bien que l’immutabilité soit devenue une caractéristique relativement courante dans de nombreuses solutions de sauvegarde, il existe de nombreux exemples où l’approche actuelle de l’immutabilité laisse encore trop de passerelles d’accès et ne peut donc pas être considérée comme une « véritable » immutabilité.
En même temps, une « véritable » immutabilité implique une incapacité totale à modifier l’information après sa création, ce qui crée une grande complexité en termes de gestion des données, en particulier dans les environnements complexes. En tant que telle, la réalisation d’une « véritable » immutabilité n’est pas toujours la meilleure option possible pour tout le monde. De nombreux utilisateurs bénéficieront toujours d’une amélioration significative de la sécurité des données en se voyant offrir l’immutabilité des sauvegardes au niveau purement logique, tout en conservant la plupart des avantages de la polyvalence des données que toute information non immuable possède par défaut.
La mise en œuvre de pratiques de données immuables n’est pas la tâche la plus compliquée pour beaucoup d’entreprises modernes, car de nombreuses solutions de sauvegarde intègrent ce type de capacité par défaut. Cependant, c’est là qu’intervient un autre sujet majeur que nous avons mentionné au début de l’article : la réglementation.
Les cadres réglementaires tels que le GDPR exigent souvent un certain niveau de sécurité pour toutes les informations sensibles – qu’il s’agisse de données personnelles de clients, de données de paiement, d’informations sur la santé, etc. Ils ne se contentent pas de mettre en place les caractéristiques et les capacités nécessaires pour les données sensibles, mais exigent aussi souvent que certaines actions soient entreprises dans des conditions spécifiques.
Le « droit à l’effacement » du GDPR en est un bon exemple – une section relativement complexe de ce cadre réglementaire qui crée essentiellement une exigence de suppression des données spécifiques du client si ce dernier en fait la demande. Dans ce contexte, l’immuabilité réelle des données est un problème majeur, car elle n’a pas été conçue avec ce type d’exceptions à l’esprit.
Heureusement, il existe déjà des solutions à ce problème, car de nombreuses entreprises dans le monde opèrent dans l’UE à un certain degré. Il en va de même pour les sociétés de services de sauvegarde, qui recommandent souvent l’immutabilité logique et d’autres mesures potentielles pour s’assurer que des exigences telles que le GDPR peuvent toujours être respectées afin d’éviter des amendes potentielles.
La protection des données peut être un sujet très important, mais aussi très difficile à gérer. La montée de la menace des ransomwares, en constante évolution, combinée à des exigences réglementaires strictes, peut mettre pratiquement n’importe quelle entreprise à genoux dans un effort pour essayer de résoudre tous ces problèmes potentiels en même temps. Heureusement, il existe différents moyens de répondre à ces préoccupations sans compromettre la sécurité des clients et la situation financière de l’entreprise, ce qui est un compromis qui convient à tout le monde.
