La sauvegarde reste essentielle, même dans le cloud

Ne nous demandez pas pourquoi, car nous ignorons la réponse. C’est pourtant une réalité aujourd’hui encore : les utilisateurs du cloud commettent une erreur. Protéger et sauvegarder les données qu’ils utilisent dans une application cloud ? Ils n’y pensent pas, même s’il s’agit de données sensibles pour leur entreprise. (Dries Van Damme)

Tout bien considéré, on peut sans douter deviner d’où vient ce laxisme à l’égard des applications dans le cloud. L’attrait du cloud réside en partie dans sa facilité d’utilisation. Soyons clairs. Dans un environnement informatique classique, l’introduction d’une nouvelle application nécessitait d’abord de commander un nouveau serveur auprès du service ICT. Une fois ce matériel arrivé dans le centre de données sur site quelques semaines plus tard, les informaticiens devaient encore préparer la machine pour la rendre opérationnelle.

Après bien des péripéties, l’entreprise pouvait enfin utiliser son nouveau logiciel. Et ce, dans un environnement contrôlé et sécurisé. S’il arrivait à un collaborateur de perdre quelque chose (un bon de commande signé, une boîte mail), il pouvait s’adresser au service informatique, qui fouillait dans la sauvegarde pour restaurer les données concernées.

Une carte de crédit suffit

La différence avec une application cloud (SaaS ou Software-as-a-Service) ne pourrait pas être plus grande. Installer d’abord un serveur ? Pas besoin. Demander l’autorisation du service ICT ? Officiellement, c’est obligatoire, mais souvent, c’est plutôt « qui ne sait rien, de rien ne doute ». La seule chose qu’un utilisateur doit présenter, c’est une carte de crédit. Il n’a plus ensuite qu’à se mettre immédiatement au travail. La plupart du temps, c’est littéralement une question de minutes. Le fournisseur de cloud s’occupe de tout. C’est du moins ce que pense l’utilisateur, qui se concentre uniquement sur son propre rôle : celui de l’utilisateur.

Mais le fournisseur s’occupe-t-il vraiment de tout ? Dans la pratique, cela s’avère souvent décevant. Certes, une certaine protection de base est généralement fournie. Mais pas beaucoup plus dans la plupart des cas. Et, oui, le service ICT a sans doute prévu la sécurité et la sauvegarde d’une grande solution SaaS comme Microsoft 365. Mais qu’en est-il d’un fichier effacé issu d’une application SaaS plus exotique ? Restaurer une sauvegarde est rarement aussi simple. Du moins pas si le service ICT ne sait même pas que vous avez installé cette application. Devez-vous vous résoudre alors à vous adresser piteusement à vos informaticiens ? La première question qu’ils vous poseront sera de toute façon pourquoi vous n’avez pas respecté le code de conduite.

Plus grave que prévu

Ce scénario vous est familier ? Vous n’êtes pas le seul. HYCU, qui fournit des solutions de protection et de sauvegarde, a voulu vérifier auprès de cinq cents (grandes) entreprises, dont la moitié environ en Europe. Les chiffres surprennent : ils sont plus graves que prévu. Il s’avère qu’une entreprise utilise en moyenne 139 applications SaaS. À peu près la moitié des organisations ont observé une augmentation « dramatique » du nombre d’applications SaaS au cours de l’année écoulée, mais à peine 5% affirment avoir la totalité de leur portefeuille SaaS sous contrôle. En moyenne, le département ICT a connaissance de 56% des applications SaaS. Une ignorance qui n’est évidemment pas sans risque.

Parmi les entreprises interrogées, 65% ont été confrontées au cours de l’année écoulée à une fuite de données imputable à une application SaaS. 87% admettent utiliser au moins une application SaaS qui n’est pas suffisamment protégée. En moyenne, une entreprise sur six utilise six applications SaaS susceptibles de présenter un risque pour la sécurité. Et ce n’est pas tout : à peine trois entreprises sur dix appliquent une politique de sauvegarde formelle pour les données qu’elles utilisent dans des applications SaaS. À peine une sur quatre teste la sécurité de ces données.

Des responsabilités peu claires

Ces chiffres soulèvent des questions. Comme nous venons de l’évoquer, les entreprises ne lancent jamais une application sur site sans réfléchir, et certainement pas sans avoir veillé au préalable à la sécurité des données. Pourquoi cette prudence est-elle si souvent négligée dans le cas du SaaS ? Parce que les idées fausses sur la sécurité dans le cloud ont apparemment la vie dure. D’après l’étude de HYCU, 66% des entreprises continuent de croire que le fournisseur SaaS est entièrement responsable de la protection des données. Une fois encore : ce n’est pas le cas.

Pour 43% des entreprises, il existe un doute sur la personne à qui incombe cette responsabilité, ce qui entraîne inévitablement des lacunes, non seulement en matière de responsabilité, mais aussi de protection. « Avec le SaaS, les entreprises ont délégué leur production informatique », a confié Simon Taylor, le CEO de HYCU, au magazine spécialisé Data News. Il veut dire par là qu’elles n’ont plus à s’occuper elles-mêmes des serveurs et autres matériels informatiques. Mais elles cèdent aussi le contrôle de leurs données. « Or, ce n’est pas ce qu’elles souhaitent, n’est-ce pas ? »

Neuf applis avec sauvegarde

En effet, si une entreprise dispose en moyenne de 139 applications SaaS, cela signifie que les données qu’elle y utilise se trouvent dans 139 clouds. Dans la pratique, ce nombre est évidemment beaucoup moins élevé, mais tout de même. « De plus, il n’est pas du tout normal de constater la quantité d’informatique de l’ombre (des applications qui passent sous le radar du service ICT) utilisée dans les entreprises aujourd’hui uniquement parce qu’elles utilisent le SaaS », dit Simon Taylor. 

« Sur toutes ces solutions SaaS, il n’y en a en moyenne que neuf pour lesquelles une sauvegarde est prévue. Et pour les autres ? Qui veille à la sécurité de ces données ? Certainement pas les fournisseurs de solutions SaaS. Si vous perdez un contrat dans DocuSign, par exemple, vous ne pensez tout de même pas que DocuSign va restaurer ce document pour vous ? Vous devez trouver une solution vous-même. Et cela rend les choses très compliquées. » C’est précisément là qu’intervient HYCU. La plateforme de l’entreprise permet d’organiser au même endroit la sauvegarde et la protection d’une centaine d’applications SaaS, de sorte que vous n’avez pas à le faire séparément pour chaque application.

La base pour un redémarrage rapide

Pour comprendre combien une sauvegarde complète et fonctionnelle peut se révéler vitale, il suffit d’interroger une entreprise qui a été victime d’un ransomware. Une telle attaque vise généralement d’abord à désactiver la sauvegarde, puis à crypter les données primaires et enfin à demander une rançon pour les déverrouiller. Dans une telle situation, si l’entreprise dispose d’une sauvegarde qui se trouve hors de portée des pirates, elle possède une bonne base pour redémarrer ses activités relativement vite.

Compter sur le fait que la situation ne peut pas se dégrader à ce point quand on travaille avec des applications SaaS n’est pas vraiment la meilleure des stratégies. Désormais, on connaît suffisamment d’exemples d’entreprises qui ont perdu des données alors qu’elles pensaient que leur fournisseur en garantissait la sécurité. Mais outre le risque de perdre des données (à cause d’une erreur humaine interne ou d’une cyberattaque), un autre scénario catastrophe se profile, contre lequel de plus en plus d’entreprises se prémunissent.

Hors site et hors ligne

La plupart des applications SaaS utilisées actuellement dans le contexte professionnel par des entreprises belges s’appuient sur des clouds américains. Une application américaine telle que Salesforce, par exemple, collabore avec Amazon et Google. Mais il en va de même pour des applications SaaS européennes. Exact Online, par exemple, stocke des données chez Amazon et Microsoft Azure.

Que se passerait-il si, pour une raison quelconque, les entreprises européennes perdaient l’accès aux clouds américains ? Quand on tente de répondre à cette question, on se rend vite compte que la plupart des organisations seraient paralysées. Ce constat les incite donc à mettre en place une couche de sécurité additionnelle en gardant sous la main une copie supplémentaire de leurs données, y compris des données SaaS. Cela n’empêche pas les entreprises de continuer à utiliser le SaaS. Cependant, les fournisseurs de logiciels de sauvegarde constatent qu’elles font preuve d’une plus grande prudence, en conservant non seulement une première et une deuxième copie des données dans le cloud, mais aussi une troisième copie chez un autre fournisseur de cloud et, enfin, une quatrième copie hors site et hors ligne.

Le risque zéro n’existe pas

Votre entreprise est-elle alors à l’abri ? Malheureusement non. Le risque zéro n’existe pas, quel que soit le nombre de copies de vos données que vous prévoyez. Car les entreprises oublient souvent aussi qu’en fin de compte, la sauvegarde n’est qu’un moyen. Le but est de pouvoir garantir la continuité de vos activités. L’enjeu n’est donc pas seulement la sauvegarde en soi, mais la rapidité avec laquelle vous pouvez l’activer, en tout ou en partie, après un incident.