Disaster Recovery as a Service (DRaaS) : la sauvegarde évoluée

Les entreprises déploient de plus en plus leur infrastructure informatique dans des environnements Cloud distribués à l’heure actuelle. C’est certes pratique, mais que faire en cas de problème ? La reprise après sinistre comme composante de la gestion de la continuité des activités joue un rôle important dans le maintien des processus d’entreprise. Le Disaster Recovery as a Service (abrégé DRaaS, Plan de Reprise d’Activité as a Service, ou PRAaaS en français) consiste à externaliser la sauvegarde de services critiques auprès d’un partenaire spécialisé.

Le Disaster Recovery as a Service (DRaaS) est un service informatique géré. Le DRaaS est un cas particulier du Disaster Recovery, soit reprise après sinistre ou reprise après incident, reprise d’activité ou récupération d’urgence en français. La tâche est confiée à un parti tiers comme une prestation de service d’infogérance ainsi que l’indique l’épithète « as a Service ». Disaster Recovery as a Service est l’une des prestations informatiques les plus appréciées et à plus forte croissance dans le domaine du cloud computing.

La reprise après sinistre est une composante à part entière du Business Continuity Management (BCM) ou gestion de la continuité des activités en français. Le BCM recouvre des plans et des préparations pour la reprise des processus d’entreprise en cas de panne complète ou partielle de systèmes critiques. La tâche du PRA consiste à assurer la reprise de l’état de fonctionnement normal en temps et en heure. Il est basé sur un Business Continuity Plan (BCP) ou un Plan de Continuité d’Activité (PCA) en français, qui décrit les composants et processus du BCM. Examinons les trois composants principaux du PCA :

Le Cloud Disaster Recovery (Cloud-DR) est de plus en plus utilisé dans le cadre de la stratégie de reprise après sinistre de nos jours. Avec la Cloud-DR, ou reprise après sinistre sur le Cloud, les données requises pour la récupération de systèmes affectés sont enregistrées sur le Cloud, au lieu de faire appel à des supports physiques de mémoire de masse sur site. La Cloud Disaster Recovery offre de nombreux avantages en comparaison avec les méthodes conventionnelles de sauvegarde et est en bonne voie de s’établir comme un standard.

Un trait caractéristique de la reprise après sinistre est qu’une entreprise n’en a besoin qu’en cas d’incident. Quand un incident se produit, une reprise après sinistre sans faille revêt une importance cruciale. En temps de fonctionnement normal, la place de la reprise après sinistre passe toutefois complètement au second plan. Le risque de négliger la reprise après sinistre est ainsi latent ; en fin de compte, on n’en a jamais besoin tant qu’aucune catastrophe ne se présente.

Un PRA mal planifié représente un grand danger pour les entreprises. Car la défaillance de systèmes critiques peut entraîner des coûts élevés. Selon des estimations du secteur, la durée d’indisponibilité peut coûter de 100 000 $ à 1 000 000 $ par heure. Une série de motifs peuvent conduire à des incidents qui entraînent la défaillance des systèmes ou la perte de données. Examinons les scénarios les plus fréquents.

Les événements suivants peuvent provoquer de graves interruptions du fonctionnement de l’activité et nécessiter une reprise après sinistre :

• arrêt de courant dans les locaux de l’entreprise
• pannes matérielles et de réseau
• erreurs logicielles et de système informatique
• panne du centre de données propre à l’entreprise
• attaques dirigées contre la sécurité informatique

Différentes causes peuvent en être à l’origine :

• erreur humaine
• agissements malveillants
• catastrophes naturelles et incendie
• vol d’appareils informatiques et de supports de données
• matériels ou logiciels défectueux

Tous ces cas de figure ont ceci en commun : en l’absence des précautions adéquates, l’entreprise affectée doit rapidement faire face à des conséquences extrêmement graves.

La règle la plus importante en relation avec la gestion de continuité de l’activité et le plan de reprise après sinistre qu’elle contient, est l’impérieuse nécessité de leur bonne préparation au préalable. Il est généralement déjà trop tard si l’on commence à y réfléchir seulement quand l’incident s’est déjà produit. Un exemple simple illustre ceci : vous avez stocké des photos d’une forte valeur sentimentale sur votre ordinateur portable. Le portable est volé, les photos ont disparu. Seule la création préventive et régulière de sauvegardes sur un support externe ou dans le Cloud offre une véritable protection.

La règle 3-2-1 est depuis longtemps la norme quand il s’agit de créer des sauvegardes. Elle prévoit la conservation de trois versions pour toutes les données, à savoir l’original accompagné de deux copies. Il s’agit de la double redondance. Une copie est conservée ici sur un support de données séparé mais dans les mêmes locaux que l’original (sauvegarde sur site). La seconde copie est conservée dans un site éloigné sur le plan physique (sauvegarde hors site).

Le Disaster Recovery as a Service s’inscrit dans une démarche de réplication continue des données et des systèmes de l’entreprise. Ceci va au-delà de la simple création de sauvegardes de données et recouvre l’ensemble des infrastructures, systèmes, applications et données critiques. L’objectif consiste à revenir aussi vite que possible à l’état initial en cas de pannes. Car les pannes subsistantes peuvent entraîner des coûts élevés.

Deux indicateurs se sont imposés pour quantifier les approches de DRaaS. Le « Recovery Time Objective » (RTO, objectif de temps de reprise en français) et le « Recovery Point Objective » (RPO, objectif de point de reprise en français) sont définis selon les exigences de l’entreprise spécifique. Des mesures adéquates sont alors mises en œuvre :

Des « sites de basculement » sont utilisés afin de maintenir l’objectif de temps de reprise le plus bas possible. Il s’agit ici de mises en miroir complètes de systèmes critiques pouvant intervenir en cas de panne des sites originaux. La continuité de l’activité de l'entreprise est assurée jusqu’au rétablissement des propres capacités de l’entreprise.

De nombreux fournisseurs proposent aujourd’hui le Disaster Recovery as a Service dans le cadre de leurs prestations. Quel que soit le fournisseur de DRaaS vers lequel on se tourne, les offres sont réparties dans trois grandes catégories. Les offres de DRaaS se distinguent essentiellement selon le degré de liaison du client au fournisseur :

Toutes les offres de DRaaS ont ce dénominateur commun : le fournisseur met à disposition des outils spécifiques de reprise après sinistre. Ceux-ci visent à mettre en miroir des environnements TI avec la totalité de leurs composants. La portée de la redondance s’étend des données et applications aux réseaux et systèmes complets. Le serveur et les terminaux sont sauvegardés au-delà des limites du système d’exploitation en recouvrant les fichiers, bases de données, machines virtuelles et conteneurs. Une fois mis en miroir, les composants sont mis à disposition en cas d’incident et viennent remplacer les systèmes défaillants.

Plusieurs cibles sont généralement employées pour la sauvegarde des données. Au moins l’une des sauvegardes est créée à un emplacement éloigné sur le plan géographique conformément à la règle 3-2-1. Suivant la configuration du modèle DRaaS mis en œuvre, la cible de sauvegarde éloignée correspond au centre de données local ou à un support de stockage dans le Cloud. À ceci s’ajoute la possibilité de mettre en œuvre des approches hybrides. De manière analogue à la sauvegarde, la restauration des données fonctionne selon la méthodologie de stockage faisant appel à des supports physiques, virtualisés ou dans le Cloud. Les données transférées par le réseau sont chiffrées pour le transport.

Outre la restauration des données et systèmes affectés, les offres professionnelles de DRAaaS comportent souvent une autre fonction essentielle au maintien de l’activité de l’entreprise. Un système de remplacement est activé lors de la panne d’un système avec les « Failover Environments » (en français, « environnements de basculement ») sur le Cloud. Les utilisateurs peuvent ainsi poursuivre leur travail malgré de brèves interruptions.

La surveillance des systèmes sous protection et le pilotage des sauvegardes et des environnements de basculement sont assurés par le biais de consoles de gestion déployées dans la plupart des offres de DRaaS. Il s’agit généralement d’applications basées sur le Web qui sont utilisées à travers un navigateur. Même en cas de panne, on peut ainsi accéder à la console, qui fonctionne également sur des appareils mobiles. Certaines offres de DRaaS englobent plus avant une fonction de réseau privé virtuel RPV pour accéder aux données sécurisées et environnements de basculement.

Depuis le développement de la technologie de réseau et du raccordement de serveurs aux réseaux publics comme l’Internet, l’infrastructure informatique des entreprises subit des attaques. Traditionnellement, les administrateurs et techniciens assurent la protection des systèmes contre les accès non autorisés et les attaques par déni de service. Mais un autre mode d’attaque particulièrement inquiétant est apparu au cours des dernières années : les cybercriminels infectent un dispositif par le truchement d’un « rançongiciel », un type de maliciel également désigné sous le terme de « crypto-cheval de Troie ». Ce logiciel malveillant s’infiltre sur l’appareil et chiffre les données qui s’y trouvent. Une fois chiffrées, les utilisateurs en droit se retrouvent dans l’impossibilité d’accéder aux données et se voient intimer le paiement d’une rançon.

Les crypto-chevaux de Troie représentent une réelle menace à l’heure actuelle. Même des sauvegardes conventionnelles n’offrent aucune protection, car celles-ci sont chiffrées en parallèle dans le pire des cas et deviennent ainsi inutilisables.

En réaction à cette nouvelle menace, la protection anti-rançongiciel s’est établie comme un axe majeur des solutions de DRAaaS. Une autre copie de toutes les données sauvegardées est utilisée ici. Elle est estampillée « immutable » (« inaltérable » en français). Une fois écrites, les données peuvent être lues et relues mais jamais modifiées. On évoque ici aussi la notion de « Write Once, Read Many » ou le modèle WORM.

Il existait déjà des solutions de Backup-as-a-Service (BaaS, « sauvegarde en tant que service » en français) avant l’avènement de la reprise après sinistre en tant que service. Il faut toutefois constater que la seule sauvegarde des données ne suffit plus de nos jours. Il est nécessaire de mettre en miroir les données et systèmes de manière permanente, afin que ceux-ci soient immédiatement prêts à l’emploi si l’activité de l’entreprise venait à s’interrompre. La DRaaS présente des avantages et des inconvénients comme tous les progrès technologiques. Nous les considérons sous la perspective particulière des solutions de sauvegarde conventionnelles. Examinons dans un premier temps les avantages de la reprise après sinistre en tant que service.

Le Disaster Recovery as a Service s’inscrit dans une approche centralisée. L’ensemble des données et systèmes est sauvegardé en continu. Ce phénomène est connu : il s’agit en majorité des données d’une entreprise légèrement tombées dans l’oubli ou « Dark Data ». Sauvegarder toutes les données avec des méthodes cohérentes minimalise le risque d’oublier des données lors de la sauvegarde ou de la restauration et d’en perdre en cas d’incident. Comme il est d’usage de conserver plusieurs versions des données sauvegardées, le DRaaS constitue aussi une étape importante en direction de la conformité à l’archivage sécurisé à valeur probante.

La règle 3-2-1 stipule qu’au moins trois copies de chaque donnée doivent être conservées, dont une comme une sauvegarde hors site. L’utilisation du DRaaS avec le Cloud comme cible des sauvegardes hors site permet d’atteindre un bref objectif de point de reprise (RPO). À titre de rappel, le RPO définit la période qui s’étale entre deux sauvegardes des mêmes données. L’utilisation de systèmes de basculement hébergés dans le Cloud dans le cadre du DRAaaS se traduit par des économies conséquentes. Car pour disposer d’une capacité comparable, il convient de maintenir des ressources matérielles traditionnellement redondantes en replacement face à une catastrophe.

Contrairement à la sauvegarde en tant que service, la reprise après sinistre en tant que service n’englobe pas seulement la sauvegarde des données, mais la mise en miroir de systèmes complets. Elle recouvre également la sauvegarde de machines virtuelles et de conteneurs d’application, qui constituent les composants de base des architectures TI modernes. Le système complet est reconstitué à partir de ces différents éléments lors de la restauration. Afin de résoudre correctement les interdépendances des différents composants entre eux, les solutions de DRaaS permettent de définir la séquence des différentes étapes de restauration. Ceci est d’une importance cruciale dans le domaine de l’architecture de microservices très répandue.

Examinons maintenant les inconvénients de la reprise après sinistre en tant que service. Nous constatons tout d’abord que l’utilisation du DRaaS entraîne généralement des coûts plus élevés que l’utilisation de la sauvegarde en tant que service. En contrepartie, les solutions de DRaaS offrent beaucoup plus de prestations, ce qui discrédite le comparatif direct des prix ainsi bancal. Comme dans toutes les prestations du type « as-a-Service », la menace de l’enfermement propriétaire plane aussi sur le DRaaS. Pour cette raison : le contrôle est placé entre les mains d’un seul fournisseur duquel on se met en situation de dépendance. De même, il convient de mentionner la perte de souveraineté des données comme un inconvénient potentiel des solutions de DRaaS. Ce faisant, l’implantation du siège de la société prestataire du DRaaS joue un rôle déterminant.

Le Disaster Recovery as a Service est disponible auprès de nombreux fournisseurs de services sur le Cloud. Des fournisseurs bien connus se sont spécialisés dans les solutions de reprise après sinistre et de sauvegarde. La sauvegarde en tant que service est traditionnellement aussi proposée par les fournisseurs de services managés, ou mise en œuvre par des entreprises du service du numérique dans des cas spéciaux.

La feuille de route suivante s’impose dès lors qu’on souhaite identifier le fournisseur DRaaS adéquat :

1. Il convient de dresser un état des lieux dans un premier temps : on établit un relevé de la situation réelle et on mesure la portée des données et systèmes à sauvegarder.
2. L’étape suivante consiste à spécifier les besoins et les objectifs, où l’objectif de temps de reprise (RTO) et l’objectif de point de reprise (RPO) tiennent une place importante concernant les données, applications et services impliqués.
3. Une fois les connaissances concernant la configuration de son infrastructure réunies et les besoins et objectifs cernés, on peut se tourner vers le choix des fournisseurs candidats. Outre les capacités techniques, la conformité des fournisseurs avec les spécifications établies ainsi qu’une grille tarifaire équitable et transparente sont des aspects primordiaux.
4. Il s’agit maintenant de sélectionner le fournisseur adapté parmi les candidats identifiés. Des tests doivent être conduits au plus tard à ce stade afin de mettre les capacités techniques du fournisseur au banc d’essai.

Observons les points clés sur lesquels un fournisseur DRaaS professionnel doit pouvoir donner satisfaction.

La sauvegarde automatique et continue des données et systèmes critiques est fondamentale pour une solution de DRAaaS. La sauvegarde devrait fonctionner au-delà des limites du système d’exploitation et englober tous les types de données importants. Ceci recouvre les fichiers, bases de données, environnements de serveur et appareils d’utilisateur final, ainsi que les environnements virtualisés dans des machines et conteneurs virtuels. Quand la protection des données en continu (Continuous Data Protection, CDP) est mise en œuvre, l’état d’un centre de données complet est sauvegardé selon une granularité à la seconde près.

Les données doivent être automatiquement chiffrées lors de l’enregistrement des données saisies avant le transfert vers le fournisseur DRaaS. Les données et systèmes de sauvegarde doivent être soumis à une procédure automatisée permanente de vérification des erreurs et des divergences. Il convient d’utiliser des systèmes redondants et géographiquement répartis à l’échelle du globe pour stocker les données.

En cas d’incident, le fournisseur DRaaS doit pouvoir assurer au moins deux prestations : il s’agit d’une part de restaurer les systèmes affectés. La restauration doit porter sur toutes les données, applications et systèmes essentiels. Lors du choix du fournisseur, n’oubliez pas qu’une restauration dans des environnements multicloud peut être nécessaire. D’autre part, le fournisseur DRaaS devrait interposer et activer des systèmes de basculement au cours de la restauration, afin de permettre le déroulement de l’activité avec un minimum d’interruptions du point de vue de l’utilisateur.

Au-delà de ces attentes de base, il convient de se tourner vers un fournisseur DRaaS dont l’offre s’étend à des anti-rançongiciels au vu des menaces actuelles. Les clients présentant des attentes exorbitantes en termes de volumes de données à stocker devraient privilégier de tels fournisseurs dans leur choix. Le transfert d’énormes volumes de données peut durer plusieurs années via Internet dans des cas extrêmes. Ce délai est bien trop long pour une restauration efficace. Il est fait appel à des supports de données mobiles spécifiques, à l’image du célèbre « Amazon Snowmobile » dans un tel cas :