La première des sécurités, c'est la sauvegarde. Sauvegardes des données, sauvegardes des applications, sauvegardes des configurations, la liste est non exhaustive et dépend du contexte fonctionnel. Il y a des règles peu souvent employées sauf par ceux qui ont connu une défaillance de stockage, comme la 3-2-1: 3 copies, 2 supports différents et 1 sauvegarde hors site d'exploitation. Le panel de possibilité va de la procédure dédiée et spécifique jusqu'au progiciel intégrant planification et matériel. Seule l'analyse de l'existant répond au questionnement. Ce point est essentiel dans le PCA/PRA. Ne pas trop compter sur les Cie d'Assurances pour couvrir les risques.
La théorie voudrait que ceux qui préconisent, n'installent pas, et ceux qui installent, n'assurent pas le recettage.
Devraient être rendus obligatoires par les assurances faute d'une non-couverture des risques !
Suite à l'incendie dans les locaux d'OVH Strasbourg (10/03/2021) aucun de mes clientsSaaS n'a eu d'interruption de service et aucun de mes clients IaaS / PaaS n'a perdu de données. 5 serveurs impactés, 3 définitivement perdus. Le client le plus “touché” a redémarré dans la matinée de l'incendie. Les réplicas ou backups étaient “aussi” sur les sites alternatifs de Gravelines ou Roubaix. Mes interventions ont surtout consistés à vérifier en détail l'état fonctionnel des serveurs opérationnels et par la suite, un retour à la structure nominale grâce aux process mis en place.
L'usage anormal de l'outil informatique mis à la disposition d'un employé est sanctionné par la loi (Prud'hommes, Cour de Cassation, Cour d'Appel) jusqu'au licenciement sans indemnité (rare, mais vrai). La charte Informatique est obligatoire pour informer l'employé de l'usage autorisé ! Les déclarations CNIL et le RGPD ne sont pas à prendre à la légère et reste de la responsabilité juridique de la société en cas de manquements, jusqu'à 4% du CA annuel ! de mémoire. +138M€ d'amende en France en 2020.
Une politique de mot de passe doit exister en entreprise. Et cette politique est valable pour tous. Il est à la charge du service Informatique de s'assurer que cette politique est respectée et de signaler les manquements. cf. l'usage “anormal” de l'outil informatique. Autre info, la Direction Informatique doit s'assurer de posséder la liste exhaustive et à jour de TOUS les mots de passe qui ne concernent pas l'utilisateur final, matériel et logiciel. Il va sans dire que cette liste est manuscrite, car la version numérique de type XLS est une denrée des plus appréciée par tout hacker qui se respecte…