Souvent, les traditionnels audits de cybersécurité ne s’intéressent pas à la sauvegarde. C’est un domaine complexe, tant par la variété des solutions de sauvegarde existantes que par les méthodes que les entreprises appliquent. L’audit de sécurité d’une solution de sauvegarde demande de la méthode et beaucoup d’expertise. À l’heure des nouvelles exigences de conformité et de résilience opérationnelle, c’est même un exercice tout à fait salutaire.

Les sauvegardes sont devenues une cible privilégiée car elles demeurent l’ultime possibilité de restaurer les données d’un système d’information attaqué et compromis par des cyberpirates. Mais sont-elles parfaitement sécurisées ? Voilà une question à laquelle on peut être en peine de répondre sans un regard extérieur professionnel. C’est l’objet de l’audit de la solution de sauvegarde.   Aucun éditeur n’est à l’abri de découvertes de vulnérabilités contenues dans leur logiciel, les plus grands et les plus généralistes comme les plus sectoriels. Mais dans le domaine de la sauvegarde, l’audit est d’autant plus utile qu’on ne migre pas facilement d’une solution à l’autre pour adopter de nouveaux mécanismes performants de sécurité.

On regrettera l’absence de compatibilité entre les solutions. Il est d’ailleurs abusif de parler de migration puisqu’il n’existe pas de vrai moyen de migration d’un historique de sauvegarde vers un autre. Une des possibilités est de restaurer et de sauvegarder à nouveau avec le nouvel outil. Outre le temps et la place que l’exercice demande, ce dernier ne conserve pas la datation, pourtant l’un des avantages d’une sauvegarde quand elle doit être restaurée.

Audit de sécurité de la sauvegarde : un périmètre large

En attendant d’opter pour plus de modernité, les équipes sécurité empilent souvent les couches de protection et se contraignent à maintenir la cohérence de l’ensemble, avec une administration de plus en plus lourde. Il y a tout lieu alors d’effectuer des contrôles réguliers de cette gestion. Cela dit, les entreprises modernisées ne sont pas toujours mieux sécurisées. Entre pratiques périlleuses, volumétries en croissance continue et paramétrages inadaptés, le risque est toujours plus élevé.

Les bonnes pratiques

Les bonnes pratiques sont souvent frappées au coin du bon sens, et les rappeler donne l’impression d’enfoncer quelques portes grandes ouvertes. Mais on ne peut pas toujours penser à tout. Il ne s’agit pas, ici, de dresser la liste de toutes les pratiques à surveiller, aussi nous nous contenterons de rappeler, par exemple, que le compte administrateur dédié à la console du logiciel de sauvegarde ne doit pas être géré dans l’Active Directory de l’entreprise (ou tout équivalent AD), au risque de tracer un chemin balisé aux cyberpirates.

L’audit contrôlera également la fréquence et la couverture du plan de sauvegarde. Si sa définition appartient à l’entreprise, un œil averti saura toutefois repérer s’il manque quelque chose d’important. Les destinations des copies de sauvegardes, dont leur externalisation, sont également vérifiées, au même titre que la politique de sécurité appliquée aux supports de sauvegarde. La règle des 3,2,1 ( 3 copie de vos données, 2 supports différents, 1 copie sur un site géographique éloigné) reste de mise.

On concentrera son attention sur la qualité, la granularité des journaux et la traçabilité des opérations, l’alimentation éventuelle de votre SIEM ou d’un SOC avec les indicateurs pertinents, afin de reconstituer le déroulé d’une éventuelle attaque de la solution de sauvegarde. On tirera ainsi de profitables conclusions sur la portée et les conséquences du piratage, pour être mieux préparé en vue d’une prochaine tentative au même niveau.

À l’inverse, il faudra rapidement bannir certaines pratiques dangereuses, comme la réduction des durées de rétention pour une question de coût du stockage des sauvegardes. Dans un contexte de menaces s’installant à long terme dans le système d’information, parfois sur plusieurs semaines, il est prudent de garder des sauvegardes sur plusieurs mois, afin de pouvoir revenir à un état non infecté dans le temps.

Audit de la sécurité de l’exploitation

La sécurité by design ne se rencontre pas encore partout, quoi qu’on en dise. Les entreprises équipées de solutions modernes peuvent toutefois profiter aujourd’hui de mécanismes d’immuabilité, de multiples couches de droit d’accès ou encore d’attribution de droits d’accès temporaires par le support de l’éditeur lui-même. Cela ne doit toutefois pas faire oublier un principe d’hygiène de sécurité élémentaire : les mises à jour du logiciel de sauvegarde et des OS sur lequel il tourne.
Les mises à jour sont d’autant plus cruciales qu’elles sont complexes quand les technologies s’empilent pour couvrir le besoin de sécurité et de diversité des applications, des données et des contextes. Il faut faire le point sur tous les besoins et proposer un accompagnement de type TAM pour assurer le suivi des incidents et des correctifs disponibles.

La sécurisation de la solution de sauvegarde concerne également le degré de disponibilité attendu, qui a pu évoluer. S’il est devenu élevé, l’audit peut conclure au besoin de clusteriser la sauvegarde, soit en la faisant tourner sur plusieurs serveurs simultanément soit en organisant la relève d’un serveur par un autre, sur différents sites dans certains cas. Tests de restauration, accès et authentification, redondance et disponibilité, intégration au SI, mais aussi revues de sécurité et capacité d’identification et de traitement des risques, l’audit de sécurité d’une solution de sauvegarde peut couvrir de nombreux champs d’expertise.

Envisager les nouveaux mécanismes de sécurité

Nous le disions, l’adoption d’une nouvelle solution de sauvegarde ne se fait pas à la légère. Cela dit, la démarche est à la fois parfaitement réalisable avec un bon accompagnement et se veut certainement l’attitude la plus sérieuse au regard des nouvelles menaces.

Parmi les nouveaux mécanismes existants, certains sont particulièrement pertinents, comme l’Air Gap, qui isole les données sauvegardées et coupe tout lien avec l’informatique de l’entreprise. Quelques solutions embarquent directement le mécanisme, d’autres s’appuient sur des appliances source et cible. À souligner, toutefois, que les entreprises dotées de solutions anciennes pratiquent l’Air Gap à leur manière, en stockant par exemple les sauvegardes sur bandes, lesquelles sont ensuite déposées sur un site externe sécurisé.

La bande ferait-elle son grand retour ? Très écologique, elle est aussi peu coûteuse. Certains hyperscalers exploitent les bandes pour le déchargement des données anciennes et peu utilisées (données froides) par exemple.

Si, malgré toutes les mesures de protection, dont Air Gap, un hacker parvient à extraire des données, le chiffrement à la source permettra d’empêcher leur exploitation. Le transport des données chiffrées à l’intérieur du réseau et pendant leur externalisation est un élément indispensable de la cybersécurité. Il rassure également le DPO, garant de la responsabilité de la confidentialité des données personnelles et protège les prestataires de stockage externe. Enfin, il élève évidemment le degré de confiance dans l’entreprise. Dans le cas de traitements de données très sensibles, on songera à vérifier la probité des équipes internes, mais cela reste une question RH qui n’entre pas dans les points de contrôle de l’audit.

Toute solution de sauvegarde connaît des écarts au fil du temps et de son utilisation. L’audit a pour mission de les identifier et d’une certaine façon, de remettre sur le bon chemin de la sécurité les pratiques et les technologies.

Par Laurent BENAMOU chez Stordata

Bertrand Pourcelot, Directeur Général d’Enreach for Service Providers, fait le point sur les changements intervenus dans le secteur des communications ces 20 dernières années, sur les enseignements qu’il en a tirés et sur les évolutions à venir. Il partage également certains de ses points de vue et de ses expériences personnelles acquis tout au long de sa carrière, notamment au cours des nombreuses années à la tête de Centile Telecom Applications, qui fait désormais partie du groupe Enreach sous la dénomination Enreach for Service Providers.

Avant de rejoindre le secteur des technologies de communication, j’ai travaillé dans l’industrie spatiale, un environnement hautement critique et exigeant qui m’a appris quelques leçons utiles. Parmi elles : s’efforcer en permanence de se perfectionner en mettant en place des boucles de rétroaction, innover et penser différemment, collaborer avec ses coéquipiers afin d’obtenir les meilleurs résultats possibles, et être prêt à réagir au changement et à l’imprévu. 

Tous ces points sont également importants sur le marché des communications. Par exemple, il est impossible de prédire qui seront les gagnants à long terme : certaines grandes marques qui tenaient le haut du pavé il y a 20 à 25 ans de cela, comme Nokia chez les fabricants d’équipements de téléphonie mobile, ont laissé la place à d’autres. De la même manière, le satellite était considéré il y a de nombreuses années de cela comme un sérieux concurrent pour les communications à à haut débit (constellations). Puis la technologie DSL a fait son apparition, suivie de la fibre, et le satellite n’a pas eu le rôle qu’on lui prédisait initialement (cela peut changer). 

Le changement ne s’est pas fait non plus à un rythme régulier. Par exemple, lorsque nous avons lancé notre PBX cloud alors que nous nous appelions encore Centile Telecom Applications, nous n’avons même pas utilisé le mot « cloud » car ce terme n’existait pas. Pendant longtemps, l’adoption du cloud ne s’est pas faite aussi rapidement que nous l’aurions espéré ou imaginé, même si finalement, cela est en train de changer rapidement (la récente pandémie ayant encore accéléré le phénomène). L’histoire nous a donc appris à être prêts à nous adapter, mais également à être patients. Le timing est essentiel.

« Mobile-first »

Certains d’entre nous pensaient également que l’adoption rapide des services mobiles B2B aujourd’hui largement répandus se produirait plus tôt : les avantages étaient clairs et la technologie facilitatrice était là (même si elle a continué à s’améliorer considérablement). Forts de l’héritage de Centile, nous sommes depuis longtemps des adeptes du « mobile-first » et soutenons notamment Elisa, le principal opérateur mobile finlandais, par le biais de notre plateforme de communications unifiées axée sur la mobilité depuis de nombreuses années. Pourtant, pendant un certain temps, on a eu l’impression que le reste du secteur, à l’exception des pays nordiques, ne partageait pas la même vision. 

Les services mobiles se développent aujourd’hui rapidement et stimulent l’innovation. Résultat : d’autres entreprises frappent à notre porte et nous demandent si elles peuvent collaborer avec nous afin de profiter de notre expérience des services mobiles. Je dois à cet égard mentionner que d’autres équipes au sein d’Enreach, comme Enreach Netherlands (anciennement Voiceworks), le tout premier MVNO B2B des Pays-Bas, apportent également un solide savoir-faire en matière de téléphonie mobile. La technologie « mobile-first » voire « mobile-only » va continuer à se répandre dans un avenir proche. 

Bien sûr, aucun de nous ne peut deviner ce qui va se passer dans le futur. Il y a vingt ans de cela, combien d’entre nous auraient imaginé la façon dont nous utilisons aujourd’hui la technologie numérique dans notre vie quotidienne ? Donc, je le répète, la propension à être ouvert au changement et à explorer les nouvelles possibilités est l’enseignement qui ressort clairement de ces 20 dernières années.

Aider les fournisseurs de services à être agiles

Et notre rôle est le suivant : aider les fournisseurs de services à être agiles, à saisir les opportunités, à fournir des services modernes et à ne pas être court-circuités par d’autres acteurs. Nous devons également les aider à avoir en permanence une approche axée sur le client. L’accès aux communications cloud et des prix compétitifs ne suffisent pas : l’ajout de valeur est plus important que jamais. Nous pouvons les aider dans cette démarche via notre plateforme Enreach UP basée sur ISTRA, le moteur de communications unifiées éprouvé et « mobile-first » de Centile qui accompagne à grande échelle les fournisseurs de services depuis de nombreuses années. 

Enreach UP est une plateforme Cloud-Native qui favorise la communication, la collaboration et la productivité et qui réunit les meilleures technologies des entreprises du groupe. Elle offre un large panel d’options et de services, notamment le PBX cloud, la convergence fixe-mobile, la collaboration vidéo, la messagerie, les fonctionnalités de centre de contact entrant/sortant, les agents conversationnels (ou chatbots) et une intégration transparente avec les services mobiles, Microsoft Teams et les systèmes CRM et ERP.

Enreach UP est commercialisée sous la forme d’une plateforme multi-tenant et en marque blanche, avec plusieurs options de déploiement pour les différents partenaires, notamment un cluster de serveurs/machines virtuelles, un cloud natif hébergé par un opérateur, la propre infrastructure cloud d’Enreach et un cloud public (prochainement). Le groupe utilise lui-même Enreach UP pour offrir son produit phare en mode SaaS, Enreach Contact, qui offre des solutions de contact aux PME dans plusieurs pays européens. Enreach propose également Enreach Contact hébergé dans son propre cloud aux partenaires de distribution, tels que les revendeurs informatiques, qui cherchent à accéder rapidement au marché des communications unifiées.

Outre le fait d’avoir pu partager notre technologie et notre expérience internationale, les autres membres de l’équipe Centile d’origine et moi-même avons bénéficié de notre intégration au sein groupe Enreach, et pas uniquement de l’ampleur des ressources mais également des multiples domaines d’expertise. Enreach Netherlands a, par exemple, apporté sa vaste expertise en matière d’opérations de services, de plateformes BSS de type guichet unique et d’accompagnement des revendeurs; tandis qu’Enreach Germany (anciennement Swyx) a à son actif des années de collaboration fructueuse avec des revendeurs à forte valeur ajoutée. D’autres acquisitions ont fourni à Enreach toute une variété de compétences expertes sur lesquelles le groupe peut s’appuyer. Nous avons tous quelque chose à apprendre les uns des autres et le fait d’être présents dans de nombreux pays nous permet également d’avoir une véritable approche locale combinée à un mélange culturel enrichissant.

De plus, l’esprit d’entreprise d’Enreach permet de faire avancer les choses tout en se préoccupant toujours des besoins des clients (selon la devise « suffisamment grands pour faire la différence, suffisamment petits pour fournir une prise en charge adéquate… »). Par exemple, bien que notre plateforme ISTRA était à la pointe de l’innovation au début du siècle, nous avons dû repenser et moderniser à plusieurs reprises de nombreuses briques technologiques et fonctionnalités clés afin de les adapter au marché actuel. De même, nous continuerons à repenser et à modifier notre plateforme Enreach UP afin qu’elle soit toujours à la pointe de la technologie dans 20 ans : l’immobilisme n’est tout simplement pas une option. C’est d’ailleurs la raison pour laquelle nous sommes passés à une architecture de type microservices et à l’intégration continue, celles-ci permettant une innovation et une mise à disposition des clients plus rapides.  

Les évolutions à venir

Quelle sera la prochaine étape ? L’une des évolutions les plus significatives que nous observons est l’association des fonctionnalités de communications unifiées, de collaboration et de productivité, que nous appelons le contact convergent. Par ailleurs, l’intégration des fonctionnalités de centre de contact dans cet environnement convergent se développe considérablement, ce qui permet aux PME de proposer à leurs employés en contact avec la clientèle une fonctionnalité de « centre de contact occasionnel », sans la complexité et les coûts élevés qui caractérisent une solution de centre de contact traditionnelle. Grâce aux fonctionnalités de centre de contact existantes d’Enreach UP et à la technologie considérable apportée à Enreach par Enreach Spain (anciennement masvoz) et Enreach Campaigns (anciennement Herobase) en matière d’expérience client, nous serons ensemble en mesure de favoriser l’innovation dans ce domaine, et d’intégrer par exemple davantage de canaux tels que WhatsApp ainsi que des agents conversationnels au sein de l’expérience client. 

Aider les gens à mieux gérer et contrôler leurs vies professionnelles et privées fait partie des autres domaines à forte croissance auxquels nous travaillons. Le développement de la voix dans les chats et des commandes à activation vocale est un autre domaine intéressant. La technologie vocale ne disparaît pas : elle est là pour durer et sous différentes formes. Pour établir un parallèle, les gens pensaient que la télévision remplacerait la radio ; au lieu de cela, la consommation de divertissements strictement audio s’est développée et inclut désormais les podcasts et les livres. La technologie est un élément facilitateur, mais ce sont les utilisateurs et les consommateurs qui décident de la façon dont ils vont l’utiliser et les résultats peuvent quelquefois être surprenants.

Il est évident que nous devons être ouverts, prêts à nous adapter et à nous améliorer, et être conscients que, quoi qu’il advienne, le changement est inévitable et doit être adopté. Personnellement, j’ai hâte de voir comment l’expérience et la technologie que nous avons développées vont continuer à jouer un rôle majeur au sein d’Enreach et nous aider à hisser à un nouveau niveau les services et solutions que nous fournissons à nos partenaires et aux utilisateurs finaux.