Test de restauration : vérifier et documenter la reprise

Vérifier des données utilisables

Le test de restauration vérifie qu’une sauvegarde peut être récupérée et que son contenu répond au besoin examiné. Un rapport de tâche réussie ne renseigne pas, à lui seul, sur l’ouverture d’un dossier, le fonctionnement d’une application ou le délai nécessaire pour reprendre une activité. La validation doit associer le prestataire et un utilisateur capable de vérifier le résultat métier.

Commencez par un scénario limité mais utile. La restauration d’un dossier vérifie ce dossier et les moyens utilisés pour le récupérer. La reprise d’une application complète, d’un serveur ou d’un équipement de production demande d’autres préparations. Le compte rendu doit préciser ce que le test permet de conclure et ce qui reste à vérifier.

Comment agir

• Choisir le scénario : données concernées, raison du test, version attendue et personne chargée de la validation métier.
• Fixer les conditions : périmètre, intervenants, autorisations et environnement de restauration. Évitez d’écraser les données de production ; préparez les opérations avec les personnes compétentes.
• Réunir les prérequis : accès, documentation, outils, licences et participation de l’éditeur si l’application le nécessite.
• Réaliser la restauration : consignez les étapes, les difficultés et les temps mesurés dans les conditions de l’exercice.
• Valider le contenu : faites vérifier les fichiers ou opérations représentatives par le métier concerné.
• Traiter les écarts : attribuez les corrections, prévoyez leur vérification et préparez le nettoyage de l’environnement de test.

Pour une reprise après incident de sécurité, l’environnement de destination et les données doivent faire l’objet de vérifications adaptées avant leur remise en service. Un exercice préparé dans des conditions normales ne mesure pas automatiquement le délai d’une reconstruction après compromission.

Qui fait quoi

L’entreprise choisit le besoin métier, valide les conditions et désigne la personne qui vérifiera les résultats. Elle précise les contraintes de disponibilité et les opérations qu’elle souhaite pouvoir reprendre.

L’infogérant prépare la partie technique du test, réalise les opérations convenues et consigne les mesures et les écarts. Il indique les dépendances hors de son périmètre.

L’éditeur, la maintenance ou le fournisseur intervient lorsque la reprise nécessite une connaissance spécifique de l’application ou de l’équipement. Le RSSI peut aider à relier le test aux scénarios de risques et au plan de reprise.

Exemples de preuves à conserver

• La fiche de préparation : scénario, périmètre, version de sauvegarde, autorisations et critères de réussite.
• Le compte rendu daté avec intervenants, étapes, durée mesurée et conditions de l’exercice.
• Des éléments montrant le contenu restauré et les vérifications réellement effectuées.
• La validation métier, les limites du test et les points encore non vérifiés.
• Les actions correctives avec leurs responsables et leurs résultats de vérification.
• La confirmation du traitement de l’environnement de test et des copies temporaires.

Les données restaurées gardent leur sensibilité. Préparez leur accès, leur stockage temporaire et leur suppression ou conservation autorisée. Les captures destinées à un tiers doivent éviter d’exposer le contenu des dossiers clients.

Un exemple concret

Exemple fictif : le bureau d’études choisit un dossier de plans et une version de sauvegarde antérieure à une modification. Le prestataire restaure les fichiers dans un espace séparé avec des accès limités. Le responsable métier ouvre les fichiers représentatifs et confirme leur version. Le compte rendu indique la durée observée, les opérations réalisées et la validation du dossier.

Le test ne couvre pas encore la reprise du logiciel de conception et de ses licences. L’entreprise attribue cette vérification à un exercice complémentaire avec l’éditeur. Cette limite est conservée dans le dossier.

Erreurs à éviter

• Tester uniquement un fichier sans lien avec les usages prioritaires.
• Présenter le temps d’un exercice préparé comme une garantie de reprise après toute cyberattaque.
• Omettre les dépendances applicatives, les licences ou la validation métier.
• Laisser des copies sensibles accessibles après la fin du test.

Votre prochaine étape

Choisissez une donnée importante avec son responsable métier et préparez un test avec l’infogérant. Convenez des critères de réussite avant l’exercice et des mesures à consigner. La fiche sur les sauvegardes externalisées vous aide à préciser le périmètre à tester.

Pour approfondir

L’ANSSI propose des repères sur la sauvegarde des systèmes d’information. Retrouvez notre article sur la continuité et le redémarrage en PME industrielle pour inscrire les tests dans une préparation plus large.