Pour beaucoup la sauvegarde est le nerf de la guerre, seule parade efficace contre les accidents de sécurité de tout poil. Pourtant, sur le terrain, les consultants découvrent souvent qu'elles sont négligées, même au sein d'entreprises qui se sont donné la peine de mettre en oeuvre une véritable solution de sauvegarde. « En réalité, ce ne sont pas les sauvegardes elles-mêmes qui posent problème, mais plutôt la manière dont elles sont gérées, observe Élisabeth Conseil, consultante sécurité pour le groupe Telindus. On constate ainsi que si l'entreprise a effectivement mis en place une solution de sauvegarde, elle ne l'a pas fait évoluer : les volumes et les espaces disques qui étaient présents au moment du déploiement sont toujours bien sauvegardés, mais tous ceux ajoutés ultérieurement sont ignorés, alors que tout le monde pense le contraire. »

L'erreur est souvent d'ordre organisationnel : l'équipe qui déploie la solution de sauvegarde n'est pas la même que celle qui fait évoluer le réseau, et, bien sûr, il n'existe aucune procédure pour leur permettre de communiquer entre elles. Lorsque l'une ajoute un espace disque, elle ignore bien souvent tout de la manière dont il sera sauvegardé, ou bien elle ne dispose pas des droits nécessaires à la modification du plan de sauvegarde.

Et même si tout est correctement sauvé, les équipes ne savent pas toujours que faire des supports ainsi créés. Là encore, la négligence est souvent de mise : « J'ai vu des cassettes qui restaient en permanence dans le serveur, ou même qui, après avoir été correctement remplacées, étaient simplement empilées sur la climatisation, à quelques mètres de là ! », se souvient Thomas Lebouc, directeur de mission activité conseil en sécurité pour Thales Security Systems.

Dans ces conditions, il devient presque plus simple pour un pirate de partir avec quelques cassettes sous le bras plutôt que de tenter une intrusion dans les serveurs. « Ces erreurs n'arrivent pas par bêtise, mais par manque d'organisation. C'est le cas très souvent lorsque l'entreprise réalise ses sauvegardes dans un site distant sans personnel spécifique. On demande alors aux gens des services généraux de changer les cartouches quotidiennement, sans rien ajouter. Ils font ce qu'on leur demande, mais laissent les robots de sauvegarde accrochés aux serveurs, à côté des bandes de la semaine. C'est une question de moyens : un budget sauvegarde n'est pas seulement constitué du coût des bandes et du matériel, mais aussi de la prise en charge des bandes afin de les sortir du bâtiment », poursuit Élisabeth Conseil.

Enfin, parmi les bons élèves qui sauvegardent régulièrement et gèrent bien la circulation de leurs cassettes, les erreurs n'ont pas disparu pour autant. Car encore faut-il être capable de les exploiter le moment venu, et c'est souvent dans la panique de perte de données que l'on découvre que les bandes de sauvegarde sont illisibles. Les bandes DAT, connues pour cela, ont fait les beaux jours des services de récupération de données. Là encore, l'entreprise avait choisi ce support par économie et se retrouve à devoir payer plusieurs milliers d'euros pour en récupérer le contenu.