Rétention des sauvegardes : la question qui décide de votre reprise après incident

La période de rétention est la durée pendant laquelle vos sauvegardes restent conservées et restaurables. C'est elle qui détermine jusqu'où vous pouvez remonter dans le temps après un incident, et c'est l'un des paramètres les plus négligés des contrats d'infogérance : beaucoup d'entreprises découvrent leur rétention le jour où elles en ont besoin, c'est-à-dire trop tard pour la changer.

3-2-1
La règle de base d'une sauvegarde sérieuse : trois copies de vos données, sur deux supports différents, dont une conservée hors site. La rétention est la dimension oubliée de cette règle : trois copies d'hier ne servent à rien si le problème date de la semaine dernière.

Pourquoi sept jours de sauvegarde ne suffisent-ils pas ?

Parce que les incidents les plus graves ne se signalent pas le jour où ils commencent. Un rançongiciel moderne ne chiffre généralement pas vos données le jour de l'intrusion : les attaquants s'installent, explorent, désactivent ce qu'ils peuvent, et frappent des jours ou des semaines plus tard, au moment qui les arrange. Si votre rétention est de sept jours et que l'intrusion date de trois semaines, chaque sauvegarde encore disponible contient déjà l'attaquant. Restaurer revient alors à réinstaller le problème. Le même raisonnement vaut pour les incidents silencieux sans attaquant : une base de données corrompue, un fichier écrasé par erreur ou une suppression passée inaperçue se découvrent souvent bien après coup, lors d'une clôture comptable ou d'un contrôle. La question n'est donc pas « ai-je une sauvegarde d'hier ? », mais « jusqu'où puis-je remonter ? ».

Comment choisir la bonne durée de rétention ?

C'est un arbitrage entre quatre facteurs, propre à chaque entreprise. La criticité des données d'abord : toutes ne se valent pas, et celles dont la perte serait irréparable méritent la rétention la plus longue. Les obligations légales ensuite : selon votre secteur, des durées minimales de conservation s'imposent, et le RGPD impose à l'inverse de ne pas conserver certaines données personnelles au-delà du nécessaire ; la rétention se règle donc dans les deux sens. Le coût de stockage, troisième facteur : conserver plus longtemps occupe plus d'espace, mais le stockage n'a jamais été aussi peu cher, et son coût est dérisoire face à celui d'une donnée irrécupérable. Le rythme de vie de vos données enfin : un dossier modifié cent fois par jour et une archive consultée une fois l'an n'appellent pas la même stratégie. La réponse à cet arbitrage a un nom contractuel : le point de reprise (RPO), la quantité de travail que vous acceptez de perdre au pire. Ce n'est pas un réglage technique délégué au prestataire, c'est une décision d'entreprise, et elle doit figurer noir sur blanc dans votre contrat, comme nous le détaillons dans notre article sur l'infrastructure hybride.

La méthode Grand-père-Père-Fils : remonter loin sans stocker l'infini

Comment concilier une rétention longue et un stockage raisonnable ? Par la rotation. La méthode Grand-père-Père-Fils (GFS) conserve trois générations de sauvegardes à trois granularités : des sauvegardes quotidiennes récentes (les fils), des sauvegardes hebdomadaires sur plusieurs semaines (les pères), et des sauvegardes mensuelles sur plusieurs mois, voire des annuelles (les grands-pères). Résultat : vous pouvez restaurer finement ce qui est récent (hier, avant-hier, chaque jour de la semaine passée) et remonter loin par paliers (la fin du mois dernier, le trimestre passé), sans conserver chaque jour de chaque mois. C'est le meilleur rapport entre profondeur d'historique et volume stocké, et c'est ce que devrait proposer par défaut toute stratégie de sauvegarde professionnelle.

La question du titre reste donc entière, et elle tient en trois points à poser à votre prestataire : quelle est ma durée de rétention exacte, figure-t-elle dans mon contrat, et quand la dernière restauration de test a-t-elle été réalisée et documentée ? Si l'une de ces réponses est floue, vous ne savez pas aujourd'hui jusqu'où vous pourrez remonter le jour où tout en dépendra. Cette conversation prend une demi-heure ; l'absence de cette conversation peut coûter l'entreprise.

Questions fréquentes