Sauvegarde et reprise : exigences comparées entre référentiels

La sauvegarde et la reprise font partie du socle commun : chacun des onze référentiels que nous mettons en correspondance les exige, y compris le RGPD (GDPR), qui demande la capacité de rétablir la disponibilité et l'accès aux données personnelles dans des délais appropriés. L'exigence qui varie le plus n'est pas la fréquence mais la protection : depuis que les rançongiciels ciblent les sauvegardes, les référentiels s'intéressent de plus en plus à la question de savoir si un attaquant qui contrôle votre réseau peut aussi détruire vos copies.

Qui exige quoi

Référentiel	Sauvegarde et restauration	Lien
NIST CSF 2.0	PR.DS-11RC.RP-03	Définition du sujet
ISO 27001	A.8.13	Correspondance
CIS v8.1	CIS 11.2CIS 11.3CIS 11.5CIS 11.4	Correspondance
SOC 2	A1.2	Éditorial
PCI DSS	9.4.1.1	Correspondance
CMMC	MP.L2-3.8.9	Correspondance
800-53	CP-6CP-9	Correspondance
HIPAA	§164.308(a)(7)(ii)(A)§164.310(d)(2)(iv)	Correspondance
GDPR	Art.32(1)(c)	Éditorial
NIS2	4.2	Correspondance
Essential Eight	ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515	Éditorial

Détail complet et raison de chaque lien : Sauvegarde et restauration dans les référentiels →

Fréquence

Peu de référentiels en fixent une. Les CIS Controls demandent des sauvegardes automatisées chaque semaine ou plus souvent, selon la sensibilité des données (11.2). HIPAA exige un plan de sauvegarde des données pour créer et maintenir des copies exactes et récupérables des ePHI (§164.308(a)(7)(ii)(A)). L'Essential Eight exige des sauvegardes conformes aux exigences de continuité d'activité. ISO 27001 (A.8.13), SP 800-53 (CP-9) et SOC 2 (A1.2) laissent la fréquence dépendre de vos objectifs de reprise, ce qui est la bonne approche : sauvegardez aussi souvent que vous pouvez vous permettre de perdre des données.

Protection

C'est là que les référentiels diffèrent le plus :

• CIS exige que les données de récupération soient protégées (11.3) ainsi qu'une instance isolée de celles-ci (11.4) : hors ligne, isolée dans le cloud ou autrement inaccessible à un attaquant présent sur le réseau.
• L'Essential Eight intègre la protection dans ses niveaux de maturité : les comptes non privilégiés ne peuvent pas accéder aux sauvegardes d'autres comptes, et aux niveaux supérieurs, même les comptes privilégiés ne peuvent ni modifier ni supprimer ces sauvegardes.
• CMMC exige que la confidentialité des CUI présentes dans les sauvegardes soit protégée (MP.L2-3.8.9) ; PCI DSS exige que les supports de sauvegarde hors ligne soient conservés en sécurité (9.4.1.1).
• ISO 27001 et SOC 2 attendent que les sauvegardes soient protégées de manière appropriée, sans mentionner explicitement l'immuabilité.

Tests de restauration

CIS demande des tests de récupération trimestriels ou plus fréquents, sur un échantillon (11.5). L'Essential Eight exige que la restauration des données, des applications et des paramètres soit testée lors d'exercices de reprise après sinistre. ISO 27001 exige que les sauvegardes soient testées, sans fréquence définie, et les auditeurs SOC 2 recherchent des tests de restauration au titre de A1.3. Une sauvegarde que personne n'a jamais restaurée relève de l'espoir, pas du contrôle.

Points clés

• La sauvegarde et la reprise font partie des cinq sujets qu'exige chaque référentiel que nous mettons en correspondance.
• Les référentiels diffèrent moins sur la fréquence que sur la protection : CIS et l'Essential Eight protègent explicitement les sauvegardes contre les attaquants.
• Les tests de restauration sont la partie la plus négligée ; CIS demande des tests trimestriels sur un échantillon.
• Une base commune (sauvegardes régulières, copie isolée, chiffrement, tests de restauration trimestriels) satisfait l'ensemble.
• Les fournisseurs cloud protègent leur infrastructure, pas vos données contre la suppression, la corruption ou le chiffrement.

Une base qui satisfait toutes ces exigences

1. Sauvegardez les données, les applications et la configuration, à une fréquence définie par les objectifs de point de reprise, et au minimum chaque semaine.
2. Conservez au moins une copie isolée, hors ligne ou immuable, que les administrateurs de domaine ne peuvent pas supprimer.
3. Chiffrez les sauvegardes contenant des données sensibles ou réglementées.
4. Testez les restaurations chaque trimestre sur un échantillon, et réalisez un exercice de reprise complet au moins une fois par an.
5. Consignez les résultats, y compris les échecs et les correctifs : c'est la preuve que demande tout auditeur.

La page du sujet Sauvegarde et reprise répertorie chaque exigence avec sa source ; Reprise après sinistre et Continuité d'activité couvrent les plans plus larges. Pour les autres sujets communs à tous les référentiels, voir le socle commun.

Questions

À quelle fréquence les sauvegardes doivent-elles être testées ?

Les CIS Controls demandent des tests de récupération trimestriels ou plus fréquents (11.5), et l'Essential Eight exige que la restauration soit testée dans le cadre des exercices de reprise après sinistre. La plupart des autres référentiels exigent des tests sans fréquence fixe.

Les référentiels exigent-ils des sauvegardes hors ligne ou immuables ?

Peu le disent explicitement. Les CIS Controls exigent une instance isolée des données de récupération (11.4), et les niveaux de maturité supérieurs de l'Essential Eight empêchent les comptes, y compris privilégiés, de modifier ou supprimer les sauvegardes.

Les services cloud rendent-ils les sauvegardes inutiles ?

Non. Les fournisseurs cloud protègent leur infrastructure, mais la plupart ne vous protègent pas contre la suppression, la corruption ou le chiffrement de vos propres données. Les référentiels exigent toujours que vous sauvegardiez et testiez la restauration de ce dont vous êtes responsable.