Responsabilité en matière de sauvegarde dans Microsoft 365

Le modèle de responsabilité partagée de Microsoft définit la répartition des responsabilités entre les utilisateurs et Microsoft en fonction du type de déploiement. Si la situation est simple pour les applications sur site, qui relèvent de la seule responsabilité de l'utilisateur, elle se complique à mesure que l'on passe au cloud.

Microsoft propose plusieurs modèles de prestation de services cloud, tels que la plateforme en tant que service (PaaS), l'infrastructure en tant que service (IaaS) et le logiciel en tant que service (Saas). Selon le modèle, Microsoft et les utilisateurs se partagent différemment les responsabilités liées aux contrôles réseau, à l'infrastructure d'identité et d'annuaire, aux applications et aux systèmes d'exploitation. Certains domaines, comme les données et les comptes, relèvent toujours de la responsabilité de l'utilisateur, quel que soit le modèle de prestation, tandis que d'autres, comme les réseaux physiques et les hôtes, relèvent toujours de Microsoft.

Le modèle de responsabilité partagée de Microsoft 365 repose sur le cadre Saas, qui permet aux utilisateurs d'accéder aux applications Microsoft basées sur le cloud et de les utiliser. Avec le Saas, la plupart des responsabilités sont transférées à Microsoft, mais pas toutes. Explorons cela plus en détail.

La responsabilité première de Microsoft est d’assurer la disponibilité de ses services cloud, afin que des millions d’utilisateurs à travers le monde puissent accéder à leurs environnements Microsoft 365. Pour ce faire, Microsoft met en place une redondance géographique de ses centres de données et une réplication intégrée permettant un basculement vers un autre centre de données en cas de sinistre. C’est là que réside la plus grande idée fausse : les réplicas Microsoft sont gérées et conservées par Microsoft et, par conséquent, ne vous appartiennent pas. Vous ne pouvez pas contrôler ces réplicas ni les utiliser pour récupérer les comptes ou fichiers nécessaires.

Le modèle de responsabilité partagée permet également de mieux comprendre l’aspect sécurité de , une responsabilité partagée entre Microsoft et l’utilisateur. Alors, qu’est-ce que la responsabilité partagée dans ce cas ? Alors que Microsoft est responsable de la sécurité de l’infrastructure, y compris la sécurité physique de ses centres de données et l’authentification au sein des services cloud, l’utilisateur est responsable de la sécurité au niveau des données. Étonnamment, cela inclut non seulement les erreurs de l'utilisateur, telles que la suppression accidentelle ou les lacunes dans les politiques de conservation, mais aussi les cyberattaques et même la perte de données lors de pannes causées par Microsoft. Voici ce que Microsoft indique dans son Contrat de service:

Nous nous efforçons de maintenir les Services opérationnels ; cependant, tous les services en ligne subissent des perturbations et des pannes occasionnelles, et Microsoft n'est pas responsable des perturbations ou des pertes que vous pourriez subir en conséquence. En cas de panne, vous pourriez ne pas être en mesure de récupérer votre contenu ou les données que vous avez stockées. Nous vous recommandons de sauvegarder régulièrement votre contenu et les données que vous stockez sur les Services ou que vous stockez à l'aide d'applications et de services tiers.

Un autre facteur est la pression en matière de conformité qui pèse sur les propriétaires de données . Des réglementations telles que le RGPD et la loi HIPAA imposent des conditions strictes en matière de sécurité et d'accès aux données. De plus, la souveraineté des données prévue par le RGPD oblige les propriétaires de données à stocker des copies de leurs données dans des emplacements spécifiques, ce qui peut s'avérer difficile si vous ne contrôlez pas entièrement l'emplacement de vos données.

Microsoft indique clairement que les utilisateurs sont les propriétaires des données et qu'ils sont responsables de leurs données, de leurs comptes et de leur accès, quel que soit le type de déploiement. Même si Microsoft 365 propose toute une gamme d'outils de conformité, ceux-ci ne suffisent pas à eux seuls à garantir le respect des réglementations.

Résumons maintenant en quoi les rôles de Microsoft et des utilisateurs diffèrent en termes d’infrastructure, de sécurité et de conformité.

Rôle de Microsoft

Disponibilité et temps de fonctionnement de l’infrastructure :

• Centres de données
• Réseau
• Applications
• Système d’exploitation

Sécurité :

• Sécurité des centres de données contre les défaillances logicielles, les pannes et les catastrophes
• Sécurité contre l’accès non autorisé à l’infrastructure physique hébergeant Microsoft 365
• Redondance des centres de données (réplication) sur plusieurs emplacements

Conformité en tant que sous-traitant :

• Politiques transparentes et audit
• Réponse aux violations et signalement en temps opportun

Rôle de l'utilisateur

Infrastructure :

• Données utilisateur
• Terminaux
• Gestion des comptes et des accès

Sécurité :

• Protection des données contre les cybermenaces, les sinistres et les erreurs humaines
• Sauvegardes, conservation et archivage des données
• Continuité des activités et reprise après sinistre

Conformité en tant que propriétaire/responsable du traitement des données

• Responsabilité en matière d'accès aux données, de confidentialité, de sécurité et de conservation
• Conformité aux normes et réglementations

En tant que propriétaire des données, l'utilisateur reste toujours responsable de ses données et de leur accès, ce qui rend la protection des données Les solutions de sauvegarde tierces sont essentielles pour Microsoft 365 . Microsoft propose quelques outils intégrés pour la conservation des données et la récupération à court terme, mais ceux-ci ne suffisent pas à garantir un contrôle total sur vos données.

Microsoft a lancé Microsoft 365 Backup pour Exchange Online, SharePoint Online et OneDrive for Business en 2024 afin de pallier le manque de capacités de sauvegarde. Cependant, même avec cette nouvelle solution, les utilisateurs doivent toujours composer avec le principal inconvénient de tous les outils natifs de Microsoft : toutes les copies de données sont stockées dans le cloud Microsoft, de sorte que vos données principales et vos données de sauvegarde ne sont pas physiquement séparées. Cela peut compromettre votre stratégie de protection des données et augmenter le risque de perte de données.

Pour garantir la récupération des données Microsoft 365 dans tous les cas de figure, vous avez besoin d’un outil de sauvegarde tiers complet tel que NAKIVO Backup & Replication, qui prend en charge le stockage local, hors site et dans le cloud. La possibilité de choisir plusieurs destinations de sauvegarde vous permet d’appliquer sans effort la règle de sauvegarde 3-2-1 en stockant des copies de vos données en dehors de l’infrastructure Microsoft, pour une sécurité et un contrôle accrus.

Vous pouvez renforcer la protection de vos données contre les ransomwares et autres cybermenaces grâce à un large éventail de fonctionnalités de sécurité, notamment le chiffrement et l’immuabilité. La solution NAKIVO prend en charge le chiffrement AES-256, ce qui vous permet de sécuriser les sauvegardes avant de les transférer sur le réseau. Grâce à la fonctionnalité d'immuabilité, les sauvegardes chiffrées sont « verrouillées » pendant une période spécifiée, empêchant toute modification ou suppression pendant ce laps de temps.

Comment surveiller et auditer les activités de sauvegarde dans Microsoft 365 avec NAKIVO ?

La solution de sauvegarde NAKIVO offre l'avantage de la surveillance de Microsoft 365. Les outils natifs de surveillance et d'audit de la sécurité de Microsoft 365 sont limités, notamment le Centre de conformité et Microsoft Defender. Cependant, ils sont principalement conçus pour surveiller les données sources et ne fournissent pas de vue d'ensemble détaillée des activités de sauvegarde, ni d'alertes automatisées sur le statut des sauvegardes.

NAKIVO Backup & Replication, en revanche, vous permet de surveiller toutes les activités de sauvegarde de Microsoft 365 à partir d'un tableau de bord web centralisé. Vous pouvez y consulter les tâches en cours et planifiées ainsi que leur statut, et surveiller l'espace de stockage, la taille et la vitesse des sauvegardes. Le tableau de bord affiche les erreurs et les alertes liées aux mises à jour et aux licences de la solution, aux référentiels, aux transporteurs et aux activités en cours, en les mettant en évidence en rouge lorsque le problème est critique.

La solution NAKIVO vous permet de définir des notifications par e-mail à la fin de la sauvegarde et de configurer des actions avant et après la sauvegarde à l'aide de scripts personnalisés. Ces scripts peuvent vous aider à automatiser les actions de correction pour les problèmes connus, tels que le redémarrage de serveurs distants ou l'exécution d'un autre logiciel une fois la sauvegarde terminée.