En temps que prestataire informatique, nous enjoignons tous nos clients à faire de la politique backup une priorité.

Transcription

1 Admin/9036/2BXL-20/11/ Pourquoi une charte backup? Annexe Charte backup Aborder la question des backups et de la protection des données est souvent un sujet sensible. Tout comme certains dangers qui peuvent menacer une organisation, celui-ci est souvent minorisé alors que les systèmes informatiques concentrent aujourd hui la plupart des informations indispensables au fonctionnement de votre organisation. La plupart du temps, aborder la question ne suscite pas l'enthousiasme car elle rime avec contraintes et soucis. Et pourtant, évacuer le problème ne le résout pas. La plupart des fournisseurs (y compris la plupart des fournisseurs de solutions de backup en ligne) sont assez sibyllins sur leur responsabilité, voire s'en dégagent totalement par une pirouette juridique quelconque. Nous avons voulu mettre sur la table cette problématique avec nos clients, pour envisager avec eux la meilleure manière de les aider à gérer en bon père de famille les données de leur organisation. Cette charte vise à clarifier le rôle et les responsabilités de chacun, et les modalités de mise en place d'une politique backup correcte et adéquate. En temps que prestataire informatique, nous enjoignons tous nos clients à faire de la politique backup une priorité. 2 Introduction: principes de base d'une bonne politique backup Une bonne politique backup doit respecter tous les éléments suivants: - Toutes les informations à sauvegarder doivent être centralisées sur un serveur. - Le backup doit être automatique. - Il doit être monitoré (c'est-à-dire qu'un rapport doit être envoyé par mail). - Il faut garder plusieurs versions de backup. - Il faut archiver certaines versions et ne plus y toucher (par exemple, une version par trimestre). - Il faut que les supports non utilisés pour le prochain backup soient physiquement hors des bâtiments de l'entreprise. - Il faut identifier clairement les données à backuper. 3 Mise en place des backups 3.1 Réunion avec le client et Damnet Une réunion sera organisée pour passer en revue avec le client les questions suivantes: - Quel sont les programmes utilisés? - Quelles sont les données les plus critiques? - Où sont stockées les données des différents programmes? - Quelle sont les procédures de sauvegarde préconisées par les fournisseurs des applications métiers ou applications spécifiques? - Taille des données à backuper? - Données itinérantes non backupées? - Fréquence des backups et rotation des supports? - Problématique des programmes installés sur PC avec data sur PC? - Données archivées et environnement d'archivage? 23

2 3.2 Validation des backups auprès des fournisseurs tiers Si le client possède des logiciels métiers ou spécifiques (non bureautique standard), une procédure de backup sera demandée par mail ou fax au fournisseur concerné. 3.3 Rapport Sur base de cette réunion, une fiche rapport sera remplie. Elle reprendra la liste des dossiers à backuper la fréquence et le type de sauvegarde. Ce rapport doit être signé en deux exemplaires par le client et par Damnet. Il fait partie intégrante de la charte backup. Sans rapport, la charte signée n a aucune valeur. 3.4 Actualisation des données à backuper A l initiative du client, lorsqu il y a des modifications de configurations ou de besoins, ce dernier peut nous solliciter à l'intervalle qu'il définira pour organiser une réunion de mise à jour des procédures backup. 4 Solutions de backup valides 4.1 Supports Ne sont valides que les systèmes permettant une rotation des supports (tape ou cartouches disques). En aucun cas, une solution sur disque externe (usb ou NAS), ne pourrait constituer seule une solution complète de backup sur laquelle Damnet engage sa responsabilité. 4.2 Programmes Nous ne garantissons pas l'installation des programmes backup non présentes dans la liste ci-dessous. Les programmes supportés par Damnet sont: - Symantec backup exec - Robocopy - tar Il existe certainement d'autres solutions très valables mais nous ne pouvons disposer en interne de toutes les compétences pour maîtriser correctement l'ensemble des logiciels de backup présents sur le marché. Cependant, cette liste pourra être étendue à d'autres programmes à conditions d'une analyse précise de leur fonctionnalité. 4.3 Backup en ligne En cas de backup en ligne, le choix du fournisseur de la solution doit être examiné avec précaution: - la solution devra permettre au minimum de restaurer les datas de J-1, J-2, J-7, J-14, J-1 mois ; - un rapport précis devra être envoyé par mail ; - le fournisseur doit avoir un contrat correct sur ses engagements et responsabilités. Nous tenons à attirer l'attention du client sur le fait qu'un backup en ligne n'est en aucun cas la panacée et qu'il convient de dépasser l'argumentaire commercial a priori séduisant de l'externalisation. Certes les solutions classiques tombent en panne, certes elles sont souvent astreignantes quant aux changements des supports. Cependant, les conditions techniques de validité d'une solution de backup en ligne sont également à observer. Nous trouvons régulièrement ce type de solution ne fonctionnant pas depuis plusieurs mois, alors que les clients dormaient sur leur deux oreilles, persuadés d'avoir réglé le problème une fois pour toute. Nous recommandons au client de faire appel à des sociétés sérieuses et 24

3 25 Admin/9036/2BXL-20/11/2011 professionnelles. Le backup en ligne fait l'objet d'un contrat entre le client et le fournisseur de la solution. Il n'est donc pas de notre responsabilité d'en valider le bon fonctionnement. 5 Monitoring Ce service proposé par Damnet consiste, chaque matin de jour ouvrable, à ouvrir les mails de notifications envoyés par le programme backup des clients qui ont souscrit au service. Le client reçoit également une copie s'il le souhaite. En cas de problème de backup, le problème sera pris en charge dans les 8 heures ouvrable. Si la solution du problème est mineure et triviale, le client ne sera pas nécessairement informé du problème. Si le problème n'a pas été solutionné et se reproduit, une troisième nuit consécutive; le client sera averti du problème et des moyens mis en œuvre pour le solutionner. Sont alors d'application les modalités de la gestion des incidents (voir point 6) Le forfait du service monitoring ne couvre que la première analyse des rapports. En cas d'erreur, et de recherche de la cause, le temps passé sera facturé dans le cadre du contrat d'administration réseau. Par expérience, nous recommandons fortement nos clients de souscrire à ce service. 6 Gestion des incidents et des problèmes Lorsqu'un incident, une panne matérielle ou logicielle est signalée, Damnet mettra en œuvre la solution la plus diligente pour trouver une solution au problème et, le cas échéant, proposer une alternative. - Pendant les 5 premiers jours ouvrables suivant la survenance du problème, une série de corrections seront mises en œuvre par Damnet pour résoudre le problème. - Si le problème excède 5 jours ouvrables, une solution de backup temporaire sera mise chez le client. Bien entendu, la recherche de solution sera poursuivie. - Si le problème excède deux semaines ouvrables, une réunion sera organisée avec le client pour analyser la situation et proposer ensemble des mesures de solution structurelles. Ensuite, un suivi des décisions sera effectué chaque semaine. Lorsqu'un problème backup est lié à un non respect de la procédure par le client (exemple, non changement du support de backup ou fichiers restés ouverts la nuit), il sera signifié au responsable interne de la procédure backup chez le client. Après trois notifications, la direction du client sera informée et Damnet considèrera que la balle est dans le camp du client, sans plus faire de rappel. A noter que la plupart des backups proposent des rapports de type "OK" ou "Erreur". Lors d'une erreur, nous sommes donc tenus d'affiner la cause exacte de l'erreur. Si l'erreur est fréquente ou répétitive, comme par exemple des fichiers restés ouverts, cela occasionne un surcroit de travail inutile et coûteux pour vérifier la cause exacte. 7 Responsabilité de Damnet 7.1 Obligation de moyens Damnet est tenu à des obligations de moyen : - conseil et mise en place d'une solution correcte, adaptée au budget du client et son souhait de niveau de sécurité ; - documentation de la procédure de sauvegarde ; - configuration des données à backuper ; - monitoring du backup et suivi (si souscription du service) ;

4 - remplacement rapide de la solution en cas de panne matériel (si celui-ci est encore sous garantie) et proposition d'une autre solution au client si le matériel n'est plus sous garantie ; - mise à jour des logiciels (si la licence le permet) et proposition d'alternative en cas de problème répétitif - respect des modalités définies dans la charte. 7.2 Exonération totale de responsabilité En matière de responsabilité, Damnet a une obligation de conseil et de moyens, non de résultat. Aucune responsabilité en matière de backup ou de perte de données lors de changements informatiques ne pourra être imputée à Damnet si un des cas suivants se produit: - si le client n'a pas de serveur ou que les données ne se trouvent pas sur le serveur; - si le client n'a pas souscrit un contrat d'administration; - si la charte n'a pas été ratifiée pas le client et Damnet; - si le client n'a pas souscrit au service de monitoring des backups; - si le client n'a pas respecté la charte (notification du problème, non respect de la rotation du support, solution de backup non conforme aux règles de la charte, non avertissement de l'installation de programme ou création de dossiers de données, ). Damnet ne peut être tenu responsable de points non abordés explicitement dans la présente charte. 7.3 Responsabilité des solutions tierces Damnet propose à ses clients des solutions de backup éprouvées et largement utilisées. Néanmoins, Damnet ne saurait être tenu responsable de dysfonctionnement de logiciel ou de panne relevant de fournisseurs tiers (sous-traitants ou autres fournisseurs). 7.4 Dédommagement En cas de responsabilité de Damnet sur les moyens à mettre en œuvre, le montant du dédommagement sera évalué en fonction du nombre de journées de travail perdue par le client à causes et non en fonction du préjudice indirect occasionné (chiffre d'affaires non réalisé ou de perte commerciale). La valeur de la journée de travail perdue et comptabilisée en termes de cout salarial. Par ailleurs, ce montant sera plafonné et proportionné à la valeur du contrat. Le calcul du plafond de prise en charge se fait de la sorte: nombre d'heures mensuelles dans le contrat d'administration souscrit par le client x 500 HTVA. 8 Responsabilité du client Les données à sauvegarder et les données sauvegardées sont la propriété du client Le client est tenu de considérer que le backup est une priorité pour la pérennité de son organisation et mettra les moyens adaptés pour assurer cette priorité. Notamment, il assurera une réactivité et proactivité conforme à la gestion d'un bon père de la famille en la matière. Par ailleurs, il définira en interne une politique de responsabilisation sur la perte de données, notamment pour les travailleurs nomades avec portable. En aucun cas, Damnet ne pourra être responsable d'attitude désinvolte du client ou de ses travailleurs en matière de conservation des données. Le client est tenu de faire le suivi et de vérifier que la procédure backup est bien respectée et notamment la rotation et les mesures de protection physique des supports. Le client est tenu de signaler à Damnet tout changement informatique ayant un impact sur les données (installation d'application, ). 26

5 Admin/9036/2BXL-20/11/2011 Lorsque Damnet le lui conseille, le client est tenu de mettre les moyens financiers appropriés à la valeur de ses données pour des investissements nécessaires à leur pérennité. En aucun cas les conséquences d'un sous investissement du client ne pourra être imputé à Damnet. Si le client n'a pas souscrit le service de notification pris en charge par Damnet, il est tenu de signaler à Damnet tout problème dans la notification: soit message d'erreur de backup, soit absence du mail de notification. Le client est responsable de poser toute question utile à Damnet pour la compréhension de cette notification et en assume pleinement son interprétation. Par ailleurs, les délais de réactivité défini, commence le jour de la notification par le client et non le jour ou la panne s'est produit. Le client est responsable de nous signaler les personnes qui doivent recevoir la notification et s'assurer lui-même que le système est toujours opérationnel. Si le client le souhaite, nous pouvons, à sa demande, procéder à des tests de restauration. 9 Perte de données lors d'intervention 9.1 Principe général De manière générale, lors d'interventions sur les PC, le principe suivant sera d'application: peu importe que le client ait signalé ou pas la présence de données, Damnet ne peut en aucun cas être responsable d'une mauvaise politique de protection de données. Damnet ne peut être tenu responsable de la perte de données "originales" si elles n'ont pas été backupées dans le cadre d'une politique de backup cohérente, telle que définie dans la présente charte. 9.2 Intervention sur les PC, portables Damnet n'aura aucune responsabilité engagée en cas de perte de données lors d'intervention sur des PC et portables. Les données ne doivent en effet pas se trouver sur les PC mais sur le(s) serveur(s). 9.3 En ce qui concerne les données de serveurs Damnet ne peut en aucun cas être tenu responsable des pertes de données lors d'intervention sur des serveurs non couverts par une protection backup conforme à la charte. En aucun cas, les moyens mis en place avant intervention, comme la copie sur disque dur externe ne sauraient constituer une protection complète engageant Damnet. Un PC utilisé comme serveur n'est pas pour Damnet un serveur. Un serveur doit répondre à minima aux caractéristiques suivantes: - être de marque réputée (HP, Dell, IBM, ) - être équipé de disque Raid - être équipé de windows server ou d'une version linux serveur Chacune des parties s'engage à respecter le contenu de la présente charte. Le rapport est complété en annexe. Fait à le Pour DAMNET SCRL Pour FARES ASBL 27