Récupération de Données : Que Faire dans les Premières Heures

3 min de lecture DataRoad

Il y a une statistique inconfortable dans la récupération de données : une proportion significative des cas irrécupérables arrive ainsi à cause de ce qui a été fait après de l'incident. Le disque avait des chances ; ce sont les tentatives de résoudre le problème qui les ont éliminées.

Cet article concerne les premières heures — et ce qu'il faut faire pour n'avoir jamais besoin de lui.

Que faire dans la première heure

Cessez d'utiliser l'équipement. Si un disque est en train de tomber en panne, chaque minute de fonctionnement peut aggraver les dommages physiques. Si des fichiers ont été effacés, chaque nouvelle écriture peut occuper l'espace où ils se trouvent encore. Éteignez-le.

Ne redémarrez pas de manière répétée. C'est le réflexe naturel et l'un des pires. Sur un disque ayant un problème mécanique, chaque démarrage force la tête de lecture sur une surface déjà endommagée.

Isolez l'équipement du réseau s'il y a le moindre soupçon de logiciel malveillant, pour empêcher qu'il ne se propage aux lecteurs partagés.

Vérifiez les copies de sauvegarde avant tout le reste. Cela semble évident et on l'oublie souvent. S'il existe une copie récente et intégre, le problème n'est plus un problème de récupération mais de restauration — plus rapide, moins cher et avec un résultat garanti.

Écrivez ce qui s'est passé. Quel bruit a été fait, quel message est apparu, ce qui était en train d'être fait au moment, quelles étapes ont déjà été essayées. Cette information a beaucoup de valeur pour qui viendra intervenir.

Ce qu'il ne faut pas faire, jamais

• N'installez pas de logiciel de récupération sur le disque affecté. L'installation écrit des données — potentiellement par-dessus ce que vous voulez récupérer.
• N'exécutez pas d'utilitaires de vérification et de réparation sur des disques suspectés de défaillance physique. Ils ont été conçus pour réparer des systèmes de fichiers, non pour gérer du matériel en train de mourir, et ils peuvent aggraver les dommages.
• Ne formatez ni ne réinstallez “pour voir si cela se résout.
• N'ouvrez pas le disque. La récupération physique se fait en salle blanche ; une ouverture en environnement normal contamine les plateaux de manière irréversible.
• Ne faites pas confiance aux recettes sur Internet. Congélateurs, coups et remplacements de cartes sont des histoires qui circulent depuis vingt ans et détruisent des cas récupérables.

Types de perte et ce qui change

Effacement accidentel. Le meilleur scénario. Tant que l'espace n'est pas réutilisé, les données sont toujours là. La règle est d'arrêter d'écrire sur le volume immédiatement.

Défaillance logique. Structure du système de fichiers corrompue, partition disparue, disque qui demande un formatage. Le support est bon ; c'est la carte qui s'est perdue. Il y a généralement de bons taux de récupération avec des outils appropriés utilisés par ceux qui savent.

Panne matérielle. Bruits, disque non reconnu, fonctionnement intermittent. Exige un laboratoire et une salle blanche. C'est le scénario le plus cher et le plus sensible aux tentatives d'amateurs.

Panne de RAID. Un système à plusieurs disques n'est pas invulnérable — il est fréquent qu'un disque soit tombé en panne il y a des mois sans que personne ne s'en aperçoive, et seule la panne du second rend le problème visible. Ici, l'ordre de reconstruction importe beaucoup, et une reconstruction mal faite détruit l'ensemble.

S'il s'agit d'un ransomware

Tout change. Ce n'est pas une question de récupération de support — c'est une réponse à un incident.

Isolez immédiatement les équipements affectés du réseau, sans les débrancher de l'alimentation s'il y a intention d'enquêter. Vérifiez si les copies de sauvegarde ont été atteintes — les systèmes de sauvegarde connectés en permanence au réseau sont une cible prioritaire. Préservez les preuves avant de nettoyer quoi que ce soit.

Et il y a une décision qui n'est pas technique : payer ne garantit rien et finance l'activité suivante. C'est une conversation à avoir avec la direction et, selon le cas, avec un conseil juridique et avec les autorités. S'il y a des données personnelles impliquées, il existe des obligations de notification avec des délais serrés.

Comment ne pas revenir ici

La récupération de données est toujours la pire option disponible : coûteuse, longue et sans garantie de résultat. Tout ce qui l'évite vaut plus qu'elle.

La règle empirique qui continue de fonctionner est celle des trois copies : les données en production, une copie locale pour une restauration rapide, et une copie hors site ou déconnectée du réseau — cette dernière étant celle qui survit aux rançongiciels.

Mais la partie qui échoue le plus n'est pas d'avoir des copies. C'est les tester. Une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une garantie. Le test de restauration devrait être un événement planifié, avec une date fixée, comme un exercice d'évacuation.

Et la surveillance : savoir qu'une sauvegarde a échoué le jour même où elle échoue, et non le jour où l'on en a besoin.

DataRoad met en œuvre et gère solutions de sauvegarde et de récupération pour entreprises, avec des tests de restauration et une surveillance continue, au sein des services informatiques gérés.