Sauvegarder Microsoft 365 : rétention n'est pas sauvegarde, et la restauration se teste
« Microsoft sauvegarde nos données » : la phrase revient souvent, et elle n'est que partiellement vraie. Microsoft assure la disponibilité de son service, pas la récupération de vos données après une erreur, une malveillance ou une compromission de votre locataire. L'architecture de sauvegarde doit partir des scénarios de perte que vous voulez couvrir.
La responsabilité partagée
Microsoft réplique les données entre centres de données et protège l'infrastructure contre les pannes matérielles et les sinistres. En revanche, si un utilisateur, un administrateur ou un attaquant disposant de droits légitimes supprime ou chiffre des données, le service exécute fidèlement l'ordre reçu. La protection contre ces scénarios relève du client, comme l'indiquent les conditions de service. Il faut donc distinguer la disponibilité du service, assurée par Microsoft, et la récupérabilité des données, qui vous incombe.
Pourquoi la rétention n'est pas une sauvegarde
Corbeilles, éléments récupérables, versions de fichiers, stratégies de rétention, conservation pour litige : ces mécanismes sont utiles et doivent être configurés. Mais ils présentent des limites structurelles :
- ils résident dans le même locataire, sous le même plan d'administration ; un administrateur compromis peut souvent les modifier ou les désactiver ;
- ils sont conçus pour la conformité et la recherche, pas pour restaurer rapidement un état antérieur à grande échelle ;
- leurs délais sont limités, et une suppression découverte tardivement peut être définitive ;
- ils couvrent mal la configuration du locataire elle-même.
Verrou de conservation. Certaines stratégies de rétention peuvent être verrouillées pour empêcher leur suppression, même par un administrateur. C'est une protection forte, mais irréversible : elle se décide en connaissance de cause, avec le service juridique.
Les scénarios à couvrir
La conception doit partir de scénarios concrets, avec pour chacun un objectif de délai de restauration :
- Erreur ponctuelle : un utilisateur supprime un dossier ou une boîte partagée est vidée par erreur.
- Rançongiciel sur les postes : les fichiers synchronisés avec OneDrive sont chiffrés et la version chiffrée remonte dans le cloud. La restauration de OneDrive à une date antérieure couvre une partie du besoin, à l'échelle d'un utilisateur.
- Destruction ciblée par un attaquant : suppression de sites, de boîtes ou d'équipes Teams depuis un compte administrateur compromis, avec modification préalable des stratégies de rétention.
- Atteinte à l'échelle du locataire : perte de contrôle des comptes privilégiés ; il faut alors restaurer des données dans un environnement que l'attaquant ne contrôle pas.
- Perte de configuration : stratégies d'accès conditionnel, paramètres Intune, applications, groupes ; souvent absents des plans de sauvegarde.
Microsoft 365 Backup ou solution tierce
Microsoft 365 Backup est un service de Microsoft facturé à l'usage qui protège Exchange, OneDrive et SharePoint avec des points de restauration fréquents et des restaurations rapides à grande échelle. Ses atouts sont la performance de restauration et l'intégration native. Sa limite principale tient à ce que les sauvegardes restent dans l'écosystème Microsoft et s'administrent depuis le locataire : leur protection dépend donc de la protection des rôles qui les gèrent.
Les solutions tierces stockent généralement les copies hors du locataire, parfois de façon immuable, avec une administration distincte. Certaines s'appuient sur les interfaces de Microsoft 365 Backup. Elles couvrent parfois des éléments supplémentaires, comme Teams ou une partie de la configuration d'Entra ID. Les périmètres de chaque offre évoluent : vérifiez précisément ce qui est couvert et ce qui ne l'est pas, élément par élément.
Quel que soit le choix, l'administration de la sauvegarde doit être isolée : comptes dédiés, MFA résistante au hameçonnage, absence de dépendance à un compte administrateur général du locataire protégé, et alerte sur toute suppression de sauvegarde ou modification de rétention.
Tester la restauration
Une sauvegarde qui n'a jamais été restaurée est une hypothèse. Les tests doivent porter sur les scénarios retenus : restauration d'un élément, d'une boîte complète, d'un site entier, et mesure du temps nécessaire pour un volume réaliste. Les résultats permettent de confronter les objectifs de délai aux capacités réelles et d'ajuster avant l'incident.
Ce qu'un audit vérifie
- Les scénarios de perte documentés et les objectifs de restauration associés.
- La configuration des mécanismes natifs : rétention, éléments récupérables, versions.
- Le périmètre réel de la solution de sauvegarde, service par service.
- L'isolation de l'administration de la sauvegarde par rapport au locataire.
- La sauvegarde de la configuration du locataire et d'Entra ID.
- Les comptes rendus des derniers tests de restauration.