Évaluation
Noter la chronologie avant les hypothèses
Après une perte de données, une suite de faits datés est plus utile qu’une cause supposée. Elle situe l’incident, sépare la panne initiale des gestes de reprise et indique quelles versions de sauvegarde doivent être comparées.
Le journal minimal d’incident
Une ligne par événement suffit si elle contient :
- La date et l’heure, même approximatives;
- La personne ou le système ayant observé le fait;
- L’équipement, le volume ou le dossier concerné;
- Le message ou le symptôme exact;
- L’action effectuée;
- Le résultat obtenu.
Séparez clairement observation et interprétation. « Le volume demande un formatage à 9 h 12 » décrit un fait; « le disque est mort » demeure une hypothèse jusqu’à l’évaluation diagnostique.
L’événement initial peut rester inaperçu pendant plusieurs jours. Sans repères temporels, il devient difficile de choisir le bon point de retour lorsqu’un effacement s’est propagé, qu’une copie a échoué ou qu’une corruption s’est installée graduellement.
Ajoutez le fuseau utilisé et tout décalage connu entre les appareils. Si les horloges du serveur, du NAS et des postes divergent, leurs journaux peuvent inverser l’ordre apparent des mêmes faits.
| Heure | Équipement | Observation | Action | Résultat | Élément gardé |
|---|---|---|---|---|---|
| 8 h 42 | Serveur de documents | Partage introuvable | Service laissé arrêté | Source préservée | Capture de l’alerte |
| 8 h 51 | Outil de sauvegarde | Exécution en échec | Journal exporté | Exemplaire non modifiable | Fichier daté |
L’article sur les erreurs de manipulation explique pourquoi chaque manipulation compte. L’objectif est de convertir ces renseignements en faits exploitables pour la récupération.
Si l’heure exacte de la disparition est inconnue, notez le dernier moment où la donnée était visible et le premier où elle manquait. Cet intervalle aide à sélectionner les versions et sauvegardes à examiner.
Évaluation
Décrire les supports et les symptômes
La fiche doit relier chaque pièce matérielle à sa fonction dans le système : membre d’une grappe, SSD de démarrage, volume virtuel, carte embarquée, copie de secours ou destination de restitution. Le fabricant ne suffit pas pour situer les données.
Utilisez un identifiant temporaire avec l’appareil d’origine, la position dans l’ensemble, l’état observé et, au besoin, la mention de ne pas alimenter. Photographiez l’ordre physique d’un RAID avant de retirer les disques; pour une machine virtuelle, gardez aussi les fichiers de configuration et la chaîne d’instantanés.
Ne modifiez rien pour mieux documenter. Renommer un volume, le monter en écriture ou redémarrer uniquement pour prendre une capture peut altérer la source. Une note imparfaite vaut mieux qu’une preuve obtenue au prix d’une nouvelle écriture.
Décrivez précisément le symptôme : support absent, bruit, demande de formatage, débit très lent, fichier vide, dossier disparu, capacité incohérente ou erreur d’application. Ces observations ne pointent pas vers les mêmes causes.
Gardez les accessoires et sources associés : câble, boîtier, alimentation, adaptateur, photos, journaux, ordre des disques et sauvegardes partielles. Ils peuvent expliquer une détection instable ou une modification des données.
Évitez « ça ne fonctionne plus ». Indiquez plutôt si le support est détecté, disparaît pendant la lecture, chauffe, ralentit ou présente le problème dans certains fichiers seulement.
Les détails matériels doivent rester utiles : modèle, capacité, boîtier, nombre de membres du RAID, appareil d’origine ou équipement ayant utilisé la carte. Ils orientent la méthode sans transformer la fiche en inventaire inutile.
Évaluation
Tracer les actions déjà réalisées
Toute intervention après la découverte modifie le contexte technique. Il faut déclarer les démarrages, réparations automatiques, initialisations, restaurations, échanges de disques RAID et transferts avortés, y compris lorsqu’aucun changement visible n’a suivi.
Conserver aussi les résultats négatifs
Un essai échoué reste informatif lorsqu’on connaît sa durée, le point de déconnexion, le message, la température ou le changement de bruit. Le transmettre évite qu’une autre personne répète la même sollicitation sur un média fragile.
Une intervention peut ajouter des écritures, modifier des métadonnées ou produire une copie partielle utile. L’évaluation doit savoir ce qui existe encore, ce qui a été remplacé et ce qui n’a pas fonctionné.
La transparence réduit les fausses pistes. Les renseignements sensibles peuvent rester limités aux personnes autorisées, mais les actions techniques ne doivent pas être cachées. Si une preuve doit être préservée, consignez aussi les transferts et les empreintes des copies selon le protocole retenu.
Le dossier sur les interventions risquées après une perte recense les gestes les plus problématiques. Les avoir consignés permet d’en estimer les effets sans exposer encore la source.
Conservez les copies partielles au lieu de les écraser. Même incomplètes, elles peuvent fournir une version, une date ou une arborescence utile pour comparer la restitution finale.
Évaluation
Définir les fichiers prioritaires
Une priorité doit prendre la forme d’un critère de réussite, non de « tout récupérer ». Le nom du dossier, la période, le format, l’application et la tolérance aux éléments partiels guident l’ordre de lecture et le contrôle.
Associez chaque lot à un nom concret et à une personne capable de le reconnaître. « Comptabilité » est trop large; « base de facturation de l’exercice courant, ouverte dans la version utilisée et contenant les écritures de juin » fournit une cible vérifiable.
- Priorité 1 : bloque les activités, une preuve ou un événement irremplaçable;
- Priorité 2 : requise à court terme, mais partiellement disponible ailleurs;
- Priorité 3 : archive ou contenu secondaire traité si le support le permet.
Précisez la période recherchée. Le besoin peut porter sur le dernier mois, une année de photos ou quelques fichiers récents; cette information influence l’acquisition et la validation.
Nommez les types de fichiers essentiels. Une base, un classeur, une archive, une vidéo, un fichier photo brut, une session audio ou un document de bureau demande chacun une validation différente. Sa présence dans un dossier ne prouve pas qu’il est utilisable.
Sur un support fragile, les priorités peuvent raccourcir le délai utile en réservant les meilleures lectures aux données essentielles plutôt qu’aux archives secondaires.
Une demande précise peut viser « l’enregistrement de la caméra 4, de 14 h 10 à 15 h » ou « les factures du 1er au 18 mai, ouvertes dans la version actuelle du logiciel ». Ces critères orientent autant l’extraction que l’acceptation finale.
Évaluation
Faciliter la restitution et la prévention
La fiche accompagne aussi la restitution. Elle distingue le fichier repéré, fichier ouvert, contenu accepté et donnée absente. Retrouver un nom ne prouve pas que son contenu est exploitable.
Préparer le passage de relais
Lors de l’envoi, regroupez la chronologie, les images, l’identification des médias, les duplicatas connus, les sauvegardes et l’ordre des besoins. Les accès ou clés requis doivent être transmis séparément du matériel, par le moyen sécurisé convenu.
Vérifiez avant l’envoi que chaque identifiant de la fiche correspond bien au support emballé. Cette dernière concordance évite qu’une chronologie exacte soit associée au mauvais disque ou à la mauvaise position d’une baie.
Cette information sert ensuite à la prévention. Elle révèle une sauvegarde jamais testée, un support ambigu, une synchronisation mal comprise ou une consigne qui a favorisé une intervention risquée.
Dans une entreprise, la trace nourrit le plan de récupération; pour un particulier, elle empêche de reproduire le même geste sur le nouveau support. Dans les deux cas, elle doit rester concise et directement utilisable.
Datastrophe peut mieux qualifier le dossier lorsque l’original est préservé, la chronologie claire et les priorités explicites. Ces éléments ne garantissent pas une récupération complète, mais réduisent les essais et les incertitudes.
Gardez la documentation versionnée et accessible hors du système touché. Une fiche papier, un export, une capture ou un message partagé peut suffire si le serveur principal est indisponible.
Après la restitution, relisez-la pour repérer les alertes ignorées, les sauvegardes utiles et les actions aggravantes. La fiche devient alors un outil de prévention plutôt qu’un simple souvenir de crise.
Évaluation
Sources techniques primaires et limites
Limites des sources — d’un incident de perte de données: Pour documentation d’un incident de perte de données, les sources primaires consultées sont NIST SP 800-86. Mesures sur le support — d’un incident de perte de données: Elles définissent les principes de préservation, de stockage et de validation, mais ne démontrent ni l’état physique précis, ni le comportement du contrôleur, ni la disponibilité des clés, ni la cohérence opérationnelle du matériel reçu. Mesures du contrôleur — d’un incident de perte de données: Ces éléments doivent être mesurés sur l’ensemble original et vérifiés sur des copies.
Évaluation
Demander une évaluation contrôlée
Jeu complet requis — d’un incident de perte de données: Pour évaluer documentation d’un incident de perte de données, fournissez l’appareil ou l’ensemble complet, les composantes d’alimentation et d’interface, l’ordre et les étiquettes des membres, l’historique des symptômes et la liste exacte des fichiers prioritaires. Événements à documenter — d’un incident de perte de données: Les accès autorisés sont transmis par un canal protégé distinct; évitez un nouveau démarrage uniquement pour produire une capture.
Intervention technique interne — d’un incident de perte de données: Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son propre laboratoire avec sa propre équipe. Première évaluation offerte — d’un incident de perte de données: Le diagnostic et la soumission sont gratuits. Responsabilité du transport — d’un incident de perte de données: Le transport privé aller-retour est inclus; le transporteur déplace seulement le colis scellé, sans accéder aux données ni les traiter.
Relevé contrôlé — d’un incident de perte de données: Avant tout paiement, le client reçoit le prix proposé et une liste vérifiée. Niveaux de résultat — d’un incident de perte de données: Chaque élément est classé, dans l’ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Paiement après validation — d’un incident de perte de données: Seuls les éléments recoverable_verified, ouverts et jugés utilisables, sont présentés comme récupérables. Résultat non vérifié — d’un incident de perte de données: Le paiement est demandé uniquement après l’acceptation de la liste et du prix.
Résultat utile absent — d’un incident de perte de données: Si aucune donnée utilisable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucuns frais standards ne sont exigés. Condition de pièce spéciale — d’un incident de perte de données: La seule exception vise une pièce rare, coûteuse et non remboursable, commandée seulement après l’acceptation d’une proposition distincte, explicite et chiffrée.