Analyse
Désigner un décideur et isoler la source
Après une perte de données, l'arbitrage commence par un responsable unique qui autorise les actions et maintient le support suspect hors production. Dans une PME, la direction, le prestataire et les responsables métier peuvent agir en même temps ; sans décision commune, une restauration peut démarrer pendant qu'une autre personne relance le NAS ou copie encore des fichiers.
Le décideur n'a pas besoin d'être spécialiste du stockage. Il doit pouvoir trancher trois questions : quelle activité doit repartir en premier, quelle source doit rester intacte et qui valide le résultat. La personne technique conserve son rôle de diagnostic, mais elle ne décide pas seule qu'une ancienne sauvegarde suffit au service commercial ou à l'atelier.
Le support original est alors isolé et identifié. Les écritures, vérifications automatiques, reconstructions RAID et synchronisations sont suspendues. Les disques d'un NAS restent associés à leur baie et à leur ordre ; un SSD soudé reste avec l'appareil et ses accès légitimes. Les copies partielles et les sauvegardes sont conservées comme sources distinctes, jamais fusionnées sur l'original.
Tenir un registre de décision très court
Le registre peut tenir sur une page : heure, personne, source concernée, action autorisée et résultat observé. Il évite que deux prestataires répètent le même essai et permet au laboratoire de distinguer la panne initiale des modifications ultérieures.
| Décision | Responsable | Preuve attendue |
|---|---|---|
| Isoler une source | Référent technique | Support hors écriture et identifié |
| Relancer une fonction | Décideur de crise | Environnement sain désigné |
| Accepter une donnée | Responsable métier | Fichier ouvert et période confirmée |
Le processus de récupération utilise cette chronologie pour choisir une acquisition adaptée. La reprise minimale ne commence pas par « tout remettre en ligne », mais par la maîtrise de chaque source et de chaque décision.
Analyse
Définir le périmètre minimal de reprise
Le périmètre minimal est l'ensemble le plus petit de données et de dépendances qui permet d'exécuter la prochaine opération indispensable. Il ne se mesure ni en gigaoctets ni en nombre de dossiers. Une base de commandes et son journal peuvent être plus urgents que plusieurs téraoctets d'archives.
Chaque responsable métier formule un résultat concret : émettre les factures du jour, relancer une machine, préparer les livraisons, accéder aux plans en cours ou répondre à une échéance réglementaire. Il indique la dernière période acceptable et la personne capable de vérifier la donnée. Cette définition transforme « récupérer le serveur » en demandes vérifiables.
Découper la reprise en trois horizons
| Horizon | Question | Exemples |
|---|---|---|
| Reprise minimale | Que faut-il pour travailler aujourd'hui ? | Commandes ouvertes, paramètres de production, facturation |
| Rattrapage | Que faut-il reconstituer cette semaine ? | Devis récents, dossiers clients actifs, courriels locaux |
| Récupération étendue | Que peut-on traiter après stabilisation ? | Archives, doublons, anciens projets |
Pour chaque lot, la PME précise le nom attendu, la période, l'application de lecture et le validateur. Une base sans sa version applicative, un projet sans ses fichiers liés ou un dossier sans ses droits peut être présent mais inutilisable. Les dépendances font donc partie du périmètre minimal.
La récupération sur serveur peut prioriser une base ou un partage lorsque le support reste instable. Cette priorité ne promet pas que la zone correspondante sera lisible ; elle guide l'ordre d'acquisition et évite de consommer une fenêtre de lecture sur des archives secondaires.
Test de périmètre : si personne ne peut dire quelle opération métier sera possible après restitution, la priorité reste trop vague.
Analyse
Comparer restauration, récupération et ressaisie
La bonne option est celle qui restitue une version contrôlable dans le délai utile sans détruire une meilleure source. Une PME peut combiner restauration, récupération en laboratoire et ressaisie ; elle n'a pas à imposer une méthode unique à tout le volume.
La restauration convient lorsqu'une sauvegarde est datée, complète et testable dans un espace séparé. Elle doit prouver l'ouverture des fichiers et la cohérence applicative, pas seulement afficher un statut vert. Une sauvegarde synchronisée après l'incident ou privée de sa clé ne constitue pas encore une solution.
La récupération de données devient prioritaire lorsque la source contient une version unique, plus récente ou indispensable, ou lorsque la sauvegarde laisse un intervalle critique. Datastrophe cherche alors à copier le support sur une destination saine, à reconstruire les structures sur une copie et à qualifier les fichiers récupérés. Une panne mécanique de disque dur peut nécessiter une intervention en salle blanche ; une corruption logique, un SSD ou un RAID incohérent demandent d'autres méthodes de laboratoire.
La ressaisie peut être rationnelle pour un faible volume documenté : quelques commandes retrouvées dans des courriels, des heures consignées sur papier ou des opérations confirmées par le client. Elle doit comporter une double vérification et conserver la source qui justifie chaque saisie.
Arbitrer lot par lot
| Option | Condition favorable | Limite à annoncer |
|---|---|---|
| Restauration | Sauvegarde testée et période suffisante | Écart depuis la dernière copie |
| Récupération | Version unique ou support encore exploitable | Résultat dépendant de l'état réel |
| Ressaisie | Faible intervalle et pièces fiables | Erreurs humaines et temps métier |
| Combinaison | Sources complémentaires | Rapprochement et doublons à contrôler |
Pour un NAS, la récupération RAID et NAS exige de préserver membres, ordre et configuration avant toute reconstruction. L'arbitrage compare ensuite le temps nécessaire à la récupération avec la date de la dernière sauvegarde et la valeur de l'intervalle manquant.
Analyse
Maintenir l'activité en mode dégradé sur un environnement sain
Le mode dégradé permet de produire le strict nécessaire sur une infrastructure saine pendant que l'original reste disponible pour le diagnostic. Il ne consiste pas à remettre le support suspect en service « provisoirement ».
La PME choisit un poste, un volume ou une application distincte. Les accès sont limités aux personnes nécessaires et les nouvelles données sont horodatées. Un préfixe de dossier, un numéro de lot ou un journal quotidien suffit souvent à distinguer la production créée après l'incident de ce qui sera restauré ou récupéré plus tard.
Quelques règles évitent un second incident :
- Ne jamais restaurer sur le support source ;
- Ne pas reconnecter une synchronisation avant d'avoir choisi la version de référence ;
- Ne pas initialiser un RAID ou reformater un volume pour accueillir la nouvelle production ;
- Sauvegarder le mode dégradé sur une deuxième destination saine ;
- Documenter chaque exception ou saisie manuelle à rapprocher ensuite.
Le mode dégradé doit rester proportionné. Une PME peut limiter temporairement les commandes, différer les archives ou utiliser un export contrôlé sans reconstruire toute son infrastructure. L'objectif est de tenir jusqu'à une restitution validée, pas de créer un système parallèle durable.
Il faut aussi prévoir le rapprochement. Les numéros de pièces, dates de modification et responsables permettent de fusionner les données nouvelles avec la version restaurée sans écraser silencieusement un travail récent. Toute synchronisation automatique reste désactivée jusqu'à cette validation.
Séparation obligatoire : l'environnement de reprise crée de nouvelles données ; le laboratoire préserve et acquiert les données anciennes. Les deux flux ne se rejoignent qu'après contrôle.
Analyse
Faire valider la reprise par chaque responsable métier
La reprise est acceptée lorsque les responsables métier exécutent l'opération attendue avec la bonne période, pas lorsque le volume apparaît dans l'explorateur. Le laboratoire peut vérifier une structure, une archive ou une base ; seul l'utilisateur métier sait si les commandes ouvertes, les plans ou les écritures comptables correspondent au besoin.
La validation commence par le périmètre minimal. Chaque lot reçoit un statut simple : accepté, partiel, absent ou à rapprocher. Les anomalies sont décrites avec une période ou un fichier précis. Cette méthode évite qu'un pourcentage global masque l'absence de la seule base indispensable.
Contrôler une action, pas seulement un fichier
| Donnée restituée | Contrôle métier |
|---|---|
| Base de commandes | Rechercher une commande récente et préparer son traitement |
| Comptabilité | Ouvrir l'exercice attendu et rapprocher un solde connu |
| Plans ou dossiers projet | Ouvrir les fichiers liés et confirmer la dernière version |
| Archives ou médias | Extraire ou lire plusieurs éléments jusqu'au bout |
Les fichiers techniques intermédiaires, journaux et dépendances applicatives sont conservés tant que la validation n'est pas terminée. Une archive qui s'ouvre partiellement, une vidéo interrompue ou une base sans journal doit être signalée comme limitée. La restitution complète en volume ne vaut pas validation complète en usage.
Datastrophe peut alors poursuivre l'acquisition étendue pendant que la PME travaille sur le périmètre accepté. Le décideur arbitre les lots restants selon leur valeur, leur coût de ressaisie et les limites observées. Cette progression évite d'attendre la dernière archive avant de reprendre, sans présenter une récupération partielle comme exhaustive.
Après stabilisation, un retour d'expérience court suffit : source unique supprimée, restauration testée, responsable désigné et consigne d'arrêt connue. L'objectif n'est pas une procédure lourde, mais une prochaine reprise fondée sur des copies vérifiées plutôt que sur un nouvel arbitrage d'urgence.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « PME après perte de données : arbitrer une reprise minimale »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.