Une routine de copie qui survit à la boîte qu’elle copie

Partez du tas que vous ne pourriez pas refaire, parce qu’il est plus petit qu’on ne le croit

Une routine de copie qui essaie de tout couvrir est une routine qui tourne lentement, remplit sa destination et finit désactivée. Commencez par mettre à part ce qui vraiment ne se remplace pas : photographies et vidéos de personnes, documents que vous avez écrits, papiers, tout ce qui a été fait plutôt que téléchargé.

Ce tas est presque toujours une petite fraction du total, et c’est lui qui mérite le plus de copies, le plus d’endroits et le plus de vérifications. Le média qui pourrait être réextrait, le logiciel qui pourrait être retéléchargé et les caches de quoi que ce soit appartiennent tous à un second étage, plus détendu — à copier, sans qu’il faille bâtir autour.

Écrivez ce partage avant de configurer quoi que ce soit. Toutes les décisions suivantes deviennent plus faciles une fois qu’on sait quels fichiers on protège réellement.

Trois copies, deux sortes d’endroits, l’un d’eux ailleurs

La convention répétée dans toute l’industrie est trois copies, sur deux sortes de stockage, l’une d’elles hors du bâtiment. C’est une convention plutôt qu’une mesure, et elle survit parce que chacune de ses parties répond à une panne distincte.

Trois copies signifie l’original et deux autres, pour qu’en perdre une laisse encore une réserve pendant la reconstruction.

Deux sortes d’endroits signifie ne pas mettre toutes les copies sur le même genre de matériel acheté au même moment. Des disques du même lot, dans la même boîte, sur la même alimentation, partagent plus de modes de panne qu’il n’y paraît.

L’un ailleurs est la partie qui couvre le bâtiment entier : vol, incendie, dégât des eaux, et tout ce qui abîme tout ce qui est dans une pièce. Un disque dans un tiroir de bureau à côté du boîtier échoue à ce test ; un disque gardé chez un proche, ou une copie détenue par un service distant, le réussit.

Ce que la redondance du boîtier couvre, et les quatre choses qu’elle ne couvre pas

C’est le point sur lequel toute cette page tourne, et il vaut la peine d’être exact.

Un niveau de redondance garde un volume lisible quand un disque tombe, et vous laisse remplacer ce disque sans arrêter. C’est réel, c’est ce pour quoi la fonction a été conçue, et cela vaut la peine.

Quatre événements courants en sortent entièrement, parce qu’ils atteignent tous les disques d’un coup :

• Une suppression. Le fichier est retiré, et le boîtier le retire de chaque disque sur lequel il était reflété, immédiatement et correctement.
• Un écrasement. Une application enregistre par-dessus un dossier, ou une synchronisation tourne dans le mauvais sens. Le nouveau contenu se propage exactement comme prévu.
• Un chiffrement hostile. Un logiciel qui tourne avec vos droits peut atteindre tout ce que votre compte atteint, partage monté compris, et le boîtier range fidèlement la version chiffrée.
• Le bâtiment. Le vol, l’incendie et l’eau ne distinguent pas des disques qui se reflètent l’un l’autre.

Il y en a un cinquième à nommer : une panne du boîtier lui-même, ou une corruption des métadonnées de la grappe, qui peut rendre un jeu de disques parfaitement sains illisible hors de cette machine.

Rien de tout cela n’est un argument contre la redondance. C’est la raison pour laquelle les copies existent comme une chose distincte.

Gardez des versions, pas seulement des copies, parce que l’essentiel des pertes vient de vous

Une copie qui reflète fidèlement l’état actuel d’un dossier reflétera fidèlement une bêtise. Si un fichier a été écrasé mardi et que la copie a tourné mardi soir, la copie porte désormais la version écrasée et l’original a disparu des deux côtés.

Ce qui couvre cela, ce sont les versions : garder les états antérieurs d’un fichier pendant une durée. Les fabricants de boîtiers l’implémentent en instantanés ou en versionnage de fichiers, et les logiciels de copie en passages antérieurs conservés. Dans les deux cas, les réglages à regarder sont le nombre de versions gardées, la profondeur à laquelle elles remontent et la place qu’elles ont le droit d’occuper — parce que la fonction n’existe que tant qu’il y a de la place pour elle.

Là où un boîtier propose des instantanés qui ne peuvent être ni modifiés ni supprimés pendant une durée fixée, ce réglage mérite d’être compris, puisqu’il vise exactement le cas où quelque chose disposant de vos droits essaie de les détruire.

Faites une copie que rien sur le réseau ne peut atteindre

Tout ce qui est monté en permanence est joignable par tout ce qui atteint la machine. C’est cette propriété qu’il faut rompre, à au moins un endroit.

La forme la plus simple est un disque qu’on branche, sur lequel on copie, et qu’on débranche ensuite. C’est démodé et cela fonctionne, et pour un tas de fichiers irremplaçables qui gagne du matériel lentement, le faire une fois par mois est une vraie défense. Deux disques en rotation entre deux endroits valent mieux encore, parce que l’un des deux est toujours hors du bâtiment.

Un service distant est l’autre forme, et ce qu’il faut vérifier n’est pas la quantité d’espace mais ce qu’il fait des versions et des suppressions : combien de temps un fichier supprimé reste récupérable, et si un compte compromis aujourd’hui peut effacer ce qu’il détient. Lisez ces deux réponses dans la documentation du fournisseur avant de choisir sur le prix.

Automatisez la copie, puis vérifiez qu’elle a tourné

Une routine non automatisée survit à trois semaines environ de vie ordinaire. Employez ce que le boîtier ou le système d’exploitation propose, réglez le calendrier sur l’intervalle décidé plus haut, et laissez tourner.

Ajoutez ensuite l’étape qu’on omet : un moyen d’apprendre qu’elle n’a pas tourné. La plupart des logiciels savent envoyer un message en cas d’échec — activez-le et envoyez-le quelque part où vous lisez vraiment. Une routine arrêtée en silence il y a quatre mois est pire que pas de routine, parce que vous avez pris des décisions en supposant qu’elle marchait.

Posez un rappel récurrent dans un agenda pour regarder les copies une fois par trimestre. Deux minutes, quatre fois par an.

Réglez la question des clés et des mots de passe avant qu’ils ne vous enferment dehors

Le chiffrement d’un disque ou d’un partage vaut la peine, et il introduit une panne qui lui est propre : une copie que personne ne peut ouvrir est une copie qui n’existe pas.

Décidez où vit la clé ou la phrase de passe, assurez-vous qu’elle existe dans un endroit indépendant de la machine qu’elle protège, et assurez-vous qu’au moins une autre personne saura la trouver s’il le faut. Un gestionnaire de mots de passe, une note scellée dans un coffre, ou une feuille imprimée chez quelqu’un de confiance sont autant de réponses raisonnables ; la seule réponse déraisonnable est une clé qui n’existe que sur la machine chiffrée.

La même chose vaut pour les identifiants d’un service distant, et pour toute méthode de récupération qui leur est attachée.

Éprouvez une restauration, et écrivez la routine comme une procédure

Les deux dernières étapes sont celles qui transforment une disposition en un plan.

Restaurez quelque chose, délibérément, depuis chaque copie que vous gardez. Pas l’ensemble — un dossier suffit. Ce que vous vérifiez, c’est que la copie est lisible, que vous vous rappelez comment l’atteindre, et que les fichiers dedans sont ceux que vous attendiez plutôt qu’une arborescence vide fidèlement recopiée d’ailleurs.

Écrivez-la comme une procédure qu’une autre personne pourrait suivre : ce qui est copié, d’où vers où, à quelle fréquence, où les disques sont gardés, où sont les clés, et quoi faire en premier si le boîtier est mort. Gardez cette page quelque part qui n’est pas le boîtier.

La personne qui la suivra en urgence n’est souvent pas celle qui l’a mise en place, et même quand c’est la même, c’est une version de cette personne qui vient de perdre quelque chose et ne réfléchit pas clairement.