Le modèle de partage des responsabilités Microsoft 365

La compréhension du besoin de sauvegarde SaaS s’est améliorée, mais nous entendons encore fréquemment : « Pourquoi ai-je besoin de sauvegarder mes données Microsoft 365 Exchange Online, SharePoint Online, OneDrive for Business et Microsoft Teams ? Est-ce que Microsoft ne s’en occupe pas ? »

Comme les données se trouvent dans le cloud, on peut logiquement penser qu’elles sont couvertes. Mais est-ce vraiment le cas ?

Pour clarifier cette discussion, nous avons créé un modèle de partage des responsabilités Microsoft 365. Ce modèle reprend les principes fondamentaux du modèle de partage des responsabilités de Microsoft, mais en mettant plus particulièrement l’accent sur les données Microsoft 365. Il est conçu pour vous aider (et toute autre personne concernée par cette technologie) à faire la distinction et à comprendre exactement ce que Microsoft gère et quelles responsabilités incombent à l’entreprise elle-même. Après tout, ce sont vos données et c’est à vous de les protéger. Pour bien souligner ce point, Microsoft admet que vous devez protéger vos données Microsoft 365 et vous recommande de les stocker en utilisant une solution tierce. Le contrat de service Microsoft stipule : « Nous vous recommandons de sauvegarder régulièrement votre contenu et les données que vous stockez sur les services ou que vous stockez à l’aide d’applications et de services tiers. » En prenant des mesures proactives pour protéger vos données, vous donnez à votre entreprise les moyens d’éviter toute perte potentielle de données et d’assurer la continuité de ses activités.

Prêt à protéger Microsoft 365 ? Découvrez plus en détail le leader du marché de la sauvegarde Microsoft 365.

En quoi consiste le modèle de partage des responsabilités ?

Avant de commencer, définissons ce modèle. Le modèle de partage des responsabilités est un cadre permettant d’identifier les composants et les tâches relevant de votre responsabilité dans un environnement IT. Par conséquent, ce modèle est là pour vous aider à déterminer où s’arrêtent vos obligations et où commencent celles d’un fournisseur de services.

Le rôle de Microsoft dans le modèle

En observant le modèle de près, il apparaît très clairement que les principales responsabilités de Microsoft concernant Microsoft 365 concernent l’ensemble des tâches liées à l’infrastructure principale et la résilience des services qu’il fournit pour éviter ou limiter les interruptions. Considérez Microsoft comme le sous-traitant des données.

Le rôle du client dans le modèle

Le client est propriétaire de ses données lorsqu’elles se trouvent dans Microsoft 365. C’est le service informatique du client qui est responsable de s’assurer qu’ils restent en contrôle et ont accès à leurs données stratégiques. Elle englobe toutes les données créées, stockées et partagées dans les applications et services Microsoft 365.

Comment un environnement informatique peut-il protéger tout cela ? Selon les meilleures pratiques de la protection des données, vous devez disposer d’une sauvegarde, stockée indépendamment de la source, pouvant être facilement restaurée dans les limites d’un objectif de temps de restauration (RTO) acceptable. Dans ce cas, il s’agit d’une sauvegarde des données Microsoft 365 que le service informatique du client maîtrise totalement et à laquelle il a accès, stockée séparément par l’intermédiaire d’un tiers, de manière à pouvoir les restaurer pendant tout type d’incident entraînant une perte de données.

Au cours de cet article, nous allons construire ce modèle de partage des responsabilités dans un format visuel. Dans la moitié supérieure du modèle, vous verrez les responsabilités de Microsoft en ce qui concerne son service cloud Microsoft 365 principal. Dans la moitié inférieure, nous allons remplir la responsabilité qui incombe à l’entreprise – ou plus probablement, à vous – au fur et à mesure que vous lisez.

Composants clés du modèle de partage des responsabilités

• Responsabilité principale
• Technologie sous-jacente
• Sécurité
• Réglementation

Responsabilité principale

Intéressons-nous spécifiquement à la principale responsabilité de chaque groupe. La responsabilité première de Microsoft concerne son infrastructure mondiale et son engagement vis-à-vis de millions de clients à maintenir cette infrastructure opérationnelle. Cela signifie qu’il doit constamment garantir une disponibilité fiable de ses services cloud et permettre la productivité des utilisateurs dans le monde entier.

Il incombe au service informatique de disposer d’un accès et d’un contrôle complets des données stratégiques, quel que soit leur emplacement, qu’elles résident dans le datacenter ou dans Microsoft 365. Cette responsabilité ne disparaît pas par magie, simplement parce que l’entreprise a pris la décision d’utiliser une application SaaS.

Vous pouvez voir ici la technologie sous-jacente conçue pour aider chaque groupe à assumer ses responsabilités principales. Microsoft 365 intègre des fonctionnalités de réplication des données qui permettent la géo-redondance entre datacenters pour minimiser (voire éliminer) les temps d’arrêt des applications et services Microsoft. Cette fonctionnalité est une nécessité. Par exemple, si un problème survient dans l’un de ses datacenters à travers le monde, Microsoft peut opérer un basculement vers la destination de réplication, généralement de façon totalement transparente pour les utilisateurs.

Cependant, la réplication n’est pas une sauvegarde et dans Microsoft 365, ce réplica n’est même pas VOTRE réplica : il appartient à Microsoft. Pour expliquer davantage ce point, réfléchissez une minute à cette question hypothétique sur la sauvegarde et la réplication :

De manière générale, qu’est-ce qui vous protège le mieux : une sauvegarde ou un réplica ?

J’aime poser cette question à un public en direct et observer la discussion et les idées qu’elle entraîne. Certains diront peut-être que la bonne réponse est le réplica, parce qu’une application répliquée en continu ou en quasi continu sur un deuxième site offre la redondance en cas de panne et peut éliminer les temps d’arrêt des applications. D’autres encore diront qu’une stratégie de protection des données basée uniquement sur la réplication présente des problèmes. Par exemple, les données supprimées ou altérées sont répliquées en même temps que les données saines, ce qui signifie que votre réplica inclut désormais la même suppression ou altération. Ceux de ce camp pourraient penser qu’une sauvegarde vous protège mieux, car il existe des vulnérabilités spécifiques à la perte de données contre lesquelles seule une sauvegarde peut vous protéger.

La bonne réponse à cette question piège est que vous avez besoin des deux ! Ce principe fondamental sous-tend la stratégie de protection des données de Veeam depuis plus de 15 ans. Ne cherchez plus : Veeam Backup & Replication, notre produit phare, répond à ces besoins.

Pourquoi les solutions de sauvegarde Veeam pour Microsoft 365 n’incluent-elles pas de fonctionnalités de réplication ? C’est parce ce que Microsoft s’occupe déjà de cette partie. La seule pièce manquante, c’est la sauvegarde.

Vous vous demandez peut-être : « Et pourquoi ne pas exploiter la corbeille de Microsoft 365 ? C’est une sorte de sauvegarde. ». C’est vrai, cette corbeille propose de nombreuses options pouvant aider les administrateurs et les utilisateurs à restaurer les données perdues de manière limitée et à court terme. Ces corbeilles ne représentent qu’une petite partie des stratégies de rétention plus larges de Microsoft. C’est un vaste sujet complexe qui détermine quel type de données est conservé et pendant combien de temps, en fonction de chaque service Microsoft 365. Pour ajouter une complication supplémentaire, ces paramètres peuvent être personnalisés par l’administrateur et ne suivent pas le protocole standard. Les administrateurs Microsoft 365 rencontrent souvent des difficultés à gérer et superviser ces stratégies. Nombre d’administrateurs pensent être couverts jusqu’à ce qu’ils découvrent le contraire lorsqu’il est trop tard.

Un bon exemple de cela est lorsqu’un employé quitte l’entreprise. Au bout d’un mois, ces données sont souvent supprimées définitivement. Vous vous souvenez de ce modèle compliqué de projection des revenus sur lequel Sally Smith travaillait au début de l’année ? Elle a quitté la société il y a quelques semaines et le modèle était stocké sur son disque OneDrive. Il a donc disparu. Il va falloir repartir de zéro. 

Chez Veeam, nous sommes convaincus qu’utiliser une corbeille ne suffit pas pour avoir un accès et un contrôle complets de vos données stratégiques. Il vous faut une rétention complète des données. Cela comprend la rétention à court terme et à long terme, et la capacité de combler toutes les lacunes de la stratégie de rétention avec une restauration facile pour tous les scénarios de perte de données. Vous devez également pouvoir compter à la fois sur des options de restauration granulaire, en masse et à un instant précis.

Il est également important de noter que Microsoft a récemment lancé sa propre solution de sauvegarde des données Microsoft 365 en 2024, ce qui confirme que le service Microsoft 365 lui-même n’est pas intrinsèquement protégé au sein du service cloud. Elle intègre une nouvelle technologie remarquable capable de sauvegarder et de restaurer de grands volumes de données Exchange, SharePoint et OneDrive à la vitesse de l’éclair. Veeam et Microsoft entretiennent un partenariat étroit et Veeam a été l’un des premiers fournisseurs de sauvegarde à intégrer cette nouvelle technologie dans ses produits destinés aux clients.

Sécurité

Alors que nous dévoilons la couche suivante du modèle de partage des responsabilités Microsoft 365, abordons la question de la sécurité, qui est toujours un sujet d’actualité. Vous constaterez que cet aspect est stratégiquement conçu comme une boîte mixte et non comme des boîtes séparées. En effet, Microsoft et votre service informatique sont tous deux responsables de certains aspects et doivent travailler ensemble.

Microsoft protège Microsoft 365 au niveau de l’infrastructure. Cela comprend la sécurité physique de ses datacenters et l’authentification et l’identification dans ses services cloud, ainsi que les contrôles des utilisateurs et des administrateurs intégrés dans l’interface utilisateur de Microsoft 365.

Au-delà de l’infrastructure, de nombreux dispositifs de sécurité intégrés peuvent contribuer à renforcer la cyber-résilience. Cela inclut des fonctionnalités de sécurité telles que l’authentification multifacteur (MFA), qui vérifie les utilisateurs lors d’une étape supplémentaire qui n’est pas facilement dupliquée par les attaquants. Il existe également différents types de chiffrement utilisés dans Microsoft 365 pour garantir que seules les parties autorisées peuvent accéder aux informations d’origine, telles que les fichiers sur un appareil ou en transit entre utilisateurs, comme les e-mails dans Exchange Online et les messages dans Teams. Il existe aussi des fonctionnalités proactives de détection des menaces qui aident à prévenir, détecter et répondre à une activité suspecte dans votre environnement. Microsoft utilise également un système de journalisation centralisé pour analyser les activités susceptibles d’indiquer qu’un incident de sécurité s’est produit. Bien que tous ces mécanismes de sécurité aient leurs avantages, Microsoft n’est toujours pas responsable de vos données.    

Le service informatique reste responsable de la sécurité de Microsoft 365 au niveau des données. Il existe une longue liste de risques de sécurité internes et externes, comme la suppression accidentelle, les administrateurs malveillants qui abusent de leurs accès et les ransomwares pour n’en citer que quelques-uns. Regardez cette vidéo de cinq minutes pour découvrir comment les ransomware peuvent prendre Microsoft 365 d’assaut. Il y a là de quoi vous donner des cauchemars.

De nombreuses solutions de sauvegarde ont la capacité d’améliorer de nombreuses fonctionnalités de l’infrastructure inhérente à Microsoft en étendant la prise en charge de leur environnement de sauvegarde aux organisations informatiques. Par exemple, la MFA et le chiffrement en cours de transfert et au repos sont couverts pour offrir une protection supplémentaire aux données de sauvegarde Microsoft 365.

Réglementation

Le dernier composant du modèle de partage des responsabilités Microsoft 365 consiste à réfléchir aux exigences légales et de conformité. Dans le Centre de gestion de la confidentialité de Microsoft 365, Microsoft indique très clairement que vos données vous appartiennent, et que son rôle est sous-traitant des données. Cela les pousse à mettre l’accent sur la confidentialité des données, comme en atteste leur site qui offre de nombreuses fonctionnalités et certifications pour différents secteurs pour assurer la conformité des services cloud Microsoft 365. Même si vos données se trouvent dans Microsoft 365, le service informatique d’une entreprise joue toujours le rôle de propriétaire des données. Cette responsabilité s’accompagne de tous types de pressions externes exercées par votre secteur, ainsi que d’exigences de conformité de la part des autres services (juridique, conformité ou ressources humaines).

Exemples et scénarios

Qu’arrive-t-il si vous comptez sur Microsoft pour vous acquitter d’une responsabilité qui vous incombe ? Microsoft offre des filets de sécurité en cas d’incident de perte de données (suppression accidentelle ou attaque par ransomware, par exemple). Toutefois, ces mesures sont destinées à des besoins liés à la perte de données à court terme ou à des outils de conformité tels que la conservation à des fins juridiques, qui rendent très difficile de restaurer exactement ce dont vous avez besoin. Si vous choisissez de vous reposer sur Microsoft pour récupérer vos données perdues, vous n’avez en réalité aucune garantie quant à leur restitution ni quant au moment où elle sera possible. C’est pourquoi il est si important de prendre votre rôle de propriétaire des données au sérieux. Lorsque vous disposez d’un accès et d’un contrôle complets de vos propres données Microsoft 365 stockées par un tiers, vous avez le pouvoir de les restaurer quand bon vous semble.

Avantages et défis

Le modèle de partage des responsabilités offre aux entreprises l’avantage de connaître exactement les obligations et les tâches dont la responsabilité leur incombe réellement, ainsi qu’à leur service informatique. Le risque est de ne pas prendre vos responsabilités au sérieux. Bien que connaissant leurs responsabilités vis-à-vis des données Microsoft 365 dans le cadre de ce modèle, les entreprises sont encore nombreuses à être tentées de se convaincre elles-mêmes de les minimiser par rapport à la réalité.

Meilleures pratiques de mise en œuvre du modèle

La première étape pour mettre en œuvre efficacement le modèle de partage des responsabilités en tant que propriétaire des données Microsoft 365 consiste à s’assurer que vos données sont protégées par un tiers qui assure que votre sauvegarde est séparée de sa source. Mais pour cela, il faut plus qu’une simple solution de sauvegarde. Vous devez pouvoir personnaliser votre sauvegarde et bénéficier d’une restauration flexible et de puissantes fonctionnalités de recherche, qui sont des atouts indispensables à votre activité.

La réponse de Veeam

Maintenant, vous devriez mieux comprendre ce que Microsoft couvre exactement au sein de Microsoft 365 et pourquoi ils font ce qu’ils font. Sans sauvegarde de Microsoft 365, vous disposez d’un accès et d’un contrôle limités de vos propres données, et vous pouvez être victime des lacunes de votre stratégie de rétention et de dangers liés aux pertes de données. Vous vous exposez également à de sérieux risques de sécurité internes et externes, ainsi qu’à des sanctions réglementaires. Malgré l’essor des solutions tierces de sauvegarde Microsoft 365, une enquête révèle un chiffre surprenant : 71 % des entreprises ne sont toujours pas protégées. 

Vous cherchez une solution de sauvegarde Microsoft 365 simple et conviviale ?

Vous l’avez trouvée : nous sommes leader du marché. Chez Veeam, vous avez deux options principales pour protéger Microsoft 365 :

• Veeam Data Cloud for Microsoft 365 est notre nouveau service de sauvegarde et la solution qui enregistre la plus forte croissance dans l’histoire de Veeam. Avec un service de sauvegarde, l’infrastructure et les mises à jour sont gérées par Veeam pour votre compte et le stockage cloud illimité est inclus, mais vous pouvez toujours créer vos propres sauvegardes et effectuer vos restaurations. Veeam Data Cloud est également intégré à la solution de sauvegarde de Microsoft pour offrir des vitesses de sauvegarde et de restauration ultrarapides pour de grands volumes de données Microsoft 365, sans limitation.
• Veeam Backup for Microsoft 365 est un logiciel de sauvegarde autogéré que vous pouvez télécharger et déployer dans votre propre infrastructure. Vous pouvez choisir n’importe quel stockage, et créer vos propres sauvegardes et effectuer vos restaurations.

Veeam est non seulement leader du Magic Quadrant de Gartner, mais aussi classé au premier rang pour sa capacité d’exécution pour la cinquième fois. Essayez Veeam et voyez par vous-même !

Contenus associés

• Article de blog : Guide de la solution de sauvegarde nº 1 pour Microsoft 365
• Rapport spécial de Veeam : 7 raisons cruciales de sauvegarder Microsoft 365
• Article :  45 options de restauration de Microsoft 365 avec Veeam
• GRATUIT pendant 30 jours :  Veeam Backup for Microsoft 365
• Community Edition : Veeam Backup for Microsoft 365 Community Edition