Mise en place d’une rotation de sauvegardes selon la méthode GFS : un tutoriel simple et efficace

Mettre en place une politique de sauvegarde ne consiste pas seulement à « faire une copie » de vos fichiers. Il faut déterminer combien de points de restauration conserver, pendant combien de temps, où les stocker, comment garantir leur exploitabilité en cas d’incident et comment éviter que l’espace disque, les temps de traitement ou la facture cloud ne deviennent ingérables. La méthode GFS (Grandfather-Father-Son) est une approche éprouvée en entreprise : elle organise une rotation journalière, hebdomadaire et mensuelle pour concilier profondeur d’historique, simplicité opérationnelle et maîtrise des coûts, à condition de l’aligner sur vos objectifs de reprise et vos contraintes de sécurité.

La méthode GFS, expliquée simplement

La logique GFS repose sur trois niveaux de sauvegardes conservées selon des durées différentes. Les « Son » correspondent aux sauvegardes quotidiennes, utiles pour revenir rapidement à une version très récente. Les « Father » sont les sauvegardes hebdomadaires, généralement prises un jour fixe, qui fournissent des points de restauration plus stables sur plusieurs semaines. Les « Grandfather » sont les sauvegardes mensuelles, souvent la dernière sauvegarde du mois, destinées à constituer un historique long, notamment pour l’audit, la conformité ou la récupération après incident majeur.

L’idée essentielle n’est pas seulement de multiplier les copies, mais de gérer un écrasement contrôlé : on remplace fréquemment les quotidiens, moins souvent les hebdomadaires, et encore moins souvent les mensuels, ce qui crée des jalons lisibles dans le temps. Cette lisibilité est précieuse quand il faut restaurer sous pression et choisir rapidement le bon point.

Exemple concret de rotation GFS (modèle prêt à appliquer)

Un schéma courant, adapté à une petite ou moyenne entreprise, consiste à conserver sept sauvegardes quotidiennes (J-0 à J-6), quatre sauvegardes hebdomadaires (les quatre dernières semaines) et douze sauvegardes mensuelles (douze mois glissants). Concrètement, chaque jour vous produisez un point quotidien ; le jour choisi de la semaine, le point du jour est conservé comme hebdomadaire ; à la fin du mois, le point du jour est conservé comme mensuel. Cette mécanique rend la restauration intuitive : on repart d’un mensuel si l’on cherche un état ancien, puis on affine avec l’hebdomadaire et enfin le quotidien.

Un point technique mérite d’être vérifié avant de valider votre capacité de stockage. Selon l’outil, le point « promu » en hebdo ou en mensuel peut n’être qu’un marquage logique du même jeu de données, ou au contraire déclencher la création de jeux distincts. La différence est majeure sur l’espace consommé, mais aussi sur les durées de sauvegarde et de réplication.

Choisir la bonne fréquence et la bonne rétention (les questions à se poser)

Avant d’automatiser, une rotation GFS doit être alignée sur deux notions structurantes. Le RPO (perte de données acceptable) indique jusqu’où vous pouvez « remonter dans le temps » sans mettre l’activité en danger : si une journée de travail perdue est inacceptable, un simple quotidien ne suffit pas et il faut prévoir des sauvegardes plus fréquentes, des incrémentales plus serrées ou des mécanismes applicatifs (par exemple journaux de bases de données) qui réduisent le point de perte. Le RTO (délai de reprise) détermine à quelle vitesse vous devez restaurer : plus il est exigeant, plus le support, l’architecture et le type de restauration comptent, car restaurer un fichier isolé n’a pas le même impact que remettre en route une VM complète ou un serveur « bare-metal ».

Il faut également considérer les volumes et la croissance : la taille totale n’est pas le seul facteur, le taux de changement quotidien détermine la taille réelle des incrémentaux, la durée de la fenêtre de sauvegarde et le coût des rétentions longues. Enfin, les contraintes légales ou métier peuvent imposer des rétentions de plusieurs années. Dans ce cas, il est pertinent d’ajouter une conservation long terme, souvent annuelle, et de prévoir des mécanismes d’immutabilité (WORM/Object Lock) pour se protéger à la fois des exigences de conformité et des scénarios de ransomware.

Une approche pragmatique consiste à démarrer avec un 7/4/12, puis à ajuster sur données réelles après quelques semaines : fréquence des restaurations, volume des deltas, saturation des fenêtres de sauvegarde, latence de réplication et coûts de stockage.

Mise en place pratique avec des outils accessibles

La méthode GFS est largement supportée, mais elle n’a de sens que si l’outil et l’architecture garantissent la cohérence et la restaurabilité. Il faut une planification fiable, une rétention automatique, une gestion de la cohérence applicative pour éviter des sauvegardes « réussies mais inutilisables » (VSS, agents, app-aware selon les cas), une supervision exploitable (journaux, alertes, rapports) et des procédures de restauration simples, testées et reproductibles.

Option A : NAS + logiciel de sauvegarde (cas très courant en PME)

Un scénario fréquent est de sauvegarder postes et serveurs vers un NAS en local, puis de répliquer ou copier hors site vers un second NAS, une bande, un support chiffré ou un stockage cloud. Cette approche reste pertinente si l’on retient un principe non négociable : le NAS local ne doit pas être l’unique copie. Un ransomware, une compromission d’identifiants ou une mauvaise configuration peuvent chiffrer ou supprimer la cible locale si elle est accessible depuis la production.

La mise en sécurité passe par des droits stricts et dédiés à la sauvegarde, une séparation des comptes, une limitation des accès réseau lorsque possible, et l’usage de cibles durcies ou immuables quand la technologie le permet (snapshots verrouillés, dépôt hardened, Object Lock). Pour comprendre les bases d’une sauvegarde vers disque externe ou NAS et la logique de restauration, vous pouvez consulter cet article interne : comment fonctionne une solution de sauvegarde sur disque externe ou NAS.

Option B : Outil orienté « snapshots »/versions (idéal pour fichiers)

Pour des partages de fichiers, les snapshots offrent un excellent confort d’exploitation. Ils permettent de récupérer rapidement un fichier supprimé ou écrasé, de revenir avant une erreur utilisateur et d’économiser de l’espace grâce aux mécanismes de type copy-on-write. Il est possible de construire une rotation GFS avec des snapshots quotidiens, hebdomadaires et mensuels, mais un point doit être clarifié : un snapshot qui reste sur le même stockage n’est pas une sauvegarde complète au sens « reprise après sinistre ». Une suppression malveillante, un chiffrement au niveau du stockage, une corruption ou une perte matérielle peuvent rendre snapshots et données indisponibles en même temps. Pour que l’approche soit robuste, il faut une réplication hors site, idéalement vers un domaine d’administration différent, ou une exportation vers un stockage de sauvegarde indépendant et protégé.

Automatiser sans se tirer une balle dans le pied (bonnes pratiques)

L’automatisation est indispensable, mais elle doit rester « opérable » en situation de crise. Des conventions de nommage claires évitent les erreurs au moment critique, surtout lorsque plusieurs jeux coexistent entre quotidien, hebdo et mensuel. Le chiffrement est essentiel pour toute copie hors site ou cloud, à condition que la gestion des clés et la procédure de récupération soient documentées et testées. La règle 3-2-1 reste un cadre simple et efficace : disposer de trois copies, sur deux supports différents, dont une hors site, et si possible une copie réellement difficile à altérer. Pour cadrer ces pratiques au niveau « bon sens cyber », une ressource utile est le NIST Cybersecurity Framework : https://www.nist.gov/cyberframework.

La protection contre la suppression doit être pensée comme une exigence de sécurité, pas comme une option. L’immutabilité, la séparation des comptes et la limitation des droits sont souvent plus déterminantes que le choix du logiciel. Enfin, une supervision active est non négociable : alertes, rapports et contrôles réguliers, car une sauvegarde non surveillée finit presque toujours par échouer le jour où elle devient vitale.

Tester la restauration et vérifier l’intégrité (l’étape que beaucoup oublient)

Un journal « succès » ne garantit pas qu’une restauration fonctionnera. La sécurité réelle d’un GFS se mesure à la capacité à restaurer, rapidement et proprement, dans les conditions attendues. Il est pertinent d’effectuer chaque mois des restaurations de fichiers depuis un point quotidien, hebdomadaire et mensuel afin de valider toute la chaîne, y compris la rétention. Après toute modification significative, comme une mise à jour applicative, une migration ou un changement de droits, il faut refaire un test, car ce sont précisément ces changements qui introduisent les ruptures silencieuses.

La vérification d’intégrité doit s’appuyer sur les mécanismes fournis par l’outil, comme la validation d’archives, les contrôles de hash ou les comparaisons, mais elle doit aussi inclure des scénarios proches du réel. Restaurer sur une machine isolée ou en environnement de préproduction permet de mesurer le RTO effectif, pas seulement la réussite technique. L’objectif final est simple : pouvoir répondre sans hésitation à la question qui compte vraiment, « si nous devons restaurer aujourd’hui, est-ce que cela marche et en combien de temps ? ».

Checklist rapide « GFS en production »

Une rotation doit être définie et documentée, avec des fréquences cohérentes avec le RPO et le RTO. Les supports doivent être identifiés, en incluant une copie hors site et, idéalement, une copie isolée ou immuable. La rétention automatique doit être activée et le comportement de promotion quotidien vers hebdo puis mensuel doit être validé dans l’outil. Le chiffrement doit être en place avec une gestion des clés maîtrisée. Les alertes et la supervision doivent être opérationnelles, et des tests de restauration planifiés, incluant périodiquement un scénario proche d’un incident réel. Enfin, la documentation d’urgence doit permettre, même en absence des personnes clés, de savoir où sont les sauvegardes, qui a les accès et comment restaurer sans improviser.

En synthèse, la méthode GFS est pertinente et largement suffisante pour structurer une politique de rétention, mais elle n’a de valeur que si elle est adossée à trois actions clés : aligner la fréquence sur le RPO et le RTO, protéger les sauvegardes contre l’altération via une copie hors site et idéalement immuable, et prouver régulièrement la restaurabilité par des tests concrets. C’est cet ensemble, et non la rotation seule, qui transforme une « sauvegarde » en véritable capacité de reprise.