2 Les grandes banques, les assureurs et d’autres institutions financières gèrent de plus en plus la sauvegarde comme le ferait un fournisseur de services : un service interne exploité de manière centralisée, avec un catalogue, des niveaux de service et un prix. Les métiers et les équipes applicatives consomment la protection auprès de ce service au lieu d’acheter leur propre stockage de sauvegarde, et le coût leur est réimputé par showback ou refacturation interne (chargeback). Bien mené, un service interne de sauvegarde avec refacturation réduit les infrastructures en double, rend les décisions de conservation visibles et donne à l’institution une réponse unique et cohérente lorsque les régulateurs demandent comment les données sont protégées et restaurées. Cet article explique comment les institutions financières structurent un service interne de sauvegarde, comment fonctionnent les modèles de refacturation, ce qui détermine le coût par téraoctet et comment les exigences réglementaires orientent la conception. Beaucoup de ces idées s’appliquent à toute grande organisation exploitant une infrastructure partagée. Pourquoi les banques passent à un service interne de sauvegarde Dans les grandes institutions financières, la sauvegarde s’est historiquement développée en silos. Chaque division, région ou entité acquise a acheté ses propres logiciels et son propre stockage, fixé ses propres durées de conservation et testé ses restaurations à son rythme. Le résultat est prévisible : plusieurs produits de sauvegarde, une immuabilité inégale, des îlots de stockage aux taux d’utilisation différents et aucune vision unique de ce qui est protégé. Passer à un service interne répond à plusieurs pressions à la fois : Résilience face aux ransomwares. Un service central peut imposer partout l’immuabilité, l’isolement et les tests de restauration, et pas seulement dans les divisions qui en avaient fait une priorité. Cohérence réglementaire. Les régulateurs attendent des politiques de sauvegarde documentées, des objectifs de reprise définis et des preuves de tests de restauration pour l’ensemble des services critiques. Transparence des coûts. Les décisions de conservation et de copies prises par les responsables d’applications déterminent le coût du stockage, mais dans un modèle en silos ils voient rarement la facture. Économies d’échelle. Une grande plateforme coûte généralement moins cher par téraoctet à exploiter que de nombreuses petites. Le paysage du stockage dans les services financiers est présenté plus largement dans les solutions de stockage pour les services financiers. Concevoir le catalogue de services Le catalogue est ce que voient les équipes applicatives. Il transforme les options techniques en un petit nombre de choix clairs. Un catalogue interne de sauvegarde type définit des niveaux selon l’objectif de reprise et la durée de conservation : Niveau 1, services critiques. Sauvegardes fréquentes, objectif de point de reprise court, copies immuables, seconde copie dans un autre lieu et restauration prioritaire. Niveau 2, services importants. Sauvegardes quotidiennes, conservation immuable pendant une durée définie, priorité de restauration standard. Niveau 3, services standard. Sauvegardes quotidiennes ou hebdomadaires avec conservation standard. Conservation longue durée. Copies mensuelles ou annuelles conservées pour des raisons réglementaires ou juridiques, rarement restaurées. Chaque niveau précise ce qu’il inclut : fréquence des sauvegardes, durée de conservation, période d’immuabilité, nombre et emplacement des copies, objectifs de délai de restauration et fréquence des tests. Les responsables d’applications choisissent un niveau pour chaque système, souvent à l’aide d’une analyse d’impact métier. Un catalogue court évite les demandes sur mesure sans fin. Showback ou refacturation Les institutions passent généralement par plusieurs étapes. Showback L’équipe sauvegarde communique à chaque métier sa consommation et un coût estimé, sans transfert budgétaire. Le showback sensibilise et fait ressortir les cas atypiques, comme des applications qui conservent bien plus de données que la politique ne l’exige, sans les frictions d’une facturation interne. Refacturation (chargeback) Les coûts sont imputés aux budgets des métiers en fonction de leur consommation. La refacturation incite réellement à choisir le bon niveau et la bonne durée de conservation, mais elle exige un comptage précis, un tarif que les équipes jugent équitable et une procédure de contestation. Modèle hybride De nombreuses banques financent un socle de manière centralisée, par exemple la protection minimale que chaque système doit avoir, et refacturent tout ce qui va au-delà, comme une conservation plus longue, des copies supplémentaires ou des niveaux supérieurs. La protection obligatoire ne peut ainsi pas être réduite pour faire des économies, tandis que les options restent tarifées. Construire le tarif Un tarif interne doit reposer sur le coût complet d’exploitation du service, réparti sur ce qui est réellement consommé. Ses composantes sont : Les licences et le support des logiciels de sauvegarde. Le matériel de stockage de sauvegarde, le surcoût de protection et le renouvellement, amortis sur la durée de vie. L’espace en centre de données, l’énergie et le réseau. Le personnel chargé de l’exploitation, de l’assistance à la restauration et des tests. Le site secondaire et les copies hors ligne ou isolées. La marge de croissance et les données immuables qui ne peuvent pas être libérées par anticipation. Les tarifs sont couramment exprimés par téraoctet protégé et par mois, par téraoctet stocké et par mois ou par système protégé, parfois en combinant ces unités. Publiez le tarif avant le cycle budgétaire, maintenez-le pendant l’année et révisez-le chaque année. Les méthodes sont proches de la tarification des fournisseurs externes, présentée dans la tarification du stockage pour les fournisseurs de services, et les composantes de coût sont détaillées dans le coût du stockage par téraoctet (en anglais). Rendre visibles les coûts de conservation La conservation est généralement le premier facteur de coût du stockage de sauvegarde. Sans refacturation, le choix le plus simple pour un responsable d’application est de tout garder le plus longtemps possible. Avec la refacturation, chaque année de conservation supplémentaire a un prix visible. Le blog ARTESCA aborde ce sujet dans le coût d’une année de conservation supplémentaire (en anglais). Les changements de conservation produisent aussi leurs effets avec retard. Raccourcir la conservation ne libère pas immédiatement de capacité, en particulier pour les données immuables verrouillées jusqu’à leur date d’échéance. L’article sur les changements de conservation des sauvegardes (en anglais) explique pourquoi. Les rapports de refacturation doivent montrer à la fois la consommation actuelle et la consommation future engagée pour les données verrouillées. Comptage et reporting La refacturation n’est crédible que si les données de consommation sont exactes et attribuables. En pratique, il faut : Étiqueter chaque système protégé avec un centre de coûts et un responsable dans la base de gestion des configurations (CMDB). Séparer par locataire ou par métier sur le stockage de sauvegarde, par exemple avec des comptes ou des buckets distincts, pour mesurer directement la consommation. Échantillonner régulièrement la capacité stockée plutôt que de se fier à un seul relevé de fin de mois. Fournir des rapports qui expliquent la facture par système, niveau et durée de conservation, afin que les responsables puissent agir. Traiter les exceptions pour les systèmes sans responsable, qui se révèlent souvent candidats au décommissionnement. Une plateforme de stockage qui prend en charge nativement le multi-locataire facilite grandement cette démarche. Les facteurs réglementaires La réglementation façonne à la fois le catalogue et les preuves que le service doit produire. Dans l’Union européenne, le règlement sur la résilience opérationnelle numérique (DORA), applicable depuis le 17 janvier 2025, impose aux entités financières de disposer de politiques et procédures de sauvegarde ainsi que de méthodes de restauration et de rétablissement dans le cadre de la gestion du risque lié aux TIC, y compris des tests de sauvegarde et de restauration. D’autres juridictions fixent des attentes similaires par le biais d’orientations prudentielles et d’inspections. Pour un service interne de sauvegarde, cela implique : Des politiques documentées qui associent chaque niveau à des objectifs de reprise. La preuve de tests de restauration réguliers, avec enregistrement des résultats. La séparation des copies de sauvegarde et des systèmes de production, y compris par isolement logique ou physique. Une responsabilité clairement définie sur les données de sauvegarde des fonctions critiques ou importantes. Les recommandations du blog scality.com sur les exercices de reprise après ransomware (en anglais) et le guide Solved sur les tests de vérification des sauvegardes (en anglais) expliquent comment mener et documenter ces tests. La plateforme de stockage derrière le service Un service interne partage de nombreuses exigences avec un fournisseur externe : multi-locataire, immuabilité, évolutivité et exploitation efficace. Les exigences courantes envers la plateforme sont : Un pool unique et évolutif qui grandit par ajout de nœuds plutôt que par ajout de baies séparées pour chaque division. La prise en charge de plusieurs applications de sauvegarde, car peu de banques consolident sur un seul produit du jour au lendemain. L’immuabilité par Object Lock pour des copies résistantes aux ransomwares. La réplication vers un second site et une copie isolée ou air-gapped (en anglais) pour les données critiques. Des comptes, quotas et rapports par métier pour soutenir la refacturation. Un renouvellement matériel sans migration, car les données de sauvegarde des entreprises réglementées peuvent être conservées de nombreuses années. Le stockage objet compatible S3 est un socle courant, car la plupart des applications de sauvegarde d’entreprise peuvent y écrire directement et il offre multi-locataire et immuabilité sur une seule plateforme. Obtenir l’adhésion La partie la plus difficile est souvent organisationnelle. Des métiers habitués à gérer leur propre sauvegarde peuvent résister à un service central. Plusieurs approches aident : commencer par le showback, proposer une trajectoire de migration qui n’impose pas le remplacement immédiat des outils existants, démontrer de meilleurs résultats de restauration que les silos et associer tôt les équipes risques et audit pour que le service devienne la voie naturelle vers la conformité. Une restauration réussie et visible lors d’un incident fait plus pour l’adhésion que n’importe quelle présentation. Check-list : refacturation d’un service interne de sauvegarde Inventorier les produits de sauvegarde, le stockage et les durées de conservation existants dans toutes les divisions. Définir un catalogue court de niveaux associés aux objectifs de reprise et aux durées de conservation. Choisir entre showback, refacturation ou modèle hybride avec un socle financé centralement. Construire un tarif en coût complet et le publier avant le cycle budgétaire. Étiqueter chaque système protégé avec un responsable et un centre de coûts. Séparer la consommation par métier sur la plateforme de stockage. Faire apparaître dans les rapports le coût futur engagé pour les données immuables. Mettre en correspondance politiques et preuves de tests avec les exigences réglementaires comme DORA. Choisir une plateforme évolutive et multi-locataire, avec immuabilité et réplication. Réviser chaque année les tarifs, les niveaux et l’adhésion. En résumé Un service interne de sauvegarde avec refacturation permet à une institution financière de traiter la protection des données comme un produit géré : des niveaux cohérents, une immuabilité imposée, des tests documentés et des coûts qui reviennent aux équipes qui décident de la conservation. La technologie n’en est qu’une partie. Un catalogue clair, un tarif équitable, un comptage précis et l’implication précoce des équipes risques et audit sont ce qui fait adopter le service. Pour la version fournisseur externe du même modèle, consultez la sauvegarde as a service pour les fournisseurs. Questions fréquentes Quelle est la différence entre showback et refacturation ? Le showback communique la consommation et un coût estimé sans transfert budgétaire. La refacturation impute le coût réel aux budgets des métiers en fonction de leur consommation. Comment les banques calculent-elles un tarif interne de sauvegarde ? Elles additionnent les coûts des logiciels, du stockage, des installations, du personnel, des copies secondaires et du renouvellement, les divisent par la capacité consommée ou le nombre de systèmes protégés, puis révisent le tarif chaque année. DORA impose-t-il de tester les sauvegardes ? DORA impose aux entités financières de disposer de politiques et procédures de sauvegarde et de restauration et de les tester dans le cadre de la gestion du risque lié aux TIC. Consultez le règlement et les orientations prudentielles pour les détails. Faut-il refacturer la sauvegarde obligatoire ? De nombreuses institutions financent centralement la protection de base pour qu’elle ne puisse pas être réduite, et refacturent les options comme une conservation plus longue ou des niveaux supérieurs. Quel stockage convient à un service interne de sauvegarde ? Une plateforme évolutive et multi-locataire qui prend en charge plusieurs applications de sauvegarde, l’immuabilité, la réplication et le reporting par métier. Le stockage objet compatible S3 est un choix courant. Pour aller plus loin La sauvegarde as a service pour les fournisseurs Tarification du stockage pour les fournisseurs de services Solutions de stockage pour les services financiers Stockage objet multi-locataire (en anglais) Tests de vérification des sauvegardes (en anglais)
