Non. Le critère « 1 » de la stratégie 3-2-1 vise la conservation d’une copie hors site, c’est-à-dire dans un emplacement physique distinct de celui des données de production, ou hors ligne, c’est-à-dire non connectée au réseau. 
Le stockage d’une sauvegarde dans un autre espace du même bâtiment ne permet pas de répondre à l’exigence « hors site ». En revanche, le stockage d’une sauvegarde dans un coffre ignifugé dans un autre local du même bâtiment permet de répondre à l’exigence « hors ligne ». 

Au moins un des tests menés doit concerner un environnement de production.

Celui-ci doit concerner un système dont la criticité pour l’activité de l’établissement est établie.

Le Domaine 2 porte sur le périmètre sanitaire. A ce titre, les candidats GHT n’ont aucune obligation d’intégrer les établissements médico-sociaux dans le cadre des travaux conduits en réponse aux différents objectifs bien que cela puisse être recommandée en vue de renforcer la résilience globale du candidat. 

La totalité des établissements sanitaires du GHT doivent être couverts par la gouvernance de contrôle de la réalisation des sauvegardes, et non uniquement les 66% d’activité combinée 

Pour rappel, les candidats doivent définir une trajectoire de mise en œuvre du 3-2-1 mais son opérationnalisation n’est pas attendue dans le cadre de l’objectif D2.O3.C. Ainsi, les candidats ne sont pas tenus de soumettre des preuves relatives à l’immuabilité des copies. 

Il est rappelé que l’immuabilité est obtenue par la concomitance de plusieurs dispositifs. A titre d’exemple, les situations suivantes ne permettent pas de garantir une immuabilité des copies : une procédure organisationnelle sans justification technique, un support en coffre-fort sans verrouillage logiciel ou matériel, une sauvegarde externalisée mais modifiable (pas de WORM / Object Lock). 
L'établissement doit donc s’engager dans une trajectoire associant une contrainte technique en complément de contrainte organisationnelle afin d’empêcher toute altération prématurée. 

Autres questions : la restauration doit-elle être réalisée dans un environnement isolé ou est-il attendu de restaurer l’environnement de production ? Les équipes métier doivent-elles faire une recette de validation de la restauration ? Un exercice de terrain simultané doit-il être conduit pendant ce test ? 

Pour rappel, la validation de l'objectif D2.04 repose sur la réalisation de tests techniques portant sur la restauration d'une VM ou d'une base de données, et ce avec au moins un test conduit sur des données de production et pour un système outillant une activité critique.

Il n'est pas attendu de réaliser un effacement des données de production ou tout autre action pouvant impacter la continuité d'activité ou la conservation des données : ainsi, la restauration peut être réalisée sur un environnement isolé.
Le candidat est par exemple invité à réaliser la restauration de sa base de données de production sur un environnement de qualification ou de formation. Dans le cas où les espaces de stockage disponibles ne permettent pas une restauration complète de l’environnement, une restauration partielle peut être envisagée.

Le candidat est invité à la plus grande vigilance dans la préparation de ce test, et notamment dans la revue des fichiers de paramétrage ou scripts utilisés, pour garantir que la réalisation de ce test n’ait pas d’impact sur l’environnement de production du système ou les environnements de production de systèmes connexes.

Il est attendu qu'un correspondant métier soit identifié pour la réalisation de tests fonctionnels, néanmoins la réalisation de ces tests n'est pas objectivée. Aussi, les tests de restauration ne doivent pas nécessairement inclure une recette métier ou être accompagnés d'un test terrain mais cela est recommandé.
 

Une réplication n'est pas une sauvegarde dans la mesure où elle reproduit immédiatement toute modification ou corruption. Elle ne permet donc de revenir à un état antérieur. 
Le 3-2-1, exige des copies indépendantes du système de production, la possibilité de restaurer un état antérieur, d’être stockée sur un support distinct, d’être immuable et ne pas être automatiquement modifié par les opérations de production.  Aussi, la mise en place d’un système de réplication ne permet pas de répondre aux objectifs du domaine et ne constitue pas une dépense éligible. 

La règle 3-2-1 n'est pas garantie si les copies sont réalisées sur une même technologie altérable, en ce qu’elle repose sur la diversité effective des mécanismes de sauvegarde. Le candidat doit démontrer l'existence d'au moins 2 supports réellement différents, d'une copie immuable et d'au moins une copie hors site / hors ligne.  Ainsi la présence d'un site de secours ou d'un cloud ne suffit pas si les 3 copies reposent sur des solutions modifiables ou exposées aux mêmes risques. Les candidats doivent démontrer la complémentarité des supports et la robustesse de son schéma face aux cyberattaques. 

Non, il n’est pas requis, dans le cadre de l’objectif D2.O3.C, que l’immuabilité soit forcément assurée sur la copie hors site / hors ligne.

Les contrats de service sont obligatoires uniquement dans le cadre de l'objectif D2.O3.C, relatif à une externalisation de l'hébergement.  
Néanmoins et pour les objectifs D2.O2.B, D2.O3.B et D2.O3.D, les Contrats de Niveau de Service (CNS/SLA) ne sont pas explicitement attendus mais peuvent être utilisés comme preuves alternatives lorsque les documents préférentiellement attendus (i.e. calendrier de sauvegarde, extrait de PAS, procédures de gestion des incidents) ne sont pas disponibles.  

Non. Les audits ne font pas partie des objectifs du programme et ne sont donc pas éligibles à un financement. Elles constituent une réponse à un besoin global de continuité et de reprise d'activité mais n'agissent pas directement sur les capacités opérationnelles du candidat et l’atteinte des objectifs du domaine 2.  

Le candidat doit soumettre la procédure existante d’isolement ou d’arrêt des serveurs de sauvegarde.

Le choix du mode de cloisonnement mis en œuvre pour les infrastructures sauvegardes est laissé au choix du candidat.

Le candidat devra soumettre le schéma technique et fonctionnel permettant de présenter la solution, qui devra garantir une capacité technique d’isolation en cas d’incident.

Non, l’atteinte de l’objectif repose sur la mise en œuvre d’un système d’authentification sécurisé et indépendant pour l’accès aux infrastructures de sauvegarde. Le candidat est libre du choix de la solution mise en œuvre pour atteindre cet objectif, qui peut reposer sur un active directory dédié comme sur des comptes locaux.µ

Dans le cas où un active directory dédié est mis en œuvre, un niveau supérieur ou égale à 3 doit être obtenu à l’audit ADS réalisé en fin de phase opérationnelle.

L’intégration, via API, des rapports de sauvegarde dans un outil de supervision avec génération automatique d’alertes répond à ces attendus : il s’agit bien d’une supervision centralisée et automatisée des sauvegardes.
 

L’objectif D2.03 est composé de trois sous-objectifs : il est attendu que le candidat mette en œuvre une authentification sécurisée pour les infrastructures de sauvegarde, qu’il s’inscrive dans une trajectoire pour un cloisonnement de son infrastructure de sauvegarde ainsi que pour la mise en œuvre du 3-2-1.

Ainsi, pour l’objectif D2.03.A, le candidat devra avoir mis en œuvre des dispositions garantissant une authentification sécurisée pendant la phase opérationnelle afin de pouvoir justifier l’atteinte de l’objectif. Pour les sous objectifs D2.03.B et D2.03.C, il est attendu que le candidat s’inscrive dans une démarche, ainsi, il n’est pas attendu que le projet soit entièrement mis en œuvre avant la fin de la phase opérationnelle. À titre d’illustration, des documents justificatifs des travaux engagés ainsi qu’un schéma technico-fonctionnel détaillant l’architecture et la matrice des flux techniques à l’état actuel et à la cible peuvent être soumis.

En revanche, seules les dépenses effectivement engagées durant la phase opérationnelle seront éligibles à une subvention.