La bande magnétique a-t-elle encore un rôle

Poser la question en termes de support conduit à une impasse. Elle se pose correctement en termes de rôle : quelle copie sert à la reprise rapide, quelle copie sert à la conservation longue, et quelle copie doit rester hors d'atteinte d'un attaquant disposant des identifiants d'administration. La bande ne répond bien qu'à la deuxième et à la troisième, mais elle y répond mieux que tout le reste.

Les chiffres de la génération courante

La génération actuellement déployée stocke dix-huit téraoctets de données non compressées par cartouche, environ quarante-cinq téraoctets avec la compression matérielle annoncée, pour un débit natif de l'ordre de quatre cents mégaoctets par seconde. La feuille de route publiée par le consortium qui pilote le format prévoit un doublement à chaque génération, avec une compatibilité de lecture limitée à la génération précédente, point qui a son importance pour les archives anciennes.

La durée de conservation annoncée par les fabricants se situe autour de trente ans en conditions d'entreposage contrôlées, ce qui n'a d'équivalent sur aucun autre support courant. Cette longévité ne dispense pas de migrer : au bout de deux générations, il faut réécrire l'archive sur un format lisible, sous peine de conserver des cartouches qu'aucun lecteur disponible ne peut relire.

Le seuil d'amortissement

La bande coûte peu par téraoctet conservé mais cher à l'entrée : un lecteur, ou une librairie robotisée si l'on veut automatiser, plus le logiciel qui sait la piloter. Ce coût fixe doit être amorti sur le volume conservé. En dessous d'une cinquantaine de téraoctets de rétention longue, l'arithmétique reste défavorable et un stockage objet en classe froide fait mieux. Au-delà de quelques centaines de téraoctets conservés plusieurs années, la bande reprend l'avantage de façon nette, d'autant qu'elle ne consomme aucune énergie une fois la cartouche sortie.

Un poste échappe souvent au calcul : le coût de sortie. Rapatrier un volume important depuis une plateforme distante se facture au gigaoctet, en une fois, au moment le plus défavorable. Nous avons chiffré cet effet dans notre méthode pour lire une facture cloud à l'envers. Une cartouche, elle, se transporte dans une sacoche.

L'argument qui n'a pas d'équivalent

Une cartouche rangée dans un coffre n'est reliée à rien. Aucune console d'administration ne peut l'effacer, aucun compte compromis ne peut en réduire la rétention, aucune erreur de politique ne peut la supprimer. C'est le seul mécanisme de la chaîne de sauvegarde dont la garantie ne repose pas sur un logiciel.

Cet argument a pris toute sa force avec l'évolution des attaques, qui visent la console de sauvegarde avant les postes de travail. Nous en décrivons la chronologie dans notre analyse des rançongiciels qui s'attaquent d'abord aux sauvegardes. Le verrouillage logiciel de conservation apporte une protection comparable dans son intention, mais il dépend d'une configuration correcte et d'un fournisseur qui tient sa promesse, ce que nous détaillons dans notre relecture de la règle 3-2-1 à l'heure de l'immuabilité.

Le point faible, et comment il se planifie

La bande est séquentielle. Retrouver un fichier précis suppose de charger la cartouche, de positionner la bande, puis de lire jusqu'à l'emplacement voulu, ce qui se compte en minutes et non en secondes. Sur une remontée complète, le débit soutenu est bon, à condition que la source alimente le lecteur assez vite : un flux trop lent provoque des arrêts et redémarrages du mécanisme qui dégradent fortement le débit réel et usent le matériel.

La conséquence pratique est qu'une architecture correcte place presque toujours un étage disque devant la bande : le disque sert à la reprise rapide et à la mise en forme des flux, la bande sert à la conservation et à la déconnexion. Les objectifs de reprise doivent en tenir compte, et c'est un des cas où le support impose un plancher, comme nous l'expliquons dans notre analyse de RPO et RTO chiffrés avec les métiers.

Les gestes d'exploitation à ne pas négliger

Trois habitudes distinguent une bibliothèque de cartouches saine d'un stock d'archives illisible. Le nettoyage périodique du lecteur, imposé par le compteur d'heures et non par le calendrier. La vérification par relecture d'un échantillon tournant, qui se planifie exactement comme un exercice de restauration, sujet traité dans nos notes sur le test de restauration trimestriel. Et la tenue d'un registre des sorties de coffre, avec la date et la personne, seule façon de savoir où se trouve physiquement une archive.

L'entreposage compte autant que le support : température stable comprise entre seize et vingt-cinq degrés, humidité relative maîtrisée entre vingt et cinquante pour cent, position verticale, et éloignement des sources de champ magnétique. Un local d'archives obéit aux mêmes exigences d'ambiance qu'une salle technique, avec une contrainte supplémentaire : la stabilité compte davantage que la valeur absolue, car ce sont les variations qui condensent.