Sophos Backup and Recovery M365 avec Rubrik

Sophos Backup and Recovery pour Microsoft 365 est désormais disponible. La solution est fournie par Rubrik et intégrée à Sophos Central. Sophos couvre ainsi un sujet devenu critique depuis longtemps dans de nombreuses entreprises : la restauration d’Exchange Online, OneDrive, SharePoint et Teams après un ransomware, un compte compromis, une suppression accidentelle ou un incident interne.

Sur le principe, c’est une étape pertinente. Pour beaucoup d’entreprises, Microsoft 365 n’est plus seulement l’e-mail, mais aussi le stockage de fichiers, la collaboration, la communication Teams, les calendriers, l’identité et souvent une grande partie de la mémoire opérationnelle. Si des données y sont perdues ou manipulées, il ne suffit pas qu’Endpoint et Firewall signalent correctement qu’un événement s’est produit. Il faut aussi pouvoir récupérer les données de manière fiable.

Il faut toutefois analyser cette annonce avec sobriété. Lorsque je pense aux sauvegardes Microsoft 365, de nombreuses entreprises placeront d’abord sur leur shortlist des fournisseurs comme Veeam, AvePoint, Acronis, Hornetsecurity, Dropsuite, Rubrik ou désormais Microsoft 365 Backup lui-même. Sophos est surtout fort dans l’exploitation sécurité autour d’Endpoint, MDR, XDR, Firewall et Central Management, et amène maintenant avec Rubrik un spécialiste du backup dans cet environnement. Cela peut avoir du sens, mais ne remplace pas une comparaison sérieuse.

Ce que Sophos et Rubrik proposent maintenant

Sophos Backup and Recovery Powered by Rubrik est un service cloud de backup et de recovery pour Microsoft 365. Selon Sophos, les quatre workloads centraux sont protégés :

• Exchange Online
• OneDrive
• SharePoint
• Teams

La solution est intégrée à Sophos Central, mais la technologie de backup sous-jacente vient de Rubrik. C’est important, car Rubrik est un acteur établi sur le marché du backup et du cyber recovery. La valeur réside donc surtout dans la combinaison de Sophos Central avec une plateforme Rubrik spécialisée.

Les points les plus intéressants sont :

• Backups immutables : les backups doivent être protégés contre la manipulation grâce à des WORM locks et une architecture air-gap.
• Restauration granulaire : des e-mails, dossiers, boîtes aux lettres, contenus OneDrive, sites SharePoint ou ensembles plus larges peuvent être restaurés.
• Restauration vers des utilisateurs alternatifs : c’est important lorsque des comptes sont désactivés, compromis ou n’existent plus.
• Rétention flexible : Sophos mentionne des options de rétention d’un an, sept ans, dix ans ou plus.
• SLA Domains : la fréquence de backup et la durée de conservation sont pilotées via des policies Rubrik.
• Résidence des données : les backups sont stockés dans Microsoft Azure ; la région est choisie pendant l’onboarding.

D’un point de vue technique, ce sont les bons éléments. La combinaison de backups immutables, d’une restauration granulaire et d’une rétention définissable est plus importante pour Microsoft 365 que beaucoup ne le pensent.

Pourquoi Microsoft 365 a quand même besoin d’un backup

Une erreur fréquente consiste à penser : « Microsoft exploite Microsoft 365, donc mon backup est déjà couvert. » Ce n’est pas si simple. Microsoft assure la disponibilité de la plateforme, l’infrastructure, la redondance et de nombreux mécanismes de protection. Cela ne remplace pas un concept de backup et de recovery côté client.

Retention Policies, corbeille, versioning, Litigation Hold et eDiscovery sont des fonctions utiles, mais elles résolvent d’autres problèmes. Elles aident pour la gouvernance, la conservation, la conformité ou une restauration à court terme. Un backup doit répondre à d’autres questions :

• Peut-on restaurer des données après la compromission d’un compte administrateur ?
• Existe-t-il un point de restauration propre avant une manipulation ?
• Les backups sont-ils protégés contre la suppression et la modification ?
• À quelle vitesse peut-on récupérer un grand volume de données ?
• Qui a le droit de restaurer, et ces actions sont-elles journalisées ?
• Les données Teams, SharePoint, OneDrive et Exchange sont-elles réellement couvertes intégralement ?

En cas de ransomware ou d’account takeover, une corbeille ne suffit pas. Si un attaquant disposant de droits élevés modifie les paramètres de rétention, supprime des données ou chiffre des contenus, il faut un chemin de restauration indépendant et testé.

Ce qui est intéressant dans l’intégration Sophos

L’avantage évident est l’administration centralisée. De nombreux clients Sophos travaillent déjà quotidiennement avec Sophos Central : Endpoint, Server, MDR, XDR, Email, Firewall Management, NDR, signaux d’identité et reporting y sont regroupés. Si Backup and Recovery y devient également visible, cela peut faire gagner du temps lors d’un incident.

C’est particulièrement pertinent lorsque Sophos MDR ou XDR est utilisé. Lors d’une attaque, il ne suffit pas de détecter l’attaquant ; il faut aussi circonscrire rapidement le périmètre de données concerné et le restaurer. Lorsque les informations de sécurité et de recovery se rapprochent, il y a une vraie valeur opérationnelle.

Mais cette intégration ne doit pas être confondue avec une magie complète dans une seule console. Selon Sophos, on repart malgré tout dans le portail Rubrik : authentifier le tenant Microsoft 365, accorder les autorisations, configurer la SLA Domain et définir proprement les backup policies. Les configurations Sophos Central existantes ne deviennent pas automatiquement une stratégie de backup terminée.

C’est aussi logique. Un backup n’est pas un interrupteur que l’on active quelque part avant de l’oublier. Il faut une conception, des responsabilités et des tests.

Où je regarderais précisément avant l’achat

Avec les produits de backup, ce qui compte au final n’est pas le positionnement, mais l’exploitation. La question décisive est de savoir si la solution correspond à l’environnement, si elle restaure assez vite en cas d’urgence et si les coûts après deux ans ressemblent encore à ceux de la première offre. C’est là qu’il faut examiner Sophos Backup and Recovery de près.

Avant toute recommandation, ces points seraient surtout pertinents pour moi :

• Le modèle de licence correspond-il à la taille réelle de l’entreprise ?
• Le stockage inclus est-il réaliste pour Exchange, OneDrive, SharePoint et Teams ?
• Est-il clair qui administre les backups et qui peut restaurer ?
• Un test de restauration avec de vraies données a-t-il été réalisé ?
• Existe-t-il une stratégie de sortie si Sophos ou Rubrik modifie plus tard le modèle ?
• Cherche-t-on vraiment du backup, ou plutôt de l’archivage, de l’eDiscovery ou du Legal Hold ?

Ce n’est qu’une fois ces questions répondues que l’on peut juger sérieusement si l’intégration dans Sophos Central correspond aussi, techniquement et économiquement, à sa propre stratégie de backup.

Achat minimum de 200 seats

La commande minimale est de 200 seats. Les petites organisations peuvent aussi utiliser le produit, mais doivent tout de même acheter 200 seats. Pour de nombreuses PME, c’est un seuil d’entrée assez élevé. C’est précisément là qu’il faut comparer honnêtement si une autre solution de backup Microsoft 365 convient mieux économiquement.

5 Go de stockage par seat

Chaque seat inclut 5 Go de stockage dans un pool partagé. Cela semble propre au premier abord, mais peut vite devenir insuffisant dans de vrais tenants Microsoft 365. Exchange, OneDrive et SharePoint grandissent souvent beaucoup plus vite que prévu. Selon Sophos, le stockage supplémentaire n’est pas acheté séparément, mais étendu via des seats supplémentaires.

C’est particulièrement important avec des durées de conservation plus longues. Une année d’historique de backup est très différente de sept ou dix ans. Plus la rétention est longue, plus la croissance des boîtes aux lettres, l’utilisation de OneDrive, les versions SharePoint et les fichiers Teams influencent le stockage. Dans beaucoup d’environnements productifs, 5 Go par seat ne vont pas très loin si Microsoft 365 est utilisé intensivement.

Ce point doit être vérifié avec de vrais chiffres avant l’offre :

• volume actuel des données Exchange Online
• utilisation OneDrive par utilisateur
• sites SharePoint et fichiers Teams
• croissance attendue
• rétention souhaitée
• points de restauration et fréquence de backup

Sinon, la licence peut sembler adaptée au départ, mais devenir peu attractive après quelques mois.

Provisioning manuel

Après la commande, Rubrik effectue une étape de provisioning manuel. Sophos mentionne généralement deux jours, et jusqu’à neuf jours dans certains cas. Ce n’est pas dramatique pour un nouveau projet, mais ce n’est pas idéal pour « nous avons besoin d’un backup demain ». Surtout si un client réalise seulement après un incident que Microsoft 365 n’était pas correctement protégé, cette prise de conscience arrive trop tard.

Pas d’archive dédiée

Backup and Recovery n’est pas une solution d’archivage complète. Sophos indique lui-même que des fonctions comme eDiscovery ou Legal Hold ne sont pas incluses au sens d’une plateforme d’archivage dédiée. Toute organisation qui a besoin d’archivage légal, de journaling, de processus de discovery ou d’une conservation longue et opposable doit le vérifier séparément.

Mon analyse

Je trouve l’orientation correcte. Sophos a compris que la sécurité sans recovery est incomplète. Prevention, detection et response sont importantes, mais une question simple finit toujours par arriver : « Pouvons-nous récupérer les données ? » Si la réponse n’est pas claire, l’architecture de sécurité n’est pas terminée.

Je ne ferais toutefois pas automatiquement de Sophos Backup and Recovery une recommandation standard. La raison n’est pas Rubrik, au contraire. Rubrik est plutôt la partie qui inspire confiance. La question centrale est stratégique : Sophos Central convient-il comme point d’entrée commercial et opérationnel pour le backup Microsoft 365 dans cet environnement, ou un fournisseur de backup direct dont M365 backup est le coeur de métier est-il mieux adapté ?

Cette question est particulièrement importante avec le backup, car on n’achète pas un produit de backup pour un trimestre. On construit autour de lui des processus, de la rétention, des exigences d’audit, des tests de restauration et une responsabilité opérationnelle. Si la plateforme, la licence ou la stratégie produit changent plus tard, un changement est nettement plus lourd que pour de nombreux autres services de sécurité.

Ma recommandation est donc pragmatique :

• Les organisations qui utilisent fortement Sophos Central, Sophos MDR ou Sophos XDR devraient évaluer l’intégration Rubrik.
• Les organisations qui connaissent ou utilisent déjà Rubrik ont une raison supplémentaire d’y regarder de plus près.
• Les petites entreprises avec nettement moins de 200 utilisateurs doivent calculer très précisément l’économie du modèle.
• Celles qui ont déjà résolu proprement Microsoft 365 Backup avec Microsoft, Veeam, AvePoint, Acronis, Hornetsecurity, Dropsuite ou une plateforme MSP n’ont aucune raison de changer par réflexe.
• Celles qui n’ont encore aucun backup M365 devraient prioriser le sujet maintenant, mais comparer plusieurs solutions.

Ce que je comparerais

Pour les backups Microsoft 365, il ne s’agit pas seulement de « il y a un backup » ou « il n’y a pas de backup ». Les détails opérationnels sont décisifs : ce qui est sauvegardé, combien de temps les données restent disponibles, à quel niveau de granularité on peut restaurer, à quelle vitesse la restauration fonctionne et qui peut accéder aux données de backup.

C’est pourquoi je ne comparerais pas Sophos Backup and Recovery uniquement sur le prix par utilisateur. Il faut examiner tout le modèle d’exploitation. Une solution peut sembler avantageuse au premier regard et devenir coûteuse plus tard si le stockage, la rétention, le temps de restauration ou les exigences de conformité n’ont pas été correctement calculés.

Pour moi, au moins cinq domaines doivent entrer dans la comparaison : couverture des workloads, qualité de restauration, modèle de rôles, rétention/conformité et canal d’achat.

Couverture des workloads

Teams est un bon exemple. Certaines solutions ne sauvegardent que les fichiers stockés dans SharePoint. Les contenus de chat, les chats privés, Planner, Forms, les composants Loop ou d’autres données M365 peuvent être couverts différemment selon le produit, voire pas du tout. Il faut donc vérifier concrètement ce que chaque solution entend par « Teams backup ».

Rétention, stockage et conservation légale

Une des questions les plus importantes est la suivante : combien de temps les données doivent-elles réellement être conservées ? Sophos mentionne des options de rétention d’un an, sept ans, dix ans ou plus. Cela semble flexible, mais la bonne réponse ne vient pas de la fiche produit ; elle vient de la comptabilité, de la conformité, de la protection des données, des RH et du secteur concerné.

En Suisse, les livres comptables et pièces justificatives doivent généralement être conservés pendant dix ans. Pour certains documents liés à la TVA et à des biens immobiliers, vingt ans peuvent aussi être pertinents. À cela s’ajoutent des exigences sectorielles, des directives internes, des obligations contractuelles et des devoirs de protection des données. Un backup Microsoft 365 doit donc non seulement fonctionner techniquement, mais aussi s’intégrer au concept de conservation de l’entreprise.

La distinction est importante : la rétention de backup n’est pas automatiquement un archivage juridiquement conforme. Un backup sert d’abord à la restauration. Archivage, eDiscovery, Legal Hold, journaling, preuve immuable et concepts de suppression ciblée sont d’autres exigences. Toute organisation qui doit conserver des données M365 pour des raisons juridiques ne devrait pas simplement configurer « 10 ans de backup » et considérer le sujet comme réglé.

C’est précisément ici que le modèle de stockage devient important. Une longue rétention consomme du stockage, et 5 Go par seat sont vite utilisés lorsque Exchange, OneDrive, SharePoint et Teams grandissent pendant des années. Avant de décider, il faut donc calculer avec de vraies données de tenant, pas avec des moyennes de présentation.

Sophos powered by Rubrik ou Rubrik directement ?

Une question client évidente est : si la technologie vient de Rubrik, pourquoi acheter via Sophos et pas directement auprès de Rubrik ou via un partenaire Rubrik ?

La réponse honnête : l’avantage du chemin Sophos n’est pas principalement une autre technologie de backup, mais le modèle d’exploitation et d’achat. Sophos Central peut être attractif lorsque Endpoint, Firewall, Email, MDR ou XDR sont déjà exploités via Sophos et que le recovery doit se rapprocher de ces processus de sécurité. Le modèle de rôles, l’administration déléguée, les circuits partenaires habituels et un processus de licence unifié peuvent aussi faire une différence au quotidien.

Si Sophos Central joue peu de rôle dans l’entreprise, cette valeur ajoutée doit toutefois être pesée très précisément face au prix. Dans ce cas, Sophos Backup and Recovery Powered by Rubrik doit être comparé directement à Rubrik lui-même et à d’autres fournisseurs de backup Microsoft 365. Si l’achat via Sophos coûte plus cher, le supplément doit se justifier par moins d’effort opérationnel, une administration plus simple, de meilleurs processus d’incident ou un chemin de support plus clair.

Je proposerais ou vérifierais donc toujours au moins les deux variantes :

• Sophos Backup and Recovery Powered by Rubrik via Sophos Central
• Rubrik directement ou via un partenaire Rubrik
• selon l’environnement, aussi Veeam, AvePoint, Acronis, Hornetsecurity, Dropsuite ou Microsoft 365 Backup

Ce n’est qu’ainsi que l’on voit si Sophos Central est un véritable avantage dans l’environnement concret ou seulement un canal de vente supplémentaire pour la même technologie de base.

Qualité de restauration

Un backup ne vaut que par sa restauration. Je testerais toujours :

• restaurer un e-mail individuel
• restaurer une boîte aux lettres complète
• restaurer le OneDrive d’un utilisateur désactivé
• restaurer des fichiers SharePoint à un point antérieur à une manipulation
• simuler une grande restauration avec plusieurs utilisateurs
• tester une restauration vers un utilisateur ou un emplacement cible alternatif

Ces tests ne sont pas optionnels. De nombreux projets de backup semblent bons sur le papier et échouent en situation réelle à cause des autorisations, des performances, d’une documentation absente ou de responsabilités floues.

Tenant et modèle de rôles

L’accès aux backups est très sensible. Toute personne qui peut lire et restaurer des données de backup a accès à un très grand volume de données d’entreprise. Il faut donc des rôles clairs, MFA, journalisation, processus d’approbation et revues régulières.

Point particulièrement important : les administrateurs de backup ne devraient pas utiliser les mêmes comptes et rôles que ceux utilisés partout dans l’exploitation Microsoft 365 normale. Si un Global Admin est compromis, le backup ne doit pas tomber avec lui.

Résidence des données et stratégie de sortie

La résidence des données n’est pas seulement une case de conformité. Il faut comprendre dans quelle région les backups sont stockés, qui y a accès, quelles options de chiffrement existent et comment un changement de fournisseur fonctionnerait.

Avec les systèmes de backup, la question de sortie fait toujours partie du sujet :

• Combien de temps les données restent-elles disponibles après résiliation ?
• Les backups peuvent-ils être exportés ?
• À quoi ressemble un changement de tenant ?
• Que se passe-t-il en cas de mauvaise attribution de licence ?
• Comment les utilisateurs supprimés, les boîtes aux lettres partagées et les anciens collaborateurs sont-ils gérés ?

Ce sont des questions ennuyeuses. C’est précisément pourquoi elles sont importantes.

Conclusion

Sophos Backup and Recovery pour Microsoft 365 est un ajout intéressant, car Sophos rapproche ainsi le recovery des Security Operations. Pour les clients Sophos MDR et XDR, cela peut être pratique en cas d’incident. Le fait que la technologie vienne de Rubrik est un point positif important, car Rubrik est déjà établi sur le marché du backup et du cyber recovery.

Mais cela reste un projet de backup et doit être planifié comme tel.

Je regarderais la solution, mais je la comparerais soigneusement. Achat minimum, modèle de stockage, provisioning, exigences d’archivage, tests de restauration et stratégie produit à long terme doivent être examinés avant une décision d’achat. Sophos Central est un avantage si l’entreprise y travaille déjà. Mais ce n’est pas une raison suffisante pour ne plus regarder les fournisseurs M365 backup éprouvés.

Ma recommandation : toute organisation sans backup Microsoft 365 devrait prioriser le sujet maintenant. Le fait que Sophos Backup and Recovery Powered by Rubrik soit le meilleur choix dépend de la taille, de l’utilisation existante de Sophos, des exigences de conformité, de la rétention, de la croissance du stockage et du modèle d’exploitation. Ce sont précisément ces points qu’il faut vérifier soigneusement avant l’achat.

FAQ

Sources

• Sophos Partner News : Sophos Backup and Recovery for M365 powered by Rubrik is now available
• Sophos Community : Backup and Recovery M365 Powered by Rubrik
• Sophos Press : Rubrik and Sophos to Deliver Microsoft 365 Cyber Resilience with New Partnership
• Microsoft : Microsoft 365 Backup
• Microsoft Learn : Privacy, security, and compliance in Microsoft 365 Backup
• ESTV : Questions et réponses sur la TVA