Accès rapides :

Étude de cas · Collectivité territoriale Ville de Vanves

Comment une commune de 28 000 habitants a éliminé le risque « personne-clé » de sa sauvegarde, atteint la rétention ANSSI recommandée et fait valider son approche par un audit indépendant de la Métropole du Grand Paris, avec 6 agents DSI et zéro impact sur la bande passante.

Chiffres clés : 28 000 habitants · 6 agents DSIT · 40 VMs · 20 To protégés

« La sauvegarde doit fonctionner même si votre expert est absent. »

Thierry Kaloustian, DSI de la Ville de Vanves

1 semaine
déploiement complet

•

< 10 mn
de supervision par semaine

0
impact sur la bande passante

•

2 ans
en production, zéro incident

Un SI ambitieux pour une petite équipe

La Ville de Vanves, commune dense de 28 000 habitants intégrée dans la Métropole du Grand Paris, gère un système d’information qui dépasse largement sa taille : près de 50 applications métiers, une quarantaine de machines virtuelles, une messagerie hébergée en interne (pas d’Office 365), un réseau fibré multi-sites et de multiples interfaces avec les établissements publics territoriaux et les ministères. Le tout piloté par une équipe de 6 agents polyvalents.

Dans ce contexte, la résilience ne peut pas reposer sur une personne. Elle doit être systémique.

Le défi : une sauvegarde artisanale, efficace à une condition

Avant DATIS, la sauvegarde reposait sur un assemblage bricolé mais raisonné : Veeam sur serveur local, un NAS Synology connecté, et un second NAS froid remis en ligne manuellement pour qu’il reste invisible depuis l’extérieur.

Ça fonctionnait. Tant qu’une personne précise était disponible. Dans une équipe de 6 agents polyvalents, une absence suffit à fragiliser toute la procédure.

Deux autres problèmes structurels s’ajoutaient : la règle 3-2-1 n’était respectée qu’en partie, sans vraie isolation du domaine Active Directory. Et toutes les alternatives cloud testées s’avéraient hors budget.

« On est le pot de terre contre le pot de fer. On aura beaucoup d’attaques, et on ne sera pas toujours compétent, présent, au fait de tout. Il faut rester humble et vigilant, et vérifier les process : ça peut venir de n’importe où. »

Thierry Kaloustian, DSI de la Ville de Vanves

La différence DATIS : trois principes qui s’emboîtent

Ce qui a convaincu l’équipe de la DSIT, ce n’est pas une promesse marketing. C’est une architecture. Là où les solutions classiques protègent les données, DATIS les rend structurellement inaccessibles et indestructibles, par construction.

1. Stockage local immuable (ZFS) Un ransomware chiffre vos données ? ZFS l’enregistre comme une simple modification. On restaure la version d’avant l’attaque, sans négociation, sans perte.

2. Fragmentation et chiffrement Les données quittent le site chiffrées et découpées. Chaque fragment, chez un nœud différent, est inexploitable seul. Il ne contient qu’une pièce du puzzle, sans les clés pour la lire.

3. Résilience géo-distribuée Codage Reed-Solomon (brevet CNRS) : on peut perdre jusqu’à un tiers des nœuds sans perdre une seule donnée. La redondance est mathématiquement garantie, pas juste promise.

« C’est comme si vous aviez un puzzle fragmenté et distribué chez différents clients. Si un attaquant a un bout du puzzle, il ne peut rien en faire : c’est chiffré, et il ne peut jamais reconstruire parce qu’il n’a pas les clés. »

Thierry Kaloustian, DSI de la Ville de Vanves

Le bilan après 2 ans

Objectifs atteints :

  • Rétention recommandée par l’ANSSI : plus de 90 jours
  • Libérer du temps DSI pour d’autres sujets : automatisé à 100 %
  • Externaliser souverainement sans datacenter étranger : infrastructure 100 % française
  • Éliminer le point de défaillance unique « personne-clé » : résilience systémique
  • Valider l’approche par un audit indépendant (Métropole du Grand Paris) : audité et approuvé

La validation externe qui compte

Le choix de DATIS a été validé au-delà de l’équipe DSI. Lors d’un audit de sécurité mandaté par la Métropole du Grand Paris dans le cadre du programme Cybiah, les auditeurs ont été positivement surpris par l’approche, aussi bien sur la dimension sauvegarde que sur la souveraineté. Une reconnaissance externe, venant d’un tiers indépendant, qui ne s’achète pas.

C’est précisément cette combinaison : résilience, souveraineté, sobriété, qu’aucune alternative n’avait su proposer à budget raisonnable. Les devis Veeam Cloud Connect avaient été étudiés sérieusement, et écartés.

« Franchement, on est ravis. C’est automatisé, ça ne dépend plus de la disponibilité d’une seule personne. On a trouvé deux pépites françaises dont INSPEERE DATIS. »

Thierry Kaloustian, DSI de Vanves

DATIS complète et renforce la règle 3-2-1 : une copie locale immuable sur l’appliance DATIS (ZFS), une copie externalisée géo-distribuée sur le réseau DATIS. Les deux copies sont isolées du domaine Active Directory, ce qui était le manque principal à Vanves avant le déploiement.

Le budget, principalement. Veeam Cloud Connect centralise les données chez un hébergeur tiers, avec des coûts de stockage et de restauration qui deviennent rapidement significatifs pour une collectivité. DATIS propose une tarification prévisible, sans frais de restauration, sans coût au trafic, et sans dépendance à un datacenter étranger.

Oui. À Vanves, DATIS s’est intégré directement sous Veeam existant comme cible de stockage résiliente. Aucun changement d’agent, aucune modification des politiques de sauvegarde en place.

CYBIAH (Cybersécurité et Intelligence Artificielle Hub) est un programme coordonné par le Campus Cyber, reconnu par la Commission européenne comme pôle de référence en cybersécurité (EDIH). Il accompagne gratuitement les communes de la Métropole du Grand Paris avec un diagnostic individualisé de maturité cyber, un plan d’action sur mesure, et un cofinancement pouvant couvrir jusqu’à 50 % du plan de sécurisation. Les diagnostics sont réalisés par des prestataires indépendants spécialisés,  sans lien avec les fournisseurs évalués. Lorsque les auditeurs CYBIAH ont validé positivement l’approche DATIS chez Vanves, aussi bien sur la résilience que sur la souveraineté, c’est une reconnaissance qui n’a pas été sollicitée et qui ne peut pas s’acheter.

L’indépendance numérique selon Inspeere