Comment réaliser un audit de l’état des sauvegardes Google Workspace sans outil supplémentaire

De nombreux environnements de petite taille utilisent Google Workspace sans solution de sauvegarde SaaS dédiée. Cela ne vous empêche pas pour autant d’évaluer votre capacité de récupération. Avec les seuls outils natifs, vous pouvez mener un audit pertinent de l’état de vos sauvegardes, qui répond à trois questions :

• Quelles données sont conservées suffisamment longtemps pour couvrir les besoins de récupération ?
• À quelle vitesse et avec quelle fiabilité pouvons-nous restaurer des éléments précis ou des comptes ?
• Quels risques pourraient empêcher la récupération ?

Ce guide vous présente les étapes d’un audit de l’état de Google Workspace sans outil supplémentaire.

Pour une explication en images de ce sujet, regardez Comment réaliser un audit de l’état des sauvegardes Google Workspace sans outil supplémentaire.

Les étapes d’un audit de l’état de Google Workspace

Avant de commencer, vérifiez que vous remplissez les conditions suivantes pour que le processus se déroule sans accroc.

• Un rôle Super Admin ou Admin donnant accès à la console d’administration, à l’outil d’enquête et d’audit, et à Vault si vous disposez de la licence.
• Une bonne connaissance des unités organisationnelles et des Drive partagés de votre tenant.
• Pour les vérifications facultatives via API, un projet Google Cloud avec l’API Reports du SDK Admin activée et un client OAuth pour l’accès délégué.
• Un tableau de suivi pour consigner les constats, le RTO (recovery time objective) et le RPO (recovery point objective), ainsi que les responsables des actions correctives.

Vault est l’outil d’eDiscovery et de rétention de Google Workspace : il permet de conserver, rechercher et exporter des données à des fins de conformité et de récupération.

Étape 1 : définir le périmètre et les objectifs de récupération

Avant de lancer un audit de l’état de Google Workspace, vous devez établir le périmètre de récupération, les objectifs et les attentes. Déterminez clairement ce que vous protégez et comment le succès sera mesuré.

Prérequis : ce processus nécessite un accès administrateur à Google Workspace

1. Inventoriez les emplacements de données.
   • Identifiez les utilisateurs actifs, les utilisateurs suspendus et les comptes supprimés récemment.
   • Répertoriez les Drive partagés et examinez les schémas de propriété des fichiers.
   • Incluez les contenus Gmail, Agenda, Contacts et Drive.
2. Fixez les cibles de récupération.
   • Définissez le RPO (recovery point objective) : quel volume de perte de données est acceptable ?
   • Définissez le RTO (recovery time objective) : en combien de temps les données doivent-elles être restaurées ?
   • Fixez les durées de rétention minimales permettant d’atteindre ces cibles.

Lisez « RTO et RPO » pour comprendre la différence.

3. Sélectionnez les échantillons à auditer.
   • Choisissez au moins trois comptes utilisateurs représentatifs de services clés (RH, finance, ventes, par exemple).
   • Retenez au moins un Drive partagé fortement utilisé en collaboration.
   • Ces échantillons serviront lors des restaurations ultérieures

Livrable : créez une fiche d’une page présentant le périmètre et les cibles, comprenant :

• Les types et emplacements de données couverts
• Les utilisateurs et Drive partagés retenus pour les tests
• Les cibles de RPO et de RTO par classe de données
• Les exigences de rétention minimales

Étape 2 : valider la rétention et les conservations avec Google Vault

Une fois le périmètre et les objectifs de récupération définis, l’étape suivante consiste à confirmer que Google Vault répond bien à ces exigences. Vault applique la rétention et les conservations à titre légal sur Gmail, Drive, Chat et Meet, ce qui en fait le socle de votre protection des données à long terme. Ce processus de validation garantit la conformité aux réglementations sur la conservation des données.

Prérequis :

une édition de Google Workspace incluant Vault (Business Plus, Enterprise ou Education) et des privilèges administrateur pour consulter et configurer les politiques Vault.

1. Vérifiez que des licences Vault sont attribuées à tous les utilisateurs couverts par vos politiques de rétention.
2. Examinez les politiques de rétention par défaut et par OU (unité organisationnelle).
   • Accédez à Vault → Rétention et passez en revue les règles pour :
     1. Gmail
     2. Drive
     3. Chat
     4. Les enregistrements Meet
   • Vérifiez que des règles existent et que les exceptions sont documentées.
3. Confirmez les durées et le comportement de suppression à l’expiration.
4. Vérifiez les conservations à titre légal.
   • Accédez à Vault → Conservations et contrôlez :
     1. Les boîtes aux lettres VIP (dirigeants, RH, finance, juridique, par exemple)
     2. Assurez-vous que les conservations sont actives et correctement délimitées.
5. Comprenez le comportement à l’expiration.
   • Gmail : les messages peuvent être définitivement purgés une fois la corbeille de l’utilisateur (30 jours) et la rétention Vault expirées.
   • Drive : la suppression des éléments peut prendre jusqu’à 15 jours après la fin de la rétention.

Livrable : créez une matrice de rétention indiquant :

• Chaque service (Gmail, Drive, Chat, Meet, Groups)
• Le type de règle (par défaut, spécifique à une OU, conservation)
• La durée
• Les exceptions ou les lacunes

Étape 3 : confirmer les chemins de restauration natifs sans Google Vault

Si votre entreprise ou votre édition de Google Workspace n’inclut pas Vault, vous devez vous appuyer sur les options de restauration intégrées à Google. Cette étape permet de confirmer ce que vous pouvez récupérer sans Vault et où se situent les limites. Elle établit également des options de récupération rapide pour les fichiers ou e-mails supprimés par erreur.

Prérequis : un accès administrateur à la console d’administration Google est nécessaire.

Utilisez la console d’administration et les fonctions de corbeille des applications pour valider la capacité de restauration lorsque Vault n’est pas dans le périmètre.

1. Restauration Drive par l’administrateur (dans les 25 jours suivant le vidage de la corbeille)
   • Chemin : Console d’administration → Utilisateurs → [sélectionner l’utilisateur] → Restaurer les données → Drive → choisir une plage de dates
     Important : passé 25 jours après le passage en corbeille, les éléments sont définitivement purgés.
2. Restauration Gmail par l’administrateur (pour les messages définitivement supprimés)
   • Chemin : Console d’administration → Utilisateurs → [sélectionner l’utilisateur] → Restaurer les données → Gmail → choisir une plage de dates
     Important : cela ne fonctionne que dans la fenêtre de 25 jours suivant la suppression.
3. Restauration Agenda (au niveau utilisateur, sous 30 jours)
   • Chemin : Agenda web → Paramètres → Corbeille → Restaurer les événements
     Important : les événements ne sont récupérables que pendant 30 jours.
4. Restauration Drive (au niveau utilisateur, sous 30 jours)
   • Chemin : Google Drive → Corbeille → Restaurer l’élément
     Important : les fichiers placés dans la corbeille sont supprimés automatiquement au bout de 30 jours.

Livrable : préparez un tableau de référence rapide indiquant :

• Qui peut restaurer (administrateur ou utilisateur)
• Le type de données restaurables
• Les limites de temps
• Le chemin de navigation

Recommandation

Si les limites de restauration natives ne permettent pas d’atteindre vos cibles de RTO ou de RPO, appliquez une ou plusieurs des mesures suivantes :

• Adoptez une sauvegarde SaaS tierce pour obtenir des fenêtres de récupération plus longues ou des restaurations granulaires au niveau de l’élément.
• Ajustez vos politiques de rétention et d’offboarding afin de limiter la perte de données dans le cadre des limites natives.
• Ajoutez des licences Vault pour tous les utilisateurs couverts afin d’étendre les options de rétention et de récupération.

Étape 4 : tester les scénarios de récupération au niveau des comptes

Validez la capacité de récupération au niveau utilisateur en simulant des événements tels qu’un offboarding, une suppression accidentelle ou un incident de sécurité. Vous confirmez ainsi que votre équipe est en mesure de restaurer les données des utilisateurs et l’accès aux ressources partagées lorsque des comptes sont supprimés ou rétablis.

Prérequis :

un accès administrateur à la console d’administration Google et un compte utilisateur de test ou un compte récemment suspendu pour la simulation.

1. Restaurez un utilisateur supprimé (sous 20 jours)
   • Chemin : Console d’administration → Utilisateurs → Supprimés récemment → Restaurer
     Important : passé 20 jours, le compte et ses données sont définitivement supprimés.
2. Validez le transfert de propriété des fichiers et les accès
   • Après avoir restauré l’utilisateur, vérifiez :
     1. La propriété des fichiers Drive : les fichiers sont-ils toujours accessibles ?
     2. L’appartenance aux Drive partagés : l’utilisateur y figure-t-il toujours ?
   • Pour les utilisateurs supprimés, confirmez la récupération des fichiers Drive selon :
     1. Que les fichiers aient été partagés ou non.
     2. Que la propriété ait été transférée ou non avant la suppression.
   • Chemin : Console d’administration → Applications → Google Workspace → Drive et Docs → Transférer la propriété.

Livrable

Créez un playbook documenté comprenant :

• Des instructions de récupération pas à pas
• Les procédures de transfert de propriété
• Les contraintes de temps

Étape 5 : auditer les événements à risque avec l’outil d’enquête et d’audit

Protéger votre plan de sauvegarde et de récupération implique aussi de surveiller les menaces susceptibles de compromettre l’intégrité des données. Utilisez l’outil d’enquête et d’audit de Google Workspace pour détecter les actions d’utilisateurs ou d’administrateurs pouvant affecter la capacité de récupération, ainsi que toute autre activité malveillante pouvant entraîner une perte de données.

Prérequis : un accès administrateur au centre de sécurité de Google Workspace.

Étapes :

1. Ouvrez l’outil d’enquête et d’audit.
   • Chemin : Console d’administration → Sécurité → Enquête et audit → [sélectionner les sources de données pertinentes]
2. Lancez une recherche d’audit sur Drive.
   • Filtrez sur :
     1. Suppression
     2. Vidage de la corbeille
     3. Changements de propriété
     4. Partages en masse ou partages externes
3. Lancez un audit de l’activité administrateur.
   • Filtrez sur :
     1. Les modifications des règles de rétention
     2. Les mises à jour des politiques de partage
     3. Les changements de configuration de Vault
4. Exportez les constats dans un fichier CSV ou une feuille Google Sheets pour le suivi.

Livrable

Produisez un export hebdomadaire ou mensuel des événements à haut risque, comprenant :

• Le type d’événement
• Les utilisateurs ou fichiers concernés
• L’heure de survenue
• Les actions correctives engagées

Étape 6 : réaliser des exercices de suppression et de restauration sur échantillon

Cette étape met votre audit de sauvegarde à l’épreuve du terrain, RTO compris. Menez des exercices de suppression et de restauration contrôlés avec des utilisateurs et des Drive partagés d’échantillon. L’objectif est de confirmer que la récupération fonctionne sur les principaux services Google Workspace avec les outils natifs.

Prérequis :

un accès administrateur à la console d’administration Google et des comptes de test.

1. Sélectionnez les comptes de test et le Drive partagé.
   Astuce : utilisez les utilisateurs représentatifs et le Drive partagé retenus à l’étape 1.
2. Supprimez des éléments de test.
   • Pour chaque utilisateur sélectionné et un Drive partagé, supprimez :
     1. Un e-mail non critique
     2. Un événement d’agenda
     3. Un fichier Drive
3. Restaurez les données via les chemins natifs (étape 3).
4. Mesurez le RTO.
   • Notez le temps nécessaire à chaque restauration.
5. Confirmez l’intégrité des éléments.
   • Vérifiez que les éléments restaurés sont complets, exploitables et inchangés.
   • Relevez les erreurs, les délais ou les données manquantes.

Livrable : créez un journal de tests de restauration indiquant :

• L’utilisateur de test ou le Drive partagé
• Les éléments supprimés puis restaurés
• La méthode de restauration utilisée
• Le temps écoulé (RTO)
• Le résultat du contrôle d’intégrité
• Les remarques sur les problèmes ou les améliorations

Étape 7 : établir un registre des lacunes et un plan d’action

Après avoir terminé votre audit de l’état des sauvegardes, vous devez agir sur les constats. Constituez un registre des lacunes qui répertorie chaque problème et l’associe à un plan d’action clair. Servez-vous des nouvelles données pour suivre les lacunes de couverture ou de rétention, résoudre les problèmes de propriété et mieux vous préparer aux audits et aux revues de conformité.

Prérequis :

audit de l’état des sauvegardes terminé (étapes 1 à 6).

1. Consignez les lacunes.
   • Enregistrez des problèmes tels que :
     1. L’absence de couverture Vault pour certaines unités organisationnelles (OU).
     2. Des Drive partagés sans gestionnaire attribué.
     3. Des suppressions massives fréquentes signalées dans les journaux d’audit.
     4. Des taux de réussite des restaurations irréguliers.
2. Associez chaque lacune à des attributs clés.
   • Pour chaque lacune, documentez :
     1. Le niveau de risque
     2. Le responsable
     3. L’échéance
     4. Le type de contrôle
3. Reliez les lacunes aux cibles de RTO/RTO.
   1. Priorisez les lacunes qui menacent vos objectifs de récupération.

Livrable :

créez un registre des lacunes vivant, qui soit :

• Revu chaque mois
• Mis à jour à chaque changement de statut

Étape 8 : vérifications ponctuelles facultatives via API avec PowerShell

Vous pouvez ajouter de l’automatisation à votre audit de l’état des sauvegardes grâce aux vérifications par API. Si vous préférez une méthode scriptable sans outil tiers, utilisez l’API Reports du SDK Admin pour compter les actions de suppression dans Drive sur les N derniers jours. Cette étape est facultative, mais elle offre un moyen évolutif de recouper l’activité de l’ensemble des utilisateurs.

Prérequis :

• Un compte Super Admin dans Google Workspace.
• Un projet Google Cloud avec l’API du SDK Admin activée.
• Des identifiants OAuth 2.0 avec délégation à l’échelle du domaine.
• PowerShell installé sur votre machine locale ou votre serveur.

1. Activez l’API.

• • Accédez à Google Cloud Console → API et services → Bibliothèque.
  • Activez l’API du SDK Admin.

2. Créez des identifiants.

• • Accédez à Google Cloud Console → Identifiants, puis créez un ID client OAuth 2.0.
  • Activez la délégation à l’échelle du domaine.

3. Obtenez un jeton d’accès OAuth pour un compte Super Admin.
4. Exécutez ce court extrait PowerShell pour interroger l’activité Drive :

5. Consultez les résultats dans la sortie PowerShell ou exportez-les en CSV pour le reporting.

Livrable

Produisez un simple fichier CSV ou un rapport à l’écran présentant les événements de suppression dans Drive, avec :

• L’ID de l’événement
• L’horodatage
• L’acteur (l’utilisateur ayant réalisé l’action)

Utilisez ce rapport comme référence et étendez vos requêtes à d’autres noms d’événements d’audit Drive listés dans la documentation de l’API Reports.

Étape 9 : revue de couverture en dernier recours avec l’export de données (option « bris de glace »)

Si Vault, les restaurations natives et les autres méthodes échouent, l’outil d’export de données Google Workspace constitue un dernier recours, une option « bris de glace » pour récupérer les données de l’entreprise. Il est conçu pour exporter l’intégralité des données d’un tenant dans des situations d’urgence ou de conformité.

Prérequis :

• Un accès Super Admin et une édition de Google Workspace compatible avec l’outil d’export de données.

1. Vérifiez l’éligibilité et les contraintes.

• • Chemin : Console d’administration → Outils → Export de données.
  • Confirmez que votre édition et votre rôle Super Admin autorisent cet accès.

2. Lancez un export de données.

• • Cliquez sur Démarrer l’export : Google préparera une archive téléchargeable contenant :
    1. Gmail
    2. Drive
    3. Agenda
    4. Contacts
    5. Sites, et plus encore

3. Localisez et interprétez le rapport d’export.

• • Google enverra un e-mail aux Super Admins lorsque l’export sera prêt.
  • Accédez à Console d’administration → Outils → Export de données → Afficher l’export.
  • Vérifiez l’exhaustivité du rapport d’export.

4. Prenez connaissance des notes de remédiation et des limites en cas d’export partiel.

• • Un export peut être partiel en raison :
    1. De volumes de données importants
    2. De limites d’API
    3. Des autorisations des utilisateurs
  • Certains types de données peuvent ne pas être inclus.
  • Les liens sont temporaires et doivent être téléchargés rapidement.

Livrable

Créez une POP (procédure opérationnelle permanente) d’une page précisant :

• Qui peut lancer des exports
• Quand et pourquoi recourir à cette méthode
• Les étapes d’export et les contrôles de validation
• Les consignes de traitement sécurisé

Vérification

Une fois l’audit de l’état des sauvegardes terminé, vous devez vérifier et documenter les résultats. Cette section rassemble les preuves, les indicateurs et les exceptions qui permettent de valider si vos objectifs de récupération ont été atteints et où des améliorations sont nécessaires.

Points de vigilance

Google documente l’ensemble des règles de rétention, du fonctionnement de la corbeille et des contrôles d’API. Citez ces sources officielles dans votre audit pour étayer vos constats et rendre votre audit défendable.

Intégration NinjaOne

Bien que cet audit évite délibérément les outils de sauvegarde tiers, NinjaOne peut tout de même jouer un rôle utile dans le processus :

Résolution des problèmes

Voici les problèmes courants que vous pouvez rencontrer et comment les résoudre :

L’élément attendu n’apparaît pas après une restauration Drive

Si un fichier restauré n’apparaît pas, c’est souvent dû à des délais de propagation. La restauration peut prendre du temps selon le volume de données. Vérifiez le volume correspondant à la plage de dates sélectionnée et validez le compte utilisateur avant de tenter une nouvelle restauration.

Un événement d’agenda n’est pas restaurable

Les événements d’agenda ne peuvent être restaurés que dans un délai de 30 jours. Passé ce délai, ils sont définitivement perdus. Vérifiez la date de suppression et conseillez aux utilisateurs d’éviter les purges manuelles sauf nécessité.

Suppression d’un utilisateur il y a plus de 20 jours

Si un compte utilisateur a été supprimé il y a plus de 20 jours, la récupération est impossible. Pour éviter cela, mettez à jour vos POP d’offboarding : suspendez d’abord le compte, transférez la propriété des données, puis supprimez le compte.

Incohérences dans l’export de données

L’outil d’export de données de Google peut produire des exports partiels en raison de limites d’API, de volumes de données importants ou de problèmes d’autorisations. Consultez le rapport d’export et les notes de remédiation. Certains éléments peuvent nécessiter un nouvel export ou une autre méthode de récupération.

Réalisez un audit de l’état de Google Workspace pour protéger vos données

Mener un audit de l’état des sauvegardes Google Workspace sans outil supplémentaire est à la fois réalisable et efficace. En validant la rétention, en testant les restaurations et en auditant les événements à risque, vous mesurez vos RPO et RTO réels, vous mettez au jour les lacunes et vous bâtissez un plan d’action pour réduire le risque de récupération. Ces résultats documentés vous donnent aussi les arguments pour justifier une solution de sauvegarde dédiée, le cas échéant.

Sujets connexes :

• Comment sauvegarder Google Workspace Drive
• Sauvegarde SaaS : guide complet et bonnes pratiques
• Guide simple pour récupérer des données Gmail supprimées ou perdues