Sauvegarde souveraine et immuable : accompagner la résilience des entreprises. Tenexa et Object First

La sauvegarde change de statut : elle devient une infrastructure critique, pensée comme un sanctuaire. Lors d’un rendez-vous Future of IT 2026 – Room Cyber, TENEXA et Object First ont détaillé une approche combinant cloud privé souverain, sauvegarde sur site et stockage immuable, pour restaurer des données intègres et garantir une reprise et une continuité d’activité minimale. 

C’est autour de cette problématique qu’a été organisé ce retour d’expérience consacré à la sauvegarde souveraine et immuable avec Dorsan de Radiguès, Presales Engineer chez Object First, et José Barbosa, Directeur Cloud Privé Horizon chez Tenexa.

À cette occasion, TENEXA, ESN française opérant un cloud privé souverain, a présenté l’évolution de son offre de sauvegarde, désormais enrichie de la solution Object First, spécialiste du stockage de sauvegarde immuable, nativement intégré à l’écosystème Veeam.

Cette approche hybride permet de combiner sauvegarde sur site, externalisation dans un cloud privé souverain et immuabilité native, avec une rupture protocolaire forte entre les environnements de production et les repositories de sauvegarde.

L’objectif : garantir que les sauvegardes restent exploitables, même en cas de compromission des comptes administrateurs ou d’attaque ciblant l’infrastructure IT.

ENTRETIEN

Julien Merali
Nous sommes dans un contexte de multiplication des cyberattaques : la question n’est plus seulement de sauvegarder les données, mais aussi de pouvoir les restaurer rapidement, en toute confiance, y compris en situation de crise majeure.

Dorsan, pour expliquer Object First et donner un peu de contexte, pouvez-vous nous présenter votre activité  ?

Dorsan de Radiguès
Object First est une société fondée à la suite d’un constat marché de nos fondateurs : aujourd’hui, il y a de plus en plus de cyberattaques et, à partir du moment où des stratégies de sauvegarde sont mises en place, les attaquants ne ciblent plus seulement les logiciels de sauvegarde, mais directement les stockages de sauvegarde.

Plutôt que d’utiliser des stockages génériques, prêts à tout, puis de renforcer la sécurité par-dessus, nos fondateurs ont fait le choix de créer une solution de toutes pièces, avec la sécurité comme premier pilier. Pas d’interopérabilité avec une multitude d’applicatifs : uniquement un usage dédié à un logiciel de sauvegarde spécifique. Le logiciel de sauvegarde Veeam Software.

Julien Merali
José, en quelques mots, votre entreprise  ?

José Barbosa
TENEXA est une ESN qui a plus de 40 ans aujourd’hui. Nous sommes un acteur français, implanté en France, avec des équipes à Bordeaux, Paris, Amiens et Lille. Nous comptons un peu plus de 1 000 collaborateurs pour un chiffre d’affaires d’environ 100 millions d’euros. Nous opérons également un cloud.

Pour ma part, je suis responsable de l’offre de cloud privé baptisée Horizon, un cloud privé français et souverain. Nos datacenters sont situés en région parisienne. Notre valeur ajoutée est de fournir une infrastructure de type IaaS, capable d’héberger aussi bien des environnements classiques que de l’intelligence artificielle, dans un cadre sécurisé pour les données de nos clients.

Julien Merali
Dorsan, on a introduit le sujet de la sauvegarde. Vous insistez sur la notion de stockage spécialisé et immuable. Pouvez-vous nous expliquer votre positionnement et ce qui vous différencie des autres approches de sauvegarde ?

Dorsan de Radiguès
Aujourd’hui, il existe beaucoup de solutions sur le marché, avec différents niveaux d’immuabilité embarquée : des solutions logicielles, d’autres qui s’appuient sur des couches matérielles sous-jacentes. De notre côté, nous maîtrisons l’ensemble des couches. On va hardcoder dans notre système d’exploitation, afin de supprimer certaines reconfiguration ou droits administrateur. Nous proposons ainsi une immuabilité native et absolue.

Concrètement, une fois qu’une rétention est définie, peu importe le niveau de droits — qu’il s’agisse d’un développeur chez nous ou d’un administrateur côté client — il n’existe aucun moyen de réduire ou de contourner cette rétention. C’est essentiel, car nous partons du principe que tous les comptes sont piratables.

Traditionnellement, la sécurité consiste à renforcer un château pour empêcher les intrusions. Mais un jour, il y aura toujours une faille. Nous, nous sommes là précisément pour ce scénario.

Julien Merali
En quoi la souveraineté est-elle un enjeu majeur, notamment en matière de sauvegarde ?

José Barbosa
La donnée est effectivement un actif stratégique et souvent sensible. Nos clients sont issus du secteur public, de l’industrie ou encore de la santé. Nous sommes certifiés ISO 27001, HDS, et en cours de qualification SecNumCloud pour ce même cloud.

Les enjeux de souveraineté sont donc essentiels. TENEXA est une société française depuis plus de 40 ans, et nos clients — banques, établissements publics — sont particulièrement attentifs à ces sujets, d’autant plus dans le contexte géopolitique actuel.

Cela fait partie des enjeux majeurs pour nos clients, et nous devions y répondre. Notre cloud privé existe depuis plus de quinze ans et répond à ces exigences depuis plus de quinze ans.

Julien Merali
Dorsan, quels arguments mettez-vous en avant pour garantir cette immuabilité face aux ransomwares et aux attaques que subissent les entreprises, publiques ou privées ?

Dorsan de Radiguès
Nous avons plusieurs arguments. D’abord, les retours d’expérience clients : certains utilisaient plusieurs typologies de stockage et ont subi des attaques. Le seul stockage qui a résisté à des attaques de grande ampleur, c’était le nôtre. Cette expérience terrain est déjà très parlante.

Ensuite, nous allons plus loin : chaque année, notre code source ainsi que l’ensemble des accès administrateur — console, réplication — sont audités par un cabinet de pentesting tiers. Plutôt que d’attendre la découverte de failles, nous demandons proactivement à des experts dont c’est le métier d’en trouver.

Nous ne dépendons pas de tests réalisés de manière opportuniste : ces audits sont menés chaque année, de façon récurrente, et nous en publions les résultats. Cette transparence permet à nos clients, aux hébergeurs et aux opérateurs avec lesquels nous travaillons d’avoir une véritable confiance dans notre solution.

Julien Merali
José, chez TENEXA, si l’on revient à la genèse de ce partenariat avec Object First, pourquoi avoir fait ce choix pour enrichir votre offre de sauvegarde ?

José Barbosa
Dans notre cloud privé souverain, nous utilisions déjà la solution Veeam, avec un objectif clair : avoir une maîtrise de bout en bout. Les solutions que nous proposons sont des offres de services que nous opérons pour nos clients.

Notre objectif est d’être en veille technologique permanente. Nous étudions le marché en continu et nous souhaitions identifier un acteur capable de sécuriser encore plus fortement nos sauvegardes, et celles opérées par nos équipes via la solution Veeam.

Nous avons donc « POCÉ » la solution Object First. Ce qui nous a semblé extrêmement intéressant, c’est que cette solution est complètement indépendante de notre offre de backup. Cela nous permettait d’ajouter un niveau de sécurité supplémentaire.

Nous l’avons évoqué tout au long de cet après-midi : le risque zéro n’existe pas. La compromission d’un compte administrateur reste possible, même pour une société certifiée ISO 27001 et en cours de qualification SecNumCloud. Il nous paraissait donc essentiel, en tant qu’opérateur de cloud, de répondre à cette problématique de sécurité par un acteur indépendant, afin de renforcer la sécurité de la donnée, qui, encore une fois, constitue le patrimoine de l’entreprise et doit être sanctuarisée.

Julien Merali
Dorsan, pourquoi avoir choisi un partenaire comme TENEXA ?

Dorsan de Radiguès
Tout d’abord, TENEXA est un partenaire historique, d’une certaine manière, notamment grâce à son partenariat existant avec Veeam. Cela signifie qu’ils disposaient déjà d’une forte expertise sur la typologie de clients que nous ciblons.

Deuxièmement, TENEXA s’inscrit dans des relations de long terme avec ses clients. Nous en parlions tout à l’heure : certains travaillent avec José et ses équipes depuis quinze ans. Ils ont accompagné ces clients dans l’évolution de leurs infrastructures, depuis des environnements serveurs classiques, vers la virtualisation, puis vers le multi-cloud, le cloud hybride, et aujourd’hui Kubernetes ou l’IA.

C’est précisément pour cette raison que ce partenariat avait du sens. Nous avions en face de nous un acteur qui maîtrise à la fois les enjeux côté client et l’expertise technique, capable de comprendre comment toutes les briques d’une infrastructure moderne doivent être reconstruites.

Car au-delà du fait de disposer de sauvegardes immuables hébergées, il est essentiel d’avoir un partenaire capable de démontrer la valeur du produit et surtout d’accompagner les clients dans la remontée de leurs infrastructures lorsqu’ils se retrouvent en situation de crise. C’est, pour moi, un point absolument clé.

Julien Merali
José, cette offre, vous la proposez à la fois en cloud privé chez vous, mais aussi directement chez le client. En quoi cette hybridation est-elle importante dans le contexte actuel ?

José Barbosa
Tout simplement parce que nous accompagnons des acteurs industriels, notamment dans des secteurs où la donnée est extrêmement sensible et ne peut pas sortir de l’entreprise.

C’est aussi le souhait de ces organisations de conserver la donnée — ou au moins un premier jeu de sauvegarde — sur site. L’intérêt de notre offre avec Object First est donc de pouvoir positionner cette appliance de manière totalement autonome chez le client, tout en assurant une gestion à distance par nos équipes, et en disposant d’un niveau de sauvegarde supplémentaire dans notre cloud privé souverain, situé en région parisienne.

C’est cette flexibilité qui est essentielle pour nos clients. Dans un premier temps, ils peuvent choisir de sauvegarder leurs données localement, avec une appliance complètement immuable tout en ayant la possibilité d’externaliser une copie de leurs données afin de créer un véritable air gap, aujourd’hui indispensable pour sanctuariser la donnée.

Julien Merali
Justement, sur ce thème de la sanctuarisation de la donnée, auriez-vous un premier cas d’usage à nous partager, dans un contexte particulièrement sensible ?

José Barbosa
Je ne peux pas citer de noms, mais il s’agit d’un acteur de l’industrie spatiale et aéronautique, disposant de plusieurs sites industriels. Dans ce type d’environnement, il n’y a pas toujours une gouvernance IT centralisée très développée. On retrouve souvent des équipes IT réduites et des solutions hétérogènes, notamment à la suite de rachats successifs.

La première problématique de ce client était donc de disposer d’une solution homogène, et non plus hétérogène. Le second enjeu était de pouvoir centraliser l’ensemble des sauvegardes de ces différents sites sur un point unique de sauvegarde.

Nous avons répondu à cette problématique en proposant un repository immuable centralisé, capable de consolider l’ensemble des données issues de ces environnements multi-sites.

Dans un premier temps, nous avons procédé à une analyse des besoins, puis à un POC. Tester la solution, la découvrir et accompagner nos clients et prospects dans cette phase est essentiel pour construire un partenariat solide. C’est par le test que l’on valide la solution.

Aujourd’hui, la solution est en production, elle fonctionne pleinement et le client est totalement satisfait.

Julien Merali
Dorsan, quelle a été votre valeur ajoutée sur ce cas d’usage, notamment en matière de reprise d’activité rapide et de confiance du client vis-à-vis de ses partenaires ?

Dorsan de Radiguès
Il y a plusieurs aspects. Tout d’abord, Object First repose sur une technologie de stockage objet. Dès l’origine, ce type de technologie a été vulgarisé par les développeurs d’Amazon et est devenu un standard du marché.

Concrètement, chaque image de sauvegarde stockée — quel que soit le type d’application — est associée à des métadonnées. Cela permet de remonter précisément dans le temps : identifier la date exacte de la sauvegarde, son état par rapport aux précédentes et à celles qui suivront. Ces métadonnées facilitent également des restaurations beaucoup plus rapides et efficaces, notamment en cas de restauration lors de crise cyber.

Avec nos appliances, selon les modèles, il est possible de redémarrer directement depuis le stockage jusqu’à 20 VM ou 45 VM, sans dépendre d’une infrastructure externe. Pour les environnements industriels, qui ont besoin de remettre rapidement en service un nombre limité d’applications critiques afin d’assurer une continuité d’activité minimale — ce que certains appellent un « minimum viable » — c’est précisément ce que permettent ces fonctionnalités accélérées.

Julien Merali
José, auriez-vous un second cas d’usage à nous partager, notamment sur les attentes et les contraintes rencontrées par vos clients ?

José Barbosa
Oui, c’est un cas un peu atypique. Nous hébergeons un acteur du retail pour lequel nous opérons déjà l’hébergement et la sauvegarde de données particulièrement sensibles. Sa problématique principale était de se prémunir contre les cyberattaques.

Nous lui avons bien sûr expliqué que la solution de sauvegarde Veeam en place était déjà immuable et sécurisée. Nous externalisions également des sauvegardes sur bande, avec une forte culture réglementaire issue notamment de notre expérience dans le secteur bancaire. À ce titre, nous proposons à nos clients un air gap physique, avec des bandes stockées dans des coffres ignifugés sur un troisième site, en complément de nos deux datacenters utilisés pour la résilience.

Naturellement, pour répondre spécifiquement à la problématique de la cyberattaque, nous avons proposé la solution Object First. Pour une raison simple : même avec des certifications ISO 27001 et une qualification en cours sur notre cloud, le risque zéro n’existe pas. L’erreur humaine ou l’usurpation d’identité peuvent conduire à la compromission d’un compte administrateur.

La solution Object First permet justement d’être totalement agnostique de l’environnement existant et d’apporter un sanctuaire complémentaire à notre dispositif de sauvegarde.

Julien Merali
Sur ce cas précis évoqué par José, en quoi la rupture protocolaire et la reprise accélérée constituent-elles un véritable atout lorsque les enjeux business sont forts, notamment dans une entreprise privée ?

Dorsan de Radiguès
La rupture protocolaire, de manière générale, impose à un attaquant de franchir une barrière supplémentaire s’il parvient à entrer dans l’infrastructure. Plus on multiplie ces options de reprises, plus on augmente les chances de pouvoir reprendre derrière.

Il y a ensuite un autre aspect tout aussi important : avec une solution totalement immuable de reprise, on dispose d’images de sauvegarde dont on sait qu’elles n’ont pas été modifiées, quel que soit le niveau de droits obtenu par les attaquants. Cette immuabilité est d’ailleurs régulièrement testée par des cabinets de pentesting.

Grâce à l’historique de ces différentes images, il est possible de remonter dans le temps, de scanner les sauvegardes et de s’assurer qu’elles sont saines. Cette capacité permet de cibler une reprise fiable et propre du système d’information, et donc d’assurer une véritable reprise d’activité.

Julien Merali
Nous avons beaucoup parlé de sujets techniques, mais l’accompagnement humain est aussi essentiel lorsqu’on aborde la cyber‑résilience et la protection du système d’information. Quelle est votre approche sur ce sujet ?

José Barbosa
Nous sommes totalement en phase sur ce point : l’accompagnement est primordial. D’ailleurs, sur le premier cas d’usage évoqué avec l’industriel, nous avons été challengés.

Le POC a été réalisé avec deux solutions différentes, et ce qui a clairement fait la différence dans le choix final du client, c’est l’accompagnement. Nous ne nous sommes pas contentés de mettre à disposition une appliance ou un repository : nous avons accompagné le client dès l’expression de ses besoins.

Nous avons cherché à comprendre précisément sa problématique, puis nous l’avons accompagné dans la mise en œuvre, en collaboration avec Object First. Pour nous, c’est un élément fondamental : construire une relation de partenariat avec le client final. Et je parle bien de partenaires, pas simplement de clients. C’est un point absolument clé.

Julien Merali
Dorsan, existe-t-il des évolutions récentes — ou à venir — qui vous permettent d’être encore plus proches des problématiques de vos clients ?

Dorsan de Radiguès
Si l’on se place du point de vue logiciel, nous avons récemment embarqué une fonctionnalité de type honeypot. Pour ceux qui ne connaissent pas, il s’agit d’une zone de leurre d’hameçonnage destinée à capter les signaux précurseurs d’attaques.

Concrètement, cela permet de détecter depuis quelles adresses IP des tentatives d’intrusion sont effectuées, selon quelles méthodes — RDP, HTTPS, etc. — sans aucun lien avec les données réellement sauvegardées. Ces alertes offrent une visibilité immédiate aux équipes sur d’éventuelles tentatives d’intrusion sur le SI.

Au-delà de cela, nous avons également renforcé l’intégration avec les outils existants : métriques matérielles, alertes de stockage, détection d’accès illicites… Toutes ces informations peuvent être remontées dans les outils déjà en place, sans ajouter une brique supplémentaire lourde à administrer.

Cela permet non seulement d’alerter les clients finaux, mais aussi de donner aux équipes techniques Tenexa les moyens d’assurer un accompagnement continu. C’est là qu’elles apportent une réelle valeur ajoutée, en étant capables de détecter et d’anticiper des intrusions grâce à ces mécanismes.

Julien Merali
José, avec votre vision globale, comment voyez-vous l’avenir du marché de la sauvegarde ? Devient-elle une brique à part entière, distincte des autres composants IT, un véritable sanctuaire intouchable ?

José Barbosa
C’est aujourd’hui primordial. Historiquement, la sauvegarde servait avant tout à restaurer des données suite à un incident ou à un effacement accidentel.

Ce besoin existe toujours, bien sûr, tout comme les contraintes réglementaires que nous avons évoquées. Mais désormais, il faut aussi intégrer la cyberattaque et la compromission de la donnée. Pour nous, l’enjeu est fondamental : la donnée reste le patrimoine de l’entreprise.

Notre conviction — que ce soit chez TENEXA, avec Object First ou avec Veeam — est que les solutions de sauvegarde constituent le dernier rempart pour pouvoir redémarrer après une crise majeure. Il ne suffit pas de sauvegarder : il faut penser la sauvegarde, la tester, la valider.

Les tests de reprise d’activité sont essentiels pour garantir la continuité et la résilience des entreprises.

Interview réalisée par Julien Merali, Directeur du Pôle IT
Un rendez-vous de l’Agora des RSSI
Un événement Agora Managers Groupe