Sauvegarde des données : bâtir un dispositif qui tient

La sauvegarde des données consiste à créer des copies indépendantes de vos fichiers, sur des supports séparés, pour les rétablir après une panne, une erreur humaine ou une attaque. Un dispositif sérieux repose sur trois copies, deux types de supports, une copie hors site et un test de restauration périodique. Le reste relève du bricolage.

Ce que la sauvegarde des données recouvre, et ce qu’elle ne couvre pas

Trois dispositifs se font passer pour une sauvegarde dans les petites structures, et aucun des trois n’en est une. La confusion se paie le jour de l’incident, quand la copie censée sauver l’entreprise se révèle aussi inutilisable que l’original.

La définition tient en une phrase : une copie indépendante, figée à un instant donné, stockée sur un support distinct, dont le contenu ne bouge pas quand l’original est altéré. Chaque mot compte, et chacun manque à l’un des trois faux amis suivants.

La synchronisation n’est pas une sauvegarde

Google Drive, OneDrive, Dropbox, Nextcloud recopient en temps réel ce que vous modifiez. Supprimez un dossier par erreur, il disparaît des deux côtés en quelques secondes. Laissez un rançongiciel chiffrer vos fichiers, les versions chiffrées remontent dans le nuage et écrasent les bonnes.

La plupart de ces services conservent un historique de versions, souvent trente jours. Ce filet existe, mais il dépend entièrement de l’éditeur, se limite à certains types de fichiers et devient inexploitable sur plusieurs milliers d’éléments à restaurer d’un coup. Un historique rend service ; il ne remplace pas un jeu de sauvegardes daté que vous contrôlez.

Le RAID protège le disque, pas vos fichiers

Un serveur ou un NAS configuré en RAID 1 ou RAID 5 encaisse la mort d’un disque sans perdre une ligne. Le mécanisme reste inopérant contre tout le reste : suppression humaine, corruption logicielle, chiffrement malveillant, dégât des eaux dans le local technique, vol du boîtier. Le RAID assure la continuité de service, jamais la récupération.

L’archivage répond à une autre question

Une archive conserve une donnée sortie de l’usage courant que la loi ou votre métier vous impose de garder : factures, contrats signés, dossiers clos, bulletins de paie. La sauvegarde, elle, sert à revenir en arrière vite. Les deux besoins coexistent, avec des durées de conservation et des supports qui n’ont rien de commun.

Recenser vos données avant d’acheter le moindre outil

L’étape que personne ne franchit, et celle qui décide de tout. Un dispositif de sauvegarde ne vaut que par son périmètre : ce qui n’a pas été recensé ne sera pas copié, et personne ne s’en apercevra avant le sinistre.

Les gisements à inventorier dans une TPE ou une PME classique :

• Les postes de travail, y compris les ordinateurs portables qui dorment chez les collaborateurs
• Le serveur de fichiers ou le NAS partagé, avec ses droits d’accès
• Les boîtes aux lettres professionnelles, souvent hébergées chez Microsoft ou Google
• Les logiciels métier installés en local : comptabilité, devis, gestion de stock, CAO
• Les applications en ligne : CRM, facturation, paie, gestion de projet
• Le site internet et sa base de données
• Les smartphones professionnels, photos de chantier et notes vocales comprises
• Les supports amovibles qui traînent : clés USB, disques de transport, cartes mémoire

Le baromètre France Num 2025, réalisé par le Crédoc pour la Direction générale des entreprises auprès de plus de 11 000 entreprises, mesure que 82 % des TPE et PME ayant déployé des mesures de cybersécurité disposent d’une sauvegarde externe à leurs locaux, cloud compris. Un taux élevé, qui masque une réalité moins flatteuse : la sauvegarde couvre presque toujours le serveur de fichiers, rarement les postes nomades, presque jamais les applications en ligne.

Vos données SaaS ne sont pas sauvegardées par l’éditeur

Microsoft, Google et la quasi-totalité des éditeurs d’applications en ligne fonctionnent sur un modèle de responsabilité partagée. Le fournisseur garantit la disponibilité de son infrastructure ; vous restez responsable du contenu que vous y déposez. Une boîte mail vidée par un ancien salarié, une fiche client écrasée dans le CRM, un dossier supprimé par un compte compromis : ces cas relèvent de votre périmètre, pas du leur.

Les corbeilles et rétentions natives couvrent quelques semaines au mieux. Au-delà, la donnée est perdue. Des solutions tierces sauvegardent Microsoft 365, Google Workspace ou les principaux CRM vers un stockage indépendant, pour un coût mensuel par utilisateur qui reste modeste au regard de l’enjeu.

Classer par criticité, pas par volume

Le réflexe naturel consiste à protéger d’abord ce qui pèse lourd. Mauvais critère. Le bon classement mesure ce que l’arrêt de chaque jeu de données coûte à l’entreprise.

Trois niveaux suffisent : les données vitales dont l’absence stoppe l’activité en quelques heures, les données importantes qui dégradent le service sans le bloquer, les données de confort qui se reconstituent. La comptabilité et le fichier clients tombent dans la première catégorie. Les photos de l’ancien local, dans la troisième.

RPO et RTO : les deux chiffres qui commandent tout le dispositif

Ces deux acronymes viennent du monde des plans de reprise d’activité, et une entreprise de dix personnes les utilise aussi utilement qu’un grand compte.

Le RPO, ou objectif de point de récupération, exprime la quantité de travail que vous acceptez de perdre. Une sauvegarde quotidienne à 22 h impose un RPO de vingt-quatre heures : un incident à 21 h vous fait refaire la journée entière.

Le RTO, ou objectif de temps de récupération, exprime la durée pendant laquelle vous acceptez de rester à l’arrêt. Restaurer 500 Go depuis un stockage distant sur une connexion moyenne prend des heures, parfois une nuit complète. Ce délai se mesure avant l’incident, pas pendant.

Comment fixer ces deux valeurs sans y passer un trimestre :

1. Prenez vos trois jeux de données vitaux, pas plus
2. Pour chacun, chiffrez le coût d’une journée d’arrêt : chiffre d’affaires non facturé, heures perdues, pénalités contractuelles, clients non servis
3. Comparez ce coût au surcoût d’un dispositif plus rapide ou plus fréquent
4. Retenez le RPO et le RTO au point où le surcoût dépasse la perte évitée
5. Écrivez les deux chiffres noir sur blanc dans une note d’une page, datée

Cette note d’une page vaut cahier des charges. Tout prestataire capable de lire deux chiffres saura vous proposer une architecture cohérente, et vous saurez comparer deux devis sur autre chose que le prix.

De la règle 3-2-1 à la règle 3-2-1-1-0

La règle 3-2-1 ne sort pas d’un laboratoire de cybersécurité. Le photographe américain Peter Krogh l’a formulée en 2005 dans son ouvrage The DAM Book, consacré à la gestion des fichiers numériques. Vingt ans plus tard, elle structure encore la quasi-totalité des politiques de sauvegarde.

Les trois chiffres d’origine

• Trois copies au total : l’originale et deux sauvegardes distinctes
• Deux types de supports différents : un disque interne et un NAS, un NAS et un stockage distant, jamais deux disques du même modèle achetés le même jour
• Une copie hors site, physiquement éloignée du local principal, à l’abri d’un incendie, d’une inondation ou d’un cambriolage

Le troisième point se néglige beaucoup en petite structure. Un NAS posé sous le bureau du dirigeant à côté du serveur qu’il sauvegarde ne protège de rien le jour où le local brûle.

Le quatrième chiffre : une copie hors ligne ou immuable

Les rançongiciels ont rendu la règle historique insuffisante. Le rapport Ransomware Trends 2025 de Veeam, mené auprès de 1 300 organisations en Amérique, en Europe et en Australie, mesure que 69 % d’entre elles ont subi au moins une attaque sur douze mois, et surtout que 89 % des organisations touchées ont vu leurs dépôts de sauvegarde visés par les attaquants. En moyenne, 34 % de ces dépôts ont été modifiés ou effacés.

D’où l’ajout d’un quatrième terme : une copie hors ligne, déconnectée du réseau, ou stockée sous un format immuable que même un compte administrateur compromis ne peut ni écraser ni supprimer avant l’expiration d’un délai fixé.

Les formes concrètes que prend cette copie :

• Un disque externe branché uniquement pendant la fenêtre de sauvegarde, puis rangé dans un coffre
• Une bande magnétique, encore très employée dans les secteurs réglementés
• Un stockage objet avec verrouillage temporel activé chez un hébergeur, souvent commercialisé sous le nom de coffre immuable
• Un compte de sauvegarde dont les identifiants ne sont utilisés par aucun poste de travail

Le zéro : aucune erreur à la vérification

Le dernier chiffre exige zéro erreur lors de la vérification des sauvegardes. Une copie qui se termine sur un avertissement ignoré depuis trois mois n’est pas une sauvegarde, c’est une illusion de sauvegarde. Les chiffres de Veeam le confirment brutalement : parmi les organisations attaquées, seules 10 % ont récupéré plus de 90 % de leurs données, tandis que 57 % en ont récupéré moins de la moitié.

Choisir ses supports sans se tromper

Aucun support ne coche toutes les cases. Le bon dispositif en combine deux ou trois, chacun couvrant les faiblesses des autres.

Le disque externe

Bon marché, immédiat, facile à débrancher : ses qualités en font le support hors ligne idéal des très petites structures. Ses défauts se compensent par la discipline. Un disque unique branché en permanence sur le serveur sera chiffré en même temps que lui.

La pratique qui fonctionne tient en une rotation hebdomadaire : deux ou trois disques identiques, un seul branché à la fois, les autres stockés hors des locaux. Le remplacement s’anticipe, un disque mécanique manipulé régulièrement fatiguant plus vite qu’un disque fixe.

Le NAS

Le boîtier de stockage réseau centralise les sauvegardes de plusieurs postes, gère les versions, planifie les tâches et réplique vers un second site. Son intérêt grandit avec le nombre d’utilisateurs.

Deux précautions valent d’être rappelées. Le NAS reste une cible : exposé sur internet sans mise à jour, il devient une porte d’entrée bien connue des attaquants. Ses partages réseau montés en permanence sur les postes sont accessibles à un rançongiciel comme n’importe quel dossier local. Une supervision régulière des mises à jour et des journaux fait partie du travail d’infogérance et de supervision informatique dont beaucoup de PME se dispensent à tort.

Le cloud de sauvegarde

Un service de sauvegarde en ligne règle la question du hors-site sans transport de matériel. Il tourne sans intervention humaine, ce qui élimine la première cause d’échec des dispositifs manuels : l’oubli.

Les critères de choix qui comptent vraiment :

• La localisation des centres de données, en France ou dans l’Union européenne pour la conformité au RGPD
• Le chiffrement de bout en bout, avec une clé que vous détenez seul
• La rétention configurable, en jours et en nombre de versions
• La disponibilité d’un verrouillage immuable sur les sauvegardes
• Le coût de sortie des données, souvent facturé au volume restauré
• La possibilité d’une restauration par envoi physique de disque en cas de gros volume

Ce dernier point surprend beaucoup de dirigeants. Rapatrier plusieurs téraoctets par une connexion d’entreprise standard se compte en jours. Si vos volumes sont importants, votre RTO dépendra de la bande passante bien plus que du prix de l’abonnement. La question rejoint celle de l’architecture générale de votre système d’information, qu’une migration vers le cloud bien conduite tranche dès la phase de cadrage.

Tester la restauration : ce que le RGPD attend de vous

Une sauvegarde jamais restaurée reste une hypothèse. L’article 32 du règlement général sur la protection des données impose deux obligations complémentaires aux responsables de traitement : la capacité de rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident, et une procédure visant à tester et évaluer régulièrement l’efficacité des mesures de sécurité.

Le guide de la sécurité des données personnelles publié par la CNIL descend au niveau opérationnel : des tests de restauration doivent être menés régulièrement, et une sauvegarde hors ligne doit exister au moins une fois par an. Le régulateur ne suggère pas, il documente ce qu’il attend de trouver lors d’un contrôle.

Ce qu’un test sérieux mesure vraiment

Un test de restauration digne de ce nom ne se limite pas à ouvrir un fichier au hasard. Le protocole minimal :

1. Restaurer un jeu complet, pas un fichier isolé, sur un environnement séparé de la production
2. Chronométrer l’opération de bout en bout et comparer le résultat au RTO annoncé
3. Vérifier l’intégrité fonctionnelle : la base comptable s’ouvre-t-elle, les liens entre documents tiennent-ils, les droits d’accès sont-ils cohérents
4. Contrôler la date réelle du point de restauration face au RPO visé
5. Consigner la date, la durée, l’opérateur et les anomalies dans un journal de restauration

Ce journal a deux usages. Il sert de preuve documentaire en cas de contrôle, et il révèle les dérives lentes : une restauration qui passe de deux heures à six en dix-huit mois annonce un dispositif qui ne tiendra pas ses promesses le jour venu.

À quelle fréquence tester

Un test complet par trimestre suffit dans une structure de moins de vingt personnes, complété par un test ponctuel après chaque changement significatif : nouveau serveur, changement de logiciel métier, migration de messagerie, arrivée d’un prestataire. Le rapport Veeam relève d’ailleurs que 98 % des organisations interrogées disposaient d’un plan de réponse aux rançongiciels, mais que moins de la moitié de ces plans couvraient les éléments techniques déterminants. Écrire la procédure ne suffit pas, la dérouler pour de vrai fait toute la différence.

Le facteur humain pèse ici autant que la technique. Un dispositif compris et exécuté par deux personnes formées résiste mieux qu’une architecture élégante maîtrisée par un seul prestataire injoignable en août. Une entreprise qui restaure en trois heures a presque toujours investi dans la formation digitale de ses salariés avant d’investir dans du matériel.

Les erreurs qui coûtent le plus cher

Les sinistres documentés se ressemblent beaucoup plus que les dispositifs réussis. Six pièges reviennent systématiquement.

• Sauvegarder sur le même réseau uniquement. L’ANSSI a traité 128 compromissions par rançongiciel en 2025 contre 141 l’année précédente, mais la part des TPE, PME et ETI parmi les victimes est passée de 37 % à 48 %. Les petites structures sont devenues la cible privilégiée, et un dispositif entièrement accessible depuis le réseau de production tombe avec lui.
• Confier la sauvegarde à une seule personne. Le jour où elle part en congés, change d’employeur ou tombe malade, le dispositif s’arrête sans bruit. Deux référents minimum, une procédure écrite.
• Ignorer les alertes. Un rapport d’échec quotidien que plus personne ne lit finit par devenir invisible. Une notification qui n’appelle aucune action doit être supprimée, pas tolérée.
• Oublier les postes nomades. Les portables des commerciaux et des dirigeants concentrent souvent des documents jamais déposés sur le serveur commun.
• Négliger le site internet. La base de données et les fichiers d’un site vitrine ou marchand se sauvegardent séparément de l’hébergement mutualisé, sur un support que vous contrôlez.
• Confondre sauvegarde et récupération d’urgence. Faute de copie exploitable, la seule issue restante devient la récupération de données sur disque dur en laboratoire, longue, incertaine et facturée au niveau d’une intervention exceptionnelle.

Le contexte français ne laisse guère de marge. Cybermalveillance.gouv.fr a accompagné plus de 500 000 victimes en 2025, soit 20 % de plus qu’en 2024, avec une hausse de 107 % des demandes d’assistance liées aux violations de données. Le baromètre France Num 2025 mesure de son côté que 52 % des TPE et PME redoutent une perte de données ou un piratage, en progression de trois points sur un an.

Le chantier à lancer ce mois-ci

Bloquez deux heures et produisez l’inventaire : chaque gisement de données, son emplacement, sa criticité, sa sauvegarde actuelle. La colonne « sauvegarde actuelle » restera vide sur deux ou trois lignes, et ce sont exactement celles-là qui vous coûteront cher.

Choisissez ensuite un jeu de données vital et restaurez-le pour de bon, sur un poste de test, chronomètre en main. Le résultat de cet exercice vous en apprendra plus sur votre exposition réelle que n’importe quel devis. Prochaine étape : reprendre les bonnes pratiques de cybersécurité pour TPE-PME autour de ce socle, et fixer une date de test trimestriel dans l’agenda partagé.