Un disque dur qui lâche, un rançongiciel qui chiffre le serveur, une erreur humaine qui écrase un dossier client : la panne arrive toujours au mauvais moment. Dans beaucoup de PME, la sauvegarde de données existe sur le papier mais n’a jamais été testée en conditions réelles. Le jour où elle doit servir, c’est souvent là que le budget explose et que l’activité s’arrête pour de bon.
En bref
Une sauvegarde de données mal pensée coûte cher : perte de fichiers irrécupérables, arrêt d’activité de plusieurs jours, rançon versée sans garantie de récupération, et parfois sanction liée au RGPD si des données personnelles sont concernées. La CNIL et l’ANSSI convergent sur une même base technique : la règle 3-2-1 (trois copies, deux supports, une copie hors ligne), avec des sauvegardes chiffrées, isolées du réseau de production et testées régulièrement.
Le coût réel ne se mesure pas au prix du stockage, mais au temps d’indisponibilité et à la confiance perdue chez les clients pendant l’incident.
Ce que coûte vraiment une mauvaise stratégie de sauvegarde
Le coût direct se calcule facilement : heures de travail pour reconstituer les fichiers, prestataire appelé en urgence, parfois rançon négociée sans certitude de récupérer quoi que ce soit. Le coût indirect pèse davantage : commandes non traitées, facturation bloquée, rendez-vous clients annulés, équipe commerciale sans accès au CRM pendant plusieurs jours.
Dans le cas d’une cyberattaque par rançongiciel, l’absence de copie isolée aggrave tout : si elle reste connectée au même réseau que les postes infectés, elle est chiffrée avec le reste. L’entreprise se retrouve sans levier de négociation et sans plan de restauration, ce qui prolonge l’arrêt d’activité de quelques heures à plusieurs semaines.
Les erreurs les plus fréquentes en PME
La sauvegarde de données échoue rarement au moment de l’enregistrement ; elle échoue au moment de la restauration, quand personne ne l’a vérifiée depuis des mois. Quatre erreurs reviennent dans la majorité des diagnostics techniques menés en PME :
| Erreur constatée | Conséquence concrète |
|---|---|
| Une seule copie, sur le même serveur que les données sources | Panne matérielle ou rançongiciel détruisent l’original et la copie en même temps |
| Aucun test de restauration depuis la mise en place | Le fichier de sauvegarde existe mais s’avère corrompu ou incomplet au moment critique |
| Sauvegarde cloud limitée aux fichiers bureautiques | Les bases de données métier (CRM, ERP, logiciel de gestion) ne sont jamais couvertes |
| Aucune sauvegarde hors ligne ou déconnectée | Impossible d’isoler une copie saine en cas d’attaque informatique |
Ces constats rejoignent ceux publiés par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui rappelle que la sauvegarde figure parmi les mesures les plus citées après un incident, mais aussi parmi les plus souvent mal appliquées.
La règle 3-2-1 comme référence technique
La CNIL recommande d’appliquer la règle dite « 3-2-1 » : trois copies des données, sur deux supports différents, dont une copie hors ligne et déconnectée du réseau de production. Cette copie isolée est ce qui permet de repartir après un rançongiciel, puisqu’elle n’a jamais été exposée à l’attaque.
Chaque copie doit être protégée au même niveau que les données de production : chiffrement au repos et en transit, stockage dans un lieu sécurisé, et encadrement contractuel clair si la prestation est externalisée. La CNIL insiste sur un point souvent négligé : une sauvegarde non testée n’a aucune valeur opérationnelle tant que sa capacité de restauration n’a pas été vérifiée.
Certaines organisations font évoluer ce principe vers une version 3-2-1-1-0 : une copie immuable en plus, et zéro erreur constatée lors des tests de restauration. L’objectif reste le même, garantir qu’une copie saine et exploitable existe toujours, quoi qu’il arrive au reste du système.
Construire une stratégie fiable, étape par étape
Une stratégie de sauvegarde solide se construit à partir des usages réels de l’entreprise, pas d’un outil choisi par défaut. Voici la méthode suivie lors d’un diagnostic technique :
- Lister ce qui doit être sauvegardé : fichiers, messagerie, bases de données applicatives, configurations serveur.
- Définir la fréquence selon la criticité : quotidienne pour les données transactionnelles, hebdomadaire pour les archives.
- Choisir deux supports distincts, dont au moins un déconnecté en permanence du réseau de production.
- Chiffrer chaque copie et documenter qui y a accès.
- Planifier un test de restauration trimestriel, avec mesure du temps réellement nécessaire pour tout remettre en service.
Ce dernier point conditionne le plan de reprise d’activité de l’entreprise : une sauvegarde qui existe mais qui prend trois jours à restaurer n’apporte pas la même protection qu’une copie remise en service en quelques heures.
Note terrain Lead4you
Sur plusieurs diagnostics menés en PME, le même scénario revient : la direction pense être couverte parce qu’un abonnement cloud sauvegarde « automatiquement » les postes de travail. En réalité, cet abonnement couvre les fichiers bureautiques, pas la base de données du logiciel métier installée sur le serveur local. Le jour d’une panne, les documents Word reviennent ; le fichier client dans le logiciel de gestion, lui, reste perdu. Le premier réflexe à avoir n’est pas de changer d’outil, mais de vérifier précisément ce que couvre la sauvegarde en place, poste par poste et application par application.
Checklist rapide
- Trois copies des données, sur deux supports différents, dont une hors ligne.
- Chiffrement de chaque copie, y compris pendant le transfert.
- Couverture vérifiée des bases de données métier, pas seulement des fichiers bureautiques.
- Test de restauration planifié au moins une fois par trimestre.
- Durée de conservation documentée et adaptée à l’activité.
- Contrat clair avec le prestataire si la sauvegarde est externalisée.
Sauvegarde et RGPD : ce qui change pour les données personnelles
Dès qu’une sauvegarde contient des données personnelles (fichiers clients, dossiers RH, données administratives liées à la santé), elle entre dans le champ de l’article 32 du RGPD, qui impose des mesures de sécurité proportionnées au risque. La CNIL précise qu’une copie doit bénéficier du même niveau de protection que les données sources, avec une localisation, une durée de conservation et un mode de suppression documentés au même titre que le reste du traitement.
Pour une structure qui traite des données sensibles, une copie mal sécurisée constitue une faille de sécurité au même titre qu’un accès non protégé sur le système principal.
Demander un diagnostic technique de votre sauvegarde et de votre continuité d’activité
À lire ensuite
Sources et repères utiles
FAQ
Qu’est-ce qu’une stratégie de sauvegarde de données efficace ?
C’est un dispositif qui garantit qu’une copie saine et restaurable des données existe toujours, même en cas de panne, d’erreur humaine ou de rançongiciel. Elle repose sur plusieurs copies, des supports distincts, un chiffrement systématique et des tests de restauration réguliers, pas seulement sur l’existence d’un fichier de sauvegarde.
Quelle est la règle 3-2-1 pour la sauvegarde de données ?
Elle consiste à conserver trois copies des données, sur deux supports différents, dont une copie hors ligne déconnectée du réseau de production. Cette règle, recommandée par la CNIL et citée par l’ANSSI, limite le risque qu’un incident unique détruise à la fois l’original et toutes ses copies.
À quelle fréquence faut-il sauvegarder ses données professionnelles ?
La fréquence dépend de la criticité des données : quotidienne pour les bases transactionnelles comme un CRM ou un logiciel de facturation, hebdomadaire pour les archives moins sensibles. L’objectif est de limiter la perte de données à ce que l’entreprise peut se permettre de reproduire manuellement.
Sauvegarde cloud ou sauvegarde locale : laquelle choisir ?
Les deux se complètent plutôt qu’elles ne s’opposent. Le cloud apporte l’éloignement géographique exigé par la règle 3-2-1, tandis qu’une copie locale déconnectée permet une restauration rapide sans dépendre d’une connexion internet. Une stratégie fiable combine généralement les deux.
La sauvegarde de données est-elle une obligation RGPD ?
Le RGPD n’impose pas un format de sauvegarde précis, mais son article 32 exige des mesures de sécurité proportionnées dès que des données personnelles sont traitées. Une sauvegarde non chiffrée ou non documentée peut être considérée comme une mesure insuffisante en cas de contrôle ou d’incident.
Combien de temps conserver une sauvegarde de données ?
La durée doit être définie selon l’usage réel : assez longue pour couvrir un incident détecté tardivement, assez courte pour rester cohérente avec la politique de conservation des données personnelles. Elle doit être documentée et justifiée, pas fixée par défaut selon la capacité de stockage disponible.