Sauvegarde externalisée pour PME : pourquoi une copie ne suffit pas, comment tester votre restauration et les questions à poser à votre prestataire.
En résumé :
A la question "une sauvegarde externalisée suffit-elle à protéger mon entreprise ?"
Notre réponse d'expert est la suivante : elle est nécessaire, mais pas suffisante. Elle protège si la copie est réellement hors de portée de l'incident et si la restauration a déjà été testée. Sans ces deux conditions, vous avez une copie, pas un plan B.
Le site affiche une page d'erreur. Les mails ne partent plus. Le devis de la semaine est introuvable. Vous vous dites : « On a des sauvegardes, ça va aller. »
Peut-être. Mais la bonne question n'est pas « ai-je une copie ? ». C'est : « dans combien de temps tout redémarre, et avec quelles données ? »
C'est la différence entre une sauvegarde et un plan B.
Les causes d'une perte de données sont banales. Ce sont rarement des catastrophes spectaculaires.
Les chiffres officiels montrent que le sujet n'est pas théorique. La CNIL a reçu 5 629 notifications de violations de données en 2024, soit 20% de plus qu'en 2023, et ses constats pointent d'abord les piratages, devant les erreurs humaines. Ces notifications concernent des organisations de toutes tailles, grandes bases de données comprises : elles ne disent pas que votre entreprise sera touchée, elles montrent que les causes sont courantes.
Pendant que vous cherchez une solution, l'activité continue de vous manquer : pas de commandes en ligne, pas de prise de rendez-vous, pas de facturation, pas de réponse aux clients. Chaque heure compte, surtout pour une petite structure qui n'a pas de service informatique.
Beaucoup d'entreprises se croient protégées parce qu'une copie existe quelque part. Quatre situations très courantes les trompent.
Si la copie se trouve sur la machine qu'elle protège, une panne, un incendie ou une attaque emporte les deux. C'est une commodité (revenir à la version d'hier), pas une protection.
Un snapshot est un instantané de votre serveur, pratique avant une mise à jour. Mais il vit généralement sur la même infrastructure que le serveur lui-même. Les attaquants le savent : ils cherchent et suppriment les instantanés avant de lancer le chiffrement, justement pour empêcher la restauration.
Dans un serveur virtuel VPS, le snapshot reste un bon outil de confort. Il ne remplace pas une copie séparée.
Un disque dur ou un NAS connecté en permanence au réseau est accessible à un logiciel malveillant, comme le reste. Et il se trouve dans vos locaux : si le bureau brûle, il brûle avec.
C'est le point le plus souvent ignoré. Une sauvegarde peut être hors de vos locaux et pourtant à portée d'un attaquant, si la console de sauvegarde se connecte avec les mêmes identifiants que votre serveur. Quiconque s'empare de ces accès peut effacer les copies.
Externalisée ne veut donc pas dire isolée. Une bonne sauvegarde externalisée est hors de vos locaux et difficile à atteindre depuis votre système.
Les spécialistes parlent de la règle « 3-2-1-1-0 » :
3
copies de vos données importantes (l'original plus deux sauvegardes).
2
supports différents, pour ne pas dépendre d'un seul type de stockage.
1
copie hors site, en dehors de vos locaux.
1
copie hors de portée d'une attaque, c'est-à-dire protégée contre l'effacement ou déconnectée.
0
erreur de restauration, vérifiée par un test réel et pas seulement par un voyant vert.
Cette règle est pensée pour des environnements exigeants. Pour une TPE, il est plus utile de raisonner en deux niveaux.
Une sauvegarde jamais restaurée est une hypothèse. Elle fonctionne le jour où vous en avez besoin, ou elle ne fonctionne pas. Et vous ne le saurez que ce jour-là.
Il n'y a pas de bonne réponse universelle. Un site vitrine et une boutique en ligne n'ont pas les mêmes besoins. L'important est de poser ces deux questions avant l'incident. Elles sont au cœur d'un plan de reprise d'activité.
Une cadence simple suffit pour commencer :
Notez chaque test : la date, ce qui a fonctionné, ce qui a pris du temps. Ce court compte rendu vaut mieux que toutes les promesses.
Beaucoup de plans B échouent par oubli. Pensez à l'ensemble :
Votre site web
les fichiers et la base de données.
Vos mails
boîtes, dossiers, historique.
documents, devis, factures, contrats.
Vos postes de travail
selon ce qu'ils contiennent réellement.
Vos accès
identifiants d'administration, nom de domaine, certificats.
Posez-vous une question simple : si je repartais d'un serveur vide, de quoi ai-je besoin pour être opérationnel demain matin ?
Comptez votre nombre de "oui".
| N° | Questions |
|---|---|
| 1 | Où se trouve la copie ? Un incident sur votre serveur ou dans vos locaux peut-il l'atteindre ? |
| 2 | Les identifiants de sauvegarde sont-ils distincts de ceux de votre serveur ? |
| 3 | Une copie est-elle protégée contre l'effacement ou déconnectée ? |
| 4 | Quand avez-vous restauré pour la dernière fois, et en combien de temps ? |
| 5 | Le périmètre couvre-t-il votre site, vos bases de données, vos mails et vos fichiers ? |
| 6 | Qui lance la restauration, et sous quel délai pouvez-vous le joindre ? |
CloudEst est basé à Millery, entre Nancy et Metz, et accompagne des TPE et PME lorraines depuis 2015. Pour la sauvegarde, voici concrètement ce que nous faisons :