Sauvegardes : la dernière fois que vous l'avez testée, c'était quand ?

La sauvegarde est le sujet informatique que tout le monde dit avoir réglé, et que presque personne n'a vraiment testé. Ce n'est pas une question de mauvaise volonté — c'est souvent une question de confusion entre ce qui protège les fichiers des collaborateurs et ce qui protège les données critiques de l'entreprise. Les deux ne fonctionnent pas pareil, et ne demandent pas la même chose.

Deux types de données, deux approches

Quand on parle de sauvegarde dans une PME, il faut d'abord distinguer deux périmètres qui n'ont pas les mêmes contraintes.

• Les fichiers de travail des collaborateurs — documents Word, Excel, PDF, présentations, fichiers de projet. Ce sont les données que chaque collaborateur produit et consulte au quotidien depuis son poste.
• Les données d'infrastructure — base de données du logiciel de gestion ou de l'ERP, annuaire Active Directory, configurations des équipements réseau, emails archivés, données partagées sur un serveur. Ces données ne vivent pas sur le poste d'un collaborateur. Elles vivent sur un serveur, sur site ou dans le cloud.

Ces deux périmètres ne se protègent pas de la même façon. Confondre les deux, c'est soit sur-investir sur les fichiers collaborateurs, soit laisser les données critiques sans protection sérieuse.

Les fichiers collaborateurs : la synchronisation cloud suffit, à condition de comprendre ce qu'elle couvre

Pour les fichiers de travail des collaborateurs, la synchronisation cloud est une solution solide et suffisante dans la plupart des PME. Les fichiers sont stockés dans le cloud, accessibles depuis n'importe quel poste, et protégés par plusieurs mécanismes natifs.

Ce que la synchronisation cloud couvre

• La corbeille et la récupération de fichiers supprimés.
  Quand un fichier est supprimé de l'espace cloud synchronisé, il passe d'abord dans la corbeille de l'utilisateur, puis dans la corbeille de collection de sites. La durée de rétention totale est de 93 jours avant suppression définitive — source : Microsoft Learn, Résilience des données SharePoint et OneDrive. Passé ce délai, le fichier ne peut plus être récupéré.
• Le versioning (historique des versions).
  La solution conserve par défaut un minimum de 500 versions d'un même fichier. Cela signifie que si un collaborateur écrase accidentellement un document, ou si un ransomware commence à chiffrer des fichiers synchronisés, vous pouvez remonter à une version antérieure. Cette fonctionnalité est active par défaut — source : Microsoft Learn, Limites de l'historique des versions.
• La restauration complète de l'espace cloud.
  La fonction de restauration complète permet d'annuler toutes les modifications survenues sur l'ensemble des fichiers dans les 30 derniers jours — source : Support Microsoft, Restaurer votre espace OneDrive. C'est la protection la plus directe contre un chiffrement partiel par ransomware sur les fichiers synchronisés.

Ce que la synchronisation cloud ne couvre pas

• Les fichiers stockés uniquement en local. Si un collaborateur enregistre ses fichiers sur le bureau ou dans un dossier qui n'est pas synchronisé, la solution cloud ne les protège pas. C'est la limite la plus fréquente : la synchronisation ne couvre que les fichiers placés dans le dossier configuré à cet effet.
• La suppression d'un compte utilisateur. Quand un collaborateur quitte l'entreprise et que son compte est supprimé, son espace cloud est conservé par défaut 30 jours avant d'être déplacé en état supprimé, puis définitivement effacé après 93 jours supplémentaires — source : Microsoft Learn, Restaurer un OneDrive supprimé. Si personne ne récupère ces fichiers avant, ils disparaissent.
• Les données qui ne sont pas des fichiers. Emails archivés, base de données d'un logiciel métier, configuration d'un serveur — ce n'est pas la synchronisation cloud qui protège ces éléments.

Le quota de stockage

La plupart des solutions de synchronisation cloud proposent 1 To de stockage par utilisateur. Pour une PME dont les collaborateurs travaillent principalement sur des documents bureautiques, ce quota ne sera jamais atteint.

En revanche, si certains collaborateurs stockent de gros fichiers médias, des projets de CAO ou des archives volumineuses, la question du quota peut se poser.

La console d'administration de votre solution cloud permet de suivre l'utilisation par utilisateur.

Les données serveur : c'est là que la règle 3-2-1 s'impose

Pour les données d'infrastructure — base de données, annuaire, configurations réseau, données partagées sur un serveur — la synchronisation cloud ne suffit pas. Ces données nécessitent une stratégie de sauvegarde dédiée.

Le CERT-FR (rattaché à l'ANSSI) le formule ainsi dans son bulletin de référence sur les sauvegardes :

"La stratégie de sauvegarde de l'entreprise définit : les scénarios de perte d'information à couvrir (panne matérielle, suppression accidentelle, acte de malveillance incluant les rançongiciels, sinistre) ; les données à sauvegarder (informations créées par l'entreprise, configuration de système, annuaire d'entreprise, etc.) ; la fréquence de sauvegarde ; la durée de rétention souhaitée et le nombre de versions à conserver ; les procédures de sauvegarde et de restauration."
— CERT-FR, Bulletin CERTFR-2016-ACT-032

La règle 3-2-1 est le standard de référence pour couvrir ces données :

La troisième copie hors ligne est celle qui protège contre les ransomwares. Un logiciel malveillant peut chiffrer tout ce qui est accessible depuis le réseau. Une copie déconnectée — sur bande magnétique, disque externe déconnecté après la sauvegarde, ou dans un coffre cloud immuable — reste hors de portée.

L'ANSSI rappelle par ailleurs dans ses mesures préventives prioritaires que "l'actualisation fréquente de ces sauvegardes est préconisée" — et que le test de restauration régulier est indispensable pour valider que la sauvegarde fonctionne réellement — source : ANSSI, Mesures cyber préventives prioritaires.

Ce que la règle 3-2-1 implique en volume de stockage

C'est le point que la plupart des articles sur la sauvegarde passent sous silence : la règle 3-2-1 n'est pas gratuite en termes de capacité. 3 copies d'une même donnée, avec une rétention de 30 jours et du versioning, ça multiplie le volume source par un facteur qui peut surprendre.

Un exemple concret : une PME avec 1 To de données d'infrastructure (base de données, emails, fichiers partagés sur serveur) doit anticiper 3 à 4 To de stockage total pour couvrir correctement la règle 3-2-1 avec 30 jours de rétention quotidienne. Le calcul : 1 To de données source × 3 copies × coefficient de rétention (les sauvegardes quotidiennes s'accumulent). Avec compression et déduplication, ce ratio descend souvent à 2 à 2,5 To en pratique — mais rarement moins.

Pour les données comptables soumises à l'obligation de 10 ans de conservation, la capacité à provisionner est différente : une sauvegarde hebdomadaire sur 10 ans représente environ 520 versions. Sur 100 Go de données comptables, ça donne entre 50 et 100 Go de stockage dédié selon le taux de compression — volume modeste, mais à dimensionner dès le départ et à ne jamais écraser.

Ce calcul est utile avant de signer un contrat de sauvegarde cloud : un prestataire qui propose une solution à 100 Go pour une infra de 500 Go vous vend une solution qui sera saturée dans les premières semaines.

Rétention et fréquence pour les données serveur

La durée de rétention dépend des contraintes métier et réglementaires. Quelques repères pratiques pour une PME :

La durée de rétention de 10 ans pour les données comptables n'est pas une recommandation — c'est une obligation issue du Code de commerce (article L.123-22). Elle s'applique quelle que soit la taille de l'entreprise.

Ce que ça donne concrètement dans une PME gérée par Switchtech

Pour une PME de 5 à 15 postes sans serveur sur site, la configuration type est la suivante :

Postes collaborateurs → synchronisation cloud activée sur chaque poste, avec vérification que tous les dossiers de travail sont bien dans le périmètre synchronisé. Pas de sauvegarde locale supplémentaire nécessaire.

Logiciel métier en SaaS (ERP, CRM, logiciel de facturation hébergé chez l'éditeur) → la sauvegarde est à la charge de l'éditeur. À vérifier contractuellement : fréquence, rétention, procédure de restauration, délai de mise à disposition en cas d'incident.

Logiciel métier installé sur un serveur local ou une VM → sauvegarde quotidienne de la base de données vers un stockage cloud séparé (solution dédiée type Acronis, Veeam Cloud, ou équivalent), avec une copie hors ligne hebdomadaire et une rétention de 30 jours glissants minimum.

Données partagées sur un serveur de fichiers → même logique que le logiciel métier installé. Un espace cloud synchronisé peut remplacer le serveur de fichiers pour la plupart des PME — et dans ce cas, la protection décrite plus haut couvre ce périmètre.

L'autodiagnostic en 5 questions

Chaque "non" ou "je ne sais pas" est un angle mort à adresser.

Un doute sur votre situation ? On peut en parler. 45 minutes, sans engagement, sans présentation commerciale.

Sources : CERT-FR — Bulletin CERTFR-2016-ACT-032 ; ANSSI — Mesures cyber préventives prioritaires ; Microsoft Learn — Résilience des données SharePoint et OneDrive ; Microsoft Support — Restaurer votre espace OneDrive ; Microsoft Learn — Restaurer un OneDrive supprimé.