Un disque branché en permanence est chiffré en même temps que le serveur. Quoi sauvegarder, sur quoi, combien de temps garder les versions, et comment tester la restauration.
Une sauvegarde utile répond à cinq sinistres qui n’ont pas les mêmes exigences : la panne veut une seconde copie, l’erreur humaine veut un historique long, le vol et l’incendie veulent une copie hors des locaux, le rançongiciel veut une copie déconnectée ou non modifiable. Un disque branché en permanence ne couvre que le premier cas. Deux décisions précèdent tout achat : combien d’heures de travail vous acceptez de perdre, et combien de temps vous pouvez rester à l’arrêt. Le reste en découle, y compris le test de restauration, qui est une obligation du RGPD.
Le disque externe est branché derrière l’écran de la comptable depuis deux ans. Le petit utilitaire installé par l’ancien prestataire affiche une pastille verte et la mention « dernière sauvegarde : hier, 22 h 00 ». Tout le monde dort tranquille.
Un lundi matin, les fichiers du dossier partagé portent une extension inconnue. Ceux du disque externe aussi. Il était monté comme un lecteur ordinaire, le programme malveillant l’a traité comme tel. La sauvegarde existait, elle était à jour, et elle a été détruite en même temps que l’original.
Le problème n’est pas la fréquence des copies, il est leur exposition. Une sauvegarde ne se juge pas à son âge mais à ce dont elle est séparée. Et cette séparation se décide sinistre par sinistre, parce qu’ils n’exigent pas la même chose.
Parler de « la » sauvegarde sans préciser contre quoi conduit à acheter du matériel qui ne couvre qu’un cas sur cinq. Le tableau ci-dessous donne la propriété que chaque sinistre réclame.
| Sinistre | Ce qu’il détruit | Propriété exigée de la sauvegarde |
|---|---|---|
| Panne matérielle, disque ou poste | Un support, parfois sans prévenir | Une seconde copie sur un support distinct |
| Erreur humaine, la cause la plus fréquente | Un fichier, un dossier, un exercice comptable entier | Un historique de versions remontant loin dans le temps |
| Vol, incendie, dégât des eaux | Tout ce qui se trouve au même endroit | Une copie conservée hors des locaux |
| Rançongiciel | Tout ce qui est atteignable depuis le réseau, sauvegardes comprises | Une copie déconnectée ou techniquement non modifiable |
| Départ conflictuel, malveillance interne | Ce que la personne pouvait atteindre avec ses droits | Une copie hors de sa portée, et une trace des suppressions |
Lisez la deuxième ligne : l’erreur humaine est de loin le sinistre le plus courant, et c’est le seul qui ne se règle pas par une copie supplémentaire. Il se règle par le temps. Une sauvegarde qui écrase la précédente chaque nuit ne protège de rien dès lors que la bêtise est découverte trois jours plus tard.
Trois dispositifs portent abusivement ce nom dans le langage courant, et chacun laisse un trou.
La synchronisation. Un dossier partagé en ligne recopie vos modifications sur toutes les machines et sur le serveur du prestataire, en quelques secondes. C’est sa fonction, et c’est aussi sa faiblesse : une suppression, un chiffrement ou un écrasement se propagent avec la même diligence. Le raisonnement complet figure dans pourquoi la synchronisation ne protège pas.
La redondance de disques. Un boîtier à deux disques configuré en miroir survit à la panne de l’un d’eux, ce qui est utile et n’a rien à voir avec une sauvegarde. Le miroir recopie fidèlement la suppression d’un dossier et le chiffrement d’un rançongiciel. Il protège le matériel, pas les données.
L’archivage. Conserver dix ans de pièces comptables répond à une obligation légale de conservation, avec des exigences d’intégrité et de lisibilité. Une sauvegarde répond à un besoin de reprise rapide. Les durées, les supports et les formats diffèrent ; confondre les deux produit soit des archives fragiles, soit des sauvegardes obèses. Le choix des formats de fichiers compte beaucoup plus pour l’archivage que pour la sauvegarde.
C’est l’angle mort le plus coûteux des petites structures. Les suites de messagerie et de bureautique en ligne, les logiciels de comptabilité, de facturation, de caisse ou de gestion commerciale fonctionnent sur un partage des responsabilités rarement lu. Le prestataire garantit la disponibilité et la résilience de sa plateforme : il réplique ses centres de données, il survit à ses propres pannes. Il ne s’engage pas à récupérer vos données après une suppression ou une altération venue de vous.
Concrètement, une corbeille conserve les éléments effacés pendant une durée de l’ordre de trente jours, parfois quatre-vingt-dix pour un compte administrateur, et un historique de versions permet de revenir en arrière sur un document. Au-delà, plus rien. Un compte utilisateur supprimé emporte sa boîte aux lettres après un délai court. Un abonnement résilié rend les données inaccessibles à une échéance fixée au contrat.
La réponse pratique tient en une habitude : un export complet mensuel de chaque service en ligne critique, rangé dans votre propre sauvegarde. Pour la messagerie, une copie locale au format standard. Pour la comptabilité, le fichier des écritures comptables que la réglementation fiscale impose de pouvoir produire, plus les pièces justificatives. Cet export sert deux fois : après un incident, et le jour où vous changez de prestataire.
Les professionnels les appellent RPO et RTO. Traduits, ce sont deux questions qu’un dirigeant peut trancher en dix minutes, et elles déterminent tout le reste.
Combien de travail acceptez-vous de perdre ? C’est l’intervalle entre deux sauvegardes. Une sauvegarde nocturne signifie accepter de reperdre une journée de saisie. Pour une base de facturation alimentée en continu, c’est souvent inacceptable et la fréquence doit descendre à l’heure. Pour un dossier de plans qui bouge deux fois par semaine, une sauvegarde quotidienne est généreuse.
Combien de temps pouvez-vous rester à l’arrêt ? C’est le délai de remise en service. Il inclut le temps de comprendre l’incident, de trouver du matériel sain, de rapatrier les données et de les remettre en place. Ce délai est presque toujours sous-estimé d’un facteur trois.
La règle classique tient en trois nombres : trois copies des données, sur deux types de supports différents, dont une conservée hors du site. Elle reste juste et son application à un usage courant est détaillée dans la règle de sauvegarde 3-2-1. Les rançongiciels lui ont ajouté deux chiffres.
Le quatrième est un 1 hors ligne ou non modifiable. Un support débranché ne peut pas être chiffré : c’est la protection la plus simple et la plus robuste. À défaut, les hébergeurs proposent un verrouillage d’objets qui rend les fichiers non modifiables et non supprimables pendant une durée choisie, y compris par un compte administrateur volé. C’est la version en ligne du disque débranché.
Le cinquième est un 0 : zéro erreur au dernier test de restauration. Il ne s’agit pas du témoin vert du logiciel, qui dit seulement que des octets ont été écrits, mais d’une restauration réellement effectuée et de fichiers réellement ouverts.
Un rançongiciel ne se déclenche pas le jour de l’intrusion. L’attaquant s’installe, cartographie, repère les serveurs de fichiers et, très souvent, s’occupe d’abord des sauvegardes : il supprime les instantanés, change les identifiants du boîtier de stockage, désactive les tâches planifiées. Le délai entre l’entrée et le chiffrement se compte en jours ou en semaines, rarement en heures. La chaîne complète est décrite dans le fonctionnement d’un rançongiciel.
La conséquence est directe et presque toujours manquée. Une rétention de sept jours ne restaure que des états déjà compromis : vous remettez en service des machines qui contiennent la porte dérobée. Trente à quatre-vingt-dix jours d’historique quotidien, plus une copie mensuelle gardée douze mois, constituent un minimum défendable pour une petite structure.
Deuxième conséquence : le compte qui écrit les sauvegardes ne doit pas être le compte d’administration quotidien, et la sauvegarde doit tirer les données plutôt que les postes ne les poussent. Un poste compromis qui pousse ses fichiers vers le serveur de sauvegarde avec des droits d’écriture emporte la sauvegarde avec lui. Cette séparation des comptes est le même principe que celui qui structure le socle de sécurité d’une petite structure.
La liste des documents bureautiques vient à l’esprit tout de suite. Les éléments ci-dessous manquent presque toujours, et ce sont eux qui allongent le retour à l’activité.
Les ordres de grandeur ci-dessous valent pour 2026 et pour une structure de cinq à vingt personnes. Les différences de comportement entre supports sont détaillées dans la comparaison des supports de stockage.
| Montage | Résiste à | Ne résiste pas à | Coût indicatif |
|---|---|---|---|
| Un disque externe branché en permanence | La panne du poste | Rançongiciel, incendie, vol, erreur propagée | 60 à 140 euros |
| Deux disques en rotation, débranchés, un hors des locaux | Panne, rançongiciel, incendie, vol | L’oubli de la rotation | 120 à 280 euros |
| Boîtier de stockage réseau avec instantanés | Panne, erreur humaine récente | Incendie, vol, prise de son compte d’administration | 500 à 800 euros |
| Service de sauvegarde en ligne avec rétention et verrouillage | Tous les sinistres locaux | Perte de la clé de chiffrement, impayé, faible débit | Quelques euros par téraoctet et par mois |
Le montage recommandé pour une petite structure combine la deuxième et la quatrième ligne : la rotation de disques donne la copie hors ligne, le service en ligne donne la copie hors site automatique et la rétention longue. Les deux premiers postes de dépense restent modestes ; le poste réellement coûteux est le temps humain, donc tout ce qui est automatique vaut mieux que tout ce qui repose sur une bonne volonté hebdomadaire.
Un chiffre décide plus souvent qu’on ne le croit : votre débit montant. Envoyer 500 gigaoctets vers un service en ligne demande environ deux jours et demi sur une ligne à 20 Mbit/s en émission, et moins de quatre heures sur une fibre à 300 Mbit/s. Vérifiez ce que votre ligne offre réellement en émission avec notre calculateur de débit nécessaire, et demandez au prestataire s’il accepte l’envoi initial par disque. La restauration pose le problème symétrique, avec parfois des frais de sortie facturés au volume. Au passage, un disque vendu pour 1 To en affiche 931, pour une raison de convention expliquée dans la différence entre octets et gigaoctets.
L’article 32 du RGPD demande deux choses rarement citées ensemble : la capacité à rétablir la disponibilité des données et l’accès à celles-ci dans des délais appropriés en cas d’incident, et une procédure visant à tester et à évaluer régulièrement l’efficacité des mesures mises en place. Le test de restauration n’est donc pas un raffinement, c’est une mesure attendue de tout organisme qui traite des données personnelles, quelle que soit sa taille.
Deuxième point juridique, largement ignoré : la définition d’une violation de données inclut la destruction et la perte accidentelles, sans aucune divulgation. Perdre définitivement le fichier de vos adhérents dans un incendie est une violation de données au même titre qu’une fuite, avec le même délai de soixante-douze heures pour informer la CNIL. Le contenu attendu d’une notification de violation mérite d’être lu avant l’incident.
Devant un dispositif de sauvegarde, posez une question unique et impitoyable : qu’est-ce qui, aujourd’hui, pourrait détruire l’original et la copie dans la même heure ? Un même câble, un même réseau, un même compte administrateur, un même local, un même prestataire. Chaque élément partagé par les deux est un point de destruction commun, et il n’en faut aucun. Si la réponse est « rien », vérifiez la seconde question, celle qui achève le sujet : quand avez-vous restauré pour la dernière fois, et combien de temps cela a-t-il pris ? Une date et une durée, sinon vous n’avez pas de sauvegarde.
Oui, à condition qu’il y en ait deux et qu’ils ne restent pas branchés. Un seul disque connecté en permanence est vu par le système comme un lecteur ordinaire : un rançongiciel le chiffre en même temps que le reste, et une suppression accidentelle s’y propage. Le montage minimal viable consiste en deux disques utilisés en alternance, l’un connecté le temps de la sauvegarde puis débranché, l’autre rangé hors des locaux. La rotation hebdomadaire coûte trois minutes et couvre quatre sinistres sur cinq.
Non, vous êtes synchronisé, ce qui est l’inverse. Une suppression, un chiffrement ou une modification malheureuse se propagent à toutes les copies en quelques secondes, puisque c’est précisément la fonction du service. Ces plateformes conservent un historique de versions et une corbeille, généralement de l’ordre de trente jours, ce qui sauve une bêtise repérée vite, pas une corruption découverte en mars sur des écritures de novembre. Une sauvegarde séparée du service reste nécessaire.
Oui dès qu’elles contiennent des données personnelles, et en particulier les copies qui sortent des locaux. Un disque de sauvegarde emporté au domicile du dirigeant ou déposé dans un coffre est un support mobile : sa perte ou son vol constitue une violation de données si son contenu est lisible. Le chiffrement transforme l’incident en non-événement. Conservez la clé ou la phrase de passe ailleurs que sur le support et ailleurs que dans le seul coffre numérique de la structure, sinon la perte de l’un rend l’autre inutilisable.
Trois horizons se combinent. Un historique quotidien de trente à quatre-vingt-dix jours couvre l’erreur humaine et le rançongiciel à latence longue. Une copie mensuelle gardée douze mois couvre la corruption lente d’une base et les besoins de comparaison. Les données soumises à une obligation légale de conservation, pièces comptables et bulletins de paie notamment, relèvent de l’archivage et non de la sauvegarde : ce sont deux dispositifs distincts, avec des durées fixées par les textes applicables à votre activité.
Les obligations du RGPD ne dépendent pas de la forme juridique : un fichier d’adhérents, des inscriptions ou des dons sont des données personnelles, et leur perte accidentelle est une violation à notifier. La difficulté propre aux associations tient à la dispersion : les fichiers vivent sur les ordinateurs personnels des bénévoles, les photos sur leurs téléphones, les comptes sur un tableur envoyé par courriel. Centraliser d’abord, sauvegarder ensuite, dans cet ordre. Voir les droits ouverts aux personnes dont vous détenez les données.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.