Sauvegarde et plan de reprise en PME : la méthode

Protéger les données d’une PME tient en trois gestes : trois copies dont une hors ligne, deux chiffres écrits noir sur blanc, la perte tolérable et l’arrêt tolérable, puis un test de restauration réel chaque trimestre. Le plan de reprise, lui, tient sur deux pages. Sans ces trois éléments, la sauvegarde reste une intention.

Deux chiffres à fixer avant d’acheter la moindre solution

La question « quelle solution de sauvegarde choisir » arrive presque toujours trop tôt. Avant l’outil viennent deux décisions de dirigeant : combien de données l’entreprise accepte de perdre, et combien de temps elle accepte de tourner à l’arrêt.

Le vocabulaire technique parle de RPO et de RTO. L’ANSSI, dans son guide « Sauvegarde des systèmes d’information, les fondamentaux », emploie deux termes français plus parlants : la PDMA, perte de données maximale admissible, et la DMIA, durée maximale d’interruption admissible. La première se mesure en heures de saisie perdues, la seconde en heures d’activité arrêtée.

Ces deux valeurs commandent tout le reste. Une perte tolérable de vingt-quatre heures autorise une simple sauvegarde nocturne. Une perte tolérable d’une heure impose une réplication quasi continue, dont le coût n’a rien à voir. Même logique côté interruption : redémarrer en deux heures suppose du matériel de secours déjà prêt, redémarrer en trois jours se contente d’une commande passée le lendemain du sinistre.

L’erreur classique consiste à répondre « zéro perte, zéro arrêt » pour l’ensemble du système. Aucune petite structure ne finance cela. Le travail utile consiste à trier données et services par criticité réelle, ligne par ligne. L’arbitrage ci-dessous illustre la démarche pour une entreprise de services : vos chiffres sortent de votre activité, pas d’un tableau tout prêt.

Une fois ces lignes remplies, le budget se discute sur des faits. Le prestataire qui propose une offre unique pour toute l’entreprise passe à côté de cet arbitrage.

La règle 3-2-1 et la seule copie qui compte vraiment

La règle 3-2-1 sert de socle depuis des années et reste la référence citée aussi bien par l’ANSSI que par Cybermalveillance.gouv.fr : trois copies des données, sur deux supports de nature différente, dont une conservée hors site.

Chaque chiffre couvre un risque distinct. Les trois copies absorbent la corruption silencieuse d’un fichier. Les deux supports absorbent la défaillance d’une technologie entière, un lot de disques défectueux par exemple. La copie hors site absorbe le sinistre physique : incendie, dégât des eaux, vol du serveur avec le disque de sauvegarde posé juste à côté.

Cette troisième copie est celle que les petites structures négligent. Un disque externe branché en permanence sur le serveur n’est pas une copie hors site, c’est une seconde cible. Un rançongiciel moderne parcourt le réseau à la recherche des volumes de sauvegarde et les chiffre avant même de déclencher la demande de rançon.

L’ANSSI est explicite sur ce point : les opérations de restitution doivent être menées depuis un réseau déconnecté ou isolé logiquement du reste du système d’information. La sauvegarde qui vous sauve est celle que l’attaquant n’a pas pu atteindre.

Le baromètre TPE-PME 2025 de Cybermalveillance.gouv.fr situe la sauvegarde parmi les équipements de sécurité les plus répandus, présente dans 78 % des structures interrogées, derrière l’antivirus à 84 %. Le même baromètre relève pourtant que si près de neuf TPE-PME sur dix se disent équipées, une seule sur deux s’estime préparée à une attaque. L’écart se loge précisément dans cette copie isolée, et dans le test dont il sera question plus bas.

Complète, incrémentale, différentielle : le choix se paie à la restauration

Trois méthodes cohabitent, et leur différence ne se voit jamais au moment de sauvegarder. Elle apparaît le jour de la restauration.

• La sauvegarde complète copie l’intégralité du périmètre à chaque passage : lente à produire, gourmande en espace, mais restaurée en une seule opération.
• La sauvegarde incrémentale n’enregistre que les données modifiées depuis la sauvegarde précédente, quelle qu’elle soit. Très rapide, très légère, mais la restauration rejoue toute la chaîne, et un maillon corrompu casse tout ce qui suit.
• La sauvegarde différentielle reprend toutes les données modifiées depuis la dernière complète. Volume intermédiaire, restauration en deux temps seulement, la complète puis la dernière différentielle.

Le schéma retenu par la plupart des PME combine les deux premières approches : une complète hebdomadaire, des incrémentales quotidiennes, plus un jeu complet mensuel conservé bien plus longtemps. Ce rythme tient dans une fenêtre de nuit et limite la longueur des chaînes à rejouer.

Attention à la durée de conservation, distincte de la fréquence. Une corruption de base de données ou un chiffrement discret peut passer inaperçu pendant plusieurs semaines. Avec sept jours d’historique seulement, vous ne disposez que de copies déjà atteintes. Garder un jeu mensuel sur douze mois coûte peu et couvre ce scénario.

Immuabilité et déconnexion, les deux parades au rançongiciel

Deux mécanismes protègent une sauvegarde d’un attaquant ayant déjà pris la main sur le réseau.

Le premier, l’immuabilité, verrouille les fichiers pendant une durée définie à l’écriture. Sur cette période, personne ne les modifie ni ne les supprime, pas même un compte administrateur compromis. Les offres de stockage objet et la plupart des solutions professionnelles proposent cette option, souvent sous le nom de mode WORM ou de verrou de conservation.

La déconnexion physique reste supérieure. Un support débranché, rangé dans une armoire d’un autre bâtiment, échappe par construction à toute attaque réseau. L’ANSSI considère d’ailleurs la bande magnétique comme la solution hors ligne la plus efficace, et place l’immuabilité en complément de cette déconnexion plutôt qu’en remplacement.

La menace justifie cette prudence. Le Panorama de la cybermenace 2025 de l’ANSSI recense 128 compromissions par rançongiciel traitées par l’agence sur l’année, les PME, TPE et ETI formant la catégorie d’entités la plus touchée. Le rapport d’activité 2025 de Cybermalveillance.gouv.fr fait quant à lui état de plus de 500 000 victimes accompagnées, en hausse de 20 % sur un an, avec une progression de 107 % des demandes liées aux violations de données.

Ces mesures prolongent les réflexes détaillés dans notre guide sur la cybersécurité en PME. Un point mérite d’être ajouté : l’infrastructure de sauvegarde doit disposer de ses propres comptes d’administration, distincts de l’annuaire de production. Sans cette séparation, la compromission d’un seul compte emporte les copies avec le reste du système.

Une sauvegarde jamais testée n’existe pas

C’est la phrase que répètent les prestataires ayant vécu une crise réelle. Une sauvegarde jamais restaurée est une hypothèse, pas une protection.

Les motifs d’échec sont connus et ennuyeux : un dossier sorti du périmètre lors d’une migration, une base sauvegardée à chaud sans cohérence, une clé de chiffrement perdue avec le serveur, un support illisible, une procédure connue du seul salarié en congé. Aucun de ces défauts n’apparaît dans un rapport de sauvegarde au vert.

Le droit s’en mêle. L’article 32 du RGPD impose au responsable de traitement de disposer des moyens de rétablir la disponibilité des données et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique. Le même article exige une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures de sécurité. Le test de restauration relève donc de l’obligation écrite, pas de la bonne pratique facultative.

Une cadence tenable pour une petite structure :

• Chaque mois, restaurer quelques fichiers pris au hasard et ouvrir leur contenu, sans se contenter de constater leur présence.
• Chaque trimestre, restaurer intégralement une application ou une base sur un environnement séparé.
• Chaque année, dérouler l’exercice complet depuis une machine vierge, sans accès au système d’origine, chronomètre en main.

Ce chronomètre est le point décisif. L’exercice annuel ne sert pas seulement à prouver que la restauration fonctionne, il mesure combien de temps elle prend réellement. C’est ce chiffre-là, et non celui du contrat commercial, que vous devez comparer à la durée d’interruption jugée admissible en début de démarche.

Le plan de reprise minimal d’une PME tient sur deux pages

Un plan de reprise décrit la remise en marche du système d’information après un sinistre, dans les délais et avec la perte de données que vous avez acceptés. Il se distingue du plan de continuité, plus large, qui organise le maintien de l’activité pendant la crise, y compris sans informatique.

Pour une entreprise de moins de cinquante salariés, ce document tient sur deux pages et contient :

• La liste des applications et données classées par ordre de redémarrage, avec pour chacune la perte et l’arrêt tolérables retenus.
• Les coordonnées des personnes à joindre : dirigeant, référent interne, prestataire informatique, assureur, hébergeur, expert-comptable.
• L’emplacement physique des sauvegardes, leurs moyens d’accès, et le lieu de conservation des clés de chiffrement.
• La procédure de restauration, écrite pour être exécutée par quelqu’un qui n’a pas conçu l’installation.
• Le mode dégradé : comment facturer, encaisser et livrer pendant l’arrêt, avec quels supports de secours.

Ce mode dégradé s’appuie sur les mêmes repères que le pilotage quotidien de la trésorerie : savoir ce qui doit être encaissé cette semaine aide à prioriser les relances quand l’outil de facturation reste indisponible.

Deux échéances légales méritent d’y figurer en toutes lettres. En cas de violation de données personnelles, l’article 33 du RGPD impose une notification à la CNIL dans les 72 heures suivant la découverte. Depuis la loi d’orientation et de programmation du ministère de l’Intérieur du 24 janvier 2023, l’article L12-10-1 du code des assurances subordonne l’indemnisation des pertes causées par une cyberattaque au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte, pour les personnes morales et les professionnels agissant dans le cadre de leur activité. Un délai manqué, et la garantie tombe.

Dernier détail qui décide de tout : ce plan existe sur papier, rangé hors du système qu’il est censé sauver. Un plan de reprise stocké uniquement sur le serveur chiffré ne sert plus à personne le jour où il devient utile.

Vos données dans le cloud restent sous votre responsabilité

Beaucoup de dirigeants considèrent le sujet réglé depuis leur passage à une suite en ligne. La confusion revient souvent, et elle coûte cher.

Les grands fournisseurs appliquent un modèle de responsabilité partagée : l’éditeur garantit la disponibilité de la plateforme et sa résilience matérielle, le client reste propriétaire et responsable du contenu de ses données. Microsoft le formule sans détour dans sa documentation et recommande une sauvegarde assurée par un tiers. Concrètement, un fichier supprimé par erreur ou chiffré par un rançongiciel dans votre espace en ligne n’est récupérable que dans les limites de rétention du service, de l’ordre de trente jours dans une corbeille standard, prolongés de quelques semaines dans une corbeille de second niveau. Passé ce délai, la donnée disparaît.

Le droit va dans le même sens. La CNIL rappelle que la qualification des acteurs du cloud, responsable de traitement d’un côté, sous-traitant de l’autre, détermine la répartition exacte des obligations. Dans la configuration ordinaire d’une PME qui utilise une suite bureautique hébergée, l’entreprise demeure responsable de traitement : l’obligation de rétablir la disponibilité des données lui revient, quel que soit l’hébergeur.

La conséquence pratique est directe. Vos boîtes de messagerie, vos espaces de fichiers partagés et les données de votre logiciel de relation client réclament une sauvegarde externe, indépendante du fournisseur. Le raisonnement vaut pour chaque service ajouté à votre socle d’outils numériques : avant de signer, demandez la durée de rétention, la granularité de restauration et le format d’export des données.

Prochaine étape : listez vos cinq applications les plus critiques, écrivez en face de chacune la perte et l’arrêt que vous acceptez, puis restaurez l’une d’elles cette semaine sur une machine séparée. Le résultat de ce test, exprimé en heures, vous dira si votre plan de reprise existe déjà ou s’il reste entièrement à écrire.