Calendrier Annuel des Sauvegardes IT (PDF Imprimable)

La sauvegarde des données est universellement reconnue comme la dernière ligne de défense contre les cyberattaques, les pannes matérielles et les erreurs humaines — et pourtant, les statistiques révèlent une réalité alarmante : 73 % des entreprises n'ont jamais testé la restauration de leurs sauvegardes, et 37 % de celles qui l'ont fait ont découvert que leurs sauvegardes étaient inutilisables au moment où elles en avaient le plus besoin. Face à la multiplication des attaques par ransomware qui ciblent systématiquement les sauvegardes pour maximiser la pression sur les victimes, disposer d'une stratégie de sauvegarde robuste, testée et documentée n'est plus un luxe mais une nécessité vitale pour toute organisation. Ce guide complet vous accompagne dans la mise en place d'une stratégie de sauvegarde de niveau professionnel, de la compréhension des fondamentaux (règle 3-2-1-1-0, types de sauvegarde, RTO/RPO) à l'utilisation pratique du calendrier annuel imprimable qui vous permettra de planifier, exécuter et vérifier vos sauvegardes tout au long de l'année. Incluant des comparatifs de solutions, des modèles de procédures de test, et les exigences réglementaires NIS2 et ISO 27001, ce guide est conçu pour les responsables informatiques, les RSSI et les dirigeants de PME qui veulent s'assurer que leurs données survivront à n'importe quel scénario de sinistre. Téléchargez le calendrier PDF imprimable et affichez-le dans votre salle serveur.

Pourquoi les sauvegardes échouent quand on en a le plus besoin

Le paradoxe des sauvegardes est cruel : la plupart des organisations pensent être protégées parce qu'un job de sauvegarde s'exécute chaque nuit, mais découvrent au moment d'un sinistre que leurs données sont irrécupérables. Les raisons de cet échec sont multiples et souvent cumulatives.

La première cause d'échec est l'absence de tests de restauration. Les 73 % d'entreprises qui n'ont jamais testé leurs sauvegardes découvrent trop tard que les fichiers sont corrompus (support de stockage défectueux, erreur logicielle silencieuse), que la procédure de restauration est inconnue (la personne qui l'avait configurée a quitté l'entreprise), que le temps de restauration dépasse largement les attentes (restaurer 2 To depuis le cloud sur une connexion ADSL prend des semaines), ou que les données critiques ne sont pas incluses dans le périmètre de sauvegarde (bases de données en mémoire, configurations d'applications, données SaaS cloud).

La deuxième cause est la compromission des sauvegardes par les ransomwares. Les attaquants modernes ciblent systématiquement les systèmes de sauvegarde avant de déclencher le chiffrement des données de production. Ils recherchent les identifiants de l'infrastructure de sauvegarde (Veeam, Acronis, commvault), suppriment les snapshots et les points de restauration (shadow copies), chiffrent les dépôts de sauvegarde accessibles via le réseau, et compromettent les agents de sauvegarde installés sur les serveurs. Si vos sauvegardes sont accessibles depuis le même réseau que vos serveurs de production avec les mêmes identifiants, elles seront détruites en même temps que vos données.

La troisième cause est la dérive silencieuse de la configuration. Un job de sauvegarde configuré il y a trois ans ne couvre plus les mêmes données : de nouveaux serveurs ont été ajoutés sans être inclus dans le périmètre, des bases de données ont été déplacées, des applications SaaS ont remplacé des applications on-premises, et le volume de données a peut-être dépassé la capacité de stockage allouée, causant des échecs silencieux de sauvegarde. Sans surveillance active et révision périodique, la couverture de sauvegarde se dégrade inexorablement.

La règle 3-2-1-1-0 : le fondement d'une stratégie de sauvegarde solide

La règle 3-2-1-1-0 est l'évolution moderne de la classique règle 3-2-1, adaptée aux menaces actuelles et notamment aux ransomwares. Elle constitue le socle de toute stratégie de sauvegarde professionnelle.

3 copies de vos données : Vous devez disposer d'au moins trois copies de chaque donnée critique : la donnée de production (originale), une première copie de sauvegarde (backup primaire), et une seconde copie de sauvegarde (backup secondaire). Si l'une des copies est corrompue ou détruite, les deux autres garantissent la récupération. La probabilité que trois copies indépendantes soient simultanément indisponibles est statistiquement négligeable (si elles sont stockées séparément).

2 supports différents : Les trois copies doivent être réparties sur au moins deux types de supports physiques différents : disque dur (NAS, SAN), bande magnétique (LTO), stockage objet cloud (S3, Azure Blob), disque optique (pour l'archivage longue durée). Cette diversification protège contre les défaillances spécifiques à un type de support (lot de disques défectueux, incompatibilité logicielle, obsolescence technologique).

1 copie hors site : Au moins une copie doit être physiquement séparée de vos locaux principaux. En cas d'incendie, d'inondation, de vol ou de catastrophe naturelle, les sauvegardes stockées dans la même salle serveur seront détruites en même temps que les données de production. La copie hors site peut être une réplication cloud, une bande stockée dans un coffre-fort externe, ou une sauvegarde dans un datacenter secondaire.

1 copie immuable ou hors ligne (air-gapped) : C'est l'extension critique de la règle 3-2-1 pour résister aux ransomwares. Au moins une copie doit être immuable (impossible à modifier ou supprimer pendant une période définie, même avec des identifiants administrateur) ou air-gapped (physiquement déconnectée du réseau). Les technologies d'immuabilité incluent AWS S3 Object Lock, Azure Immutable Blob Storage, Veeam Hardened Repository (Linux avec permissions immutables), et les bandes magnétiques éjectées et stockées hors ligne.

0 erreur de restauration : Chaque sauvegarde doit être vérifiée automatiquement (vérification d'intégrité, checksum) et testée manuellement (restauration effective) pour garantir zéro erreur au moment de la récupération. C'est l'exigence la plus souvent négligée et pourtant la plus critique : une sauvegarde qui ne peut pas être restaurée n'est pas une sauvegarde.

Types de sauvegarde : complète, incrémentale, différentielle et synthétique

Le choix du type de sauvegarde impacte directement la durée des fenêtres de sauvegarde, l'espace de stockage consommé, et la vitesse de restauration. Comprendre les différences est essentiel pour concevoir une stratégie optimale.

Sauvegarde complète (Full Backup) : Copie intégrale de toutes les données sélectionnées à chaque exécution. Avantages : restauration la plus rapide (une seule sauvegarde à restaurer), indépendance totale (chaque sauvegarde est autosuffisante). Inconvénients : durée d'exécution longue, consommation d'espace maximale (chaque sauvegarde contient 100 % des données). Usage recommandé : sauvegarde hebdomadaire ou mensuelle comme base de référence.

Sauvegarde incrémentale (Incremental) : Copie uniquement les données modifiées depuis la dernière sauvegarde (complète ou incrémentale). Avantages : exécution très rapide, faible consommation d'espace. Inconvénients : restauration plus lente (nécessite la dernière complète + tous les incréments successifs), risque si un incrément est corrompu (la chaîne est brisée). Usage recommandé : sauvegarde quotidienne entre les sauvegardes complètes.

Sauvegarde différentielle (Differential) : Copie toutes les données modifiées depuis la dernière sauvegarde complète. Avantages : restauration plus rapide que l'incrémentale (seulement la dernière complète + la dernière différentielle), tolérance à la corruption d'une sauvegarde intermédiaire. Inconvénients : taille croissante au fil des jours (la différentielle de vendredi contient tous les changements de la semaine), plus lente que l'incrémentale. Usage recommandé : compromis entre vitesse de sauvegarde et vitesse de restauration.

Sauvegarde synthétique (Synthetic Full) : Combine la dernière sauvegarde complète avec les incréments pour créer une nouvelle sauvegarde complète sans relire les données de production. Avantages : offre les avantages de la sauvegarde complète (restauration rapide) sans impacter les serveurs de production. Inconvénients : nécessite une puissance de calcul et un espace temporaire sur le serveur de sauvegarde. Usage recommandé : remplacement des sauvegardes complètes hebdomadaires dans les environnements avec des fenêtres de sauvegarde limitées.

RTO et RPO : définir vos objectifs de récupération

Avant de concevoir votre stratégie de sauvegarde, vous devez définir deux métriques fondamentales pour chaque système critique : le RTO (Recovery Time Objective) et le RPO (Recovery Point Objective). Ces métriques déterminent directement la fréquence de sauvegarde, la technologie utilisée et le budget nécessaire.

RPO (Recovery Point Objective) — Combien de données pouvez-vous vous permettre de perdre ? Le RPO définit la quantité maximale de données que l'organisation accepte de perdre en cas de sinistre, exprimée en temps. Un RPO de 24 heures signifie que vous acceptez de perdre les données des dernières 24 heures — une sauvegarde quotidienne suffit. Un RPO de 1 heure nécessite des sauvegardes horaires. Un RPO de 0 (zéro perte de données) exige une réplication synchrone en temps réel, techniquement complexe et coûteuse.

RTO (Recovery Time Objective) — Combien de temps pouvez-vous rester hors service ? Le RTO définit le délai maximal acceptable pour restaurer le service après un sinistre. Un RTO de 4 heures signifie que le système doit être fonctionnel dans les 4 heures suivant l'incident. Le RTO impacte le choix technologique : un RTO court exige des solutions de restauration rapide (snapshot, réplication, standby), tandis qu'un RTO de plusieurs jours peut se satisfaire d'une restauration depuis bande ou cloud.

Exemples métier : Pour un site e-commerce avec 50 000 € de ventes quotidiennes : RPO = 1 heure (perte maximale d'1 heure de commandes), RTO = 2 heures (coût de l'indisponibilité = 4 200 €/heure). Pour un cabinet comptable : RPO = 4 heures (les travaux du jour peuvent être ressaisis), RTO = 24 heures (les clients tolèrent 1 jour d'indisponibilité). Pour un hôpital : RPO = 0 (aucune perte de données patient acceptable), RTO = 15 minutes (les soins ne peuvent pas attendre). Chaque système critique de votre organisation doit avoir ses propres objectifs RTO et RPO documentés.

Sauvegardes résistantes aux ransomwares : le guide de survie

Les ransomwares modernes ciblent systématiquement les sauvegardes pour maximiser la pression sur la victime. Sans sauvegarde exploitable, l'organisation n'a d'autre choix que de payer ou de perdre ses données. Voici les techniques pour rendre vos sauvegardes résistantes aux attaques par rançongiciel :

Sauvegardes air-gapped (physiquement déconnectées) : La méthode la plus sûre et la plus ancienne. Les bandes magnétiques LTO éjectées de la bibliothèque de bandes et stockées dans un coffre-fort ignifugé hors site sont physiquement inaccessibles depuis le réseau. Les disques durs externes USB branchés uniquement pendant la sauvegarde puis déconnectés et stockés dans un coffre offrent une alternative plus abordable pour les PME. L'inconvénient est la gestion manuelle (rotation des supports, transport physique) mais la sécurité est maximale.

Sauvegardes immuables (logiquement protégées) : Les technologies d'immuabilité empêchent la modification ou la suppression des données de sauvegarde pendant une période définie, même par un administrateur disposant de tous les droits. AWS S3 Object Lock en mode Compliance empêche la suppression pendant la durée configurée, même par le compte root AWS. Azure Immutable Blob Storage offre une fonctionnalité équivalente. Veeam Hardened Repository utilise un serveur Linux avec des permissions immuables (immutable flag) et un accès restreint (pas de SSH pour le compte de service Veeam). Ces solutions combinent la sécurité anti-ransomware avec la facilité de gestion du stockage en ligne.

Segmentation de l'infrastructure de sauvegarde : L'infrastructure de sauvegarde doit être isolée du réseau de production. Le serveur de sauvegarde doit être dans un VLAN dédié avec des règles de pare-feu strictes (seuls les ports nécessaires sont ouverts). Les identifiants d'administration des sauvegardes doivent être différents des identifiants de domaine Active Directory (un ransomware qui compromet l'AD ne doit pas pouvoir accéder aux sauvegardes). Le protocole d'accès aux données de sauvegarde doit être propriétaire et non standard (pas de partage SMB ou NFS directement accessible).

Stratégie de test : vérifier que vos sauvegardes fonctionnent réellement

Tester les sauvegardes n'est pas une option mais une obligation opérationnelle et réglementaire. Le calendrier annuel prévoit quatre niveaux de test, chacun avec sa fréquence et son périmètre :

Test de niveau 1 — Vérification automatique quotidienne : Chaque job de sauvegarde doit vérifier automatiquement l'intégrité des données sauvegardées (checksum CRC32 ou SHA-256). Les outils modernes (Veeam, Acronis, Commvault) intègrent cette vérification en natif. Configurez des alertes email/SMS en cas d'échec de vérification. Ce test ne garantit pas que la restauration fonctionnera, mais détecte les corruptions silencieuses.

Test de niveau 2 — Restauration de fichiers mensuelle : Chaque mois, restaurez un échantillon de fichiers (documents, bases de données) depuis la sauvegarde vers un emplacement temporaire. Vérifiez que les fichiers sont lisibles, complets et à la bonne date. Ce test valide le processus de restauration granulaire (récupération de fichiers individuels) et familiarise l'équipe IT avec la procédure.

Test de niveau 3 — Restauration de serveur trimestrielle : Chaque trimestre, restaurez un serveur complet (système d'exploitation + applications + données) sur un environnement de test isolé. Vérifiez que le serveur démarre, que les applications fonctionnent, que les données sont cohérentes, et mesurez le temps réel de restauration (RTO réel). Comparez ce temps au RTO cible documenté — si le RTO réel dépasse la cible, vous devez optimiser votre stratégie (stockage plus rapide, restauration parallélisée, réplication). Consultez notre fiche réflexe ransomware pour comprendre pourquoi le RTO réel est critique en situation de crise.

Test de niveau 4 — Exercice de reprise d'activité annuel (DR Drill) : Une fois par an, simulez un sinistre majeur (perte totale du site principal) et exécutez le plan de reprise d'activité (PRA) complet : restauration de tous les systèmes critiques depuis les sauvegardes, dans l'ordre de priorité défini, sur l'infrastructure de secours. Cet exercice mobilise l'équipe IT pendant 1 à 2 jours et révèle les failles du PRA : systèmes oubliés dans le périmètre de sauvegarde, dépendances non documentées, procédures obsolètes, temps de restauration irréalistes. Documentez les résultats et les actions correctives.

Exigences réglementaires : NIS2 et ISO 27001

Les sauvegardes sont au cœur des exigences réglementaires en matière de cybersécurité et de continuité d'activité. Voici les principales obligations à respecter :

Directive NIS2 : L'article 21 de la directive NIS2 impose aux entités essentielles et importantes de mettre en place des mesures de « continuité des activités, telles que la gestion des sauvegardes et la reprise après sinistre ». Les entités doivent être en mesure de démontrer que leurs sauvegardes sont régulières, testées, et protégées contre les cybermenaces (notamment les ransomwares). L'absence de stratégie de sauvegarde documentée et testée constitue une non-conformité NIS2 passible de sanctions administratives. L'ANSSI vérifiera ces mesures lors des audits de conformité.

ISO 27001 : La norme ISO 27001:2022 inclut le contrôle A.8.13 — Sauvegarde des informations qui exige que « des copies de sauvegarde des informations, des logiciels et des images système soient prises et testées régulièrement conformément à une politique de sauvegarde convenue ». Les auditeurs ISO 27001 vérifient : l'existence d'une politique de sauvegarde formalisée, la couverture de tous les actifs informationnels critiques, les preuves de tests de restauration réguliers, et la protection des sauvegardes contre les accès non autorisés et les altérations.

RGPD : L'article 32 du RGPD impose des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité des données personnelles, incluant explicitement « la capacité de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ». La CNIL considère l'absence de sauvegardes testées comme un manquement à l'obligation de sécurité, sanctionnable en cas de violation de données.

Comparatif des solutions de sauvegarde pour PME

Le marché des solutions de sauvegarde offre un large éventail d'options adaptées aux budgets et aux besoins des PME. Voici un comparatif des solutions les plus pertinentes :

Veeam Backup & Replication : La référence du marché pour les environnements virtualisés (VMware, Hyper-V) et Microsoft 365. La Community Edition gratuite couvre jusqu'à 10 machines (idéal pour les petites structures). La version payante démarre à environ 1 200 € pour 10 instances. Points forts : restauration granulaire, Hardened Repository pour l'immuabilité, SureBackup (vérification automatique de restauration), réplication vers le cloud. Point faible : complexité de configuration pour les non-spécialistes.

Acronis Cyber Protect : Solution tout-en-un combinant sauvegarde, antivirus et gestion des correctifs. Adaptée aux PME recherchant une solution intégrée. Tarif : environ 60 € par poste et par an. Points forts : interface simple, protection anti-ransomware intégrée, sauvegarde cloud incluse. Point faible : moins flexible que Veeam pour les environnements complexes.

Solutions cloud natives : Les sauvegardes natives des plateformes cloud (Azure Backup, AWS Backup, Google Cloud Backup) sont idéales pour les environnements entièrement cloud. Tarification à l'usage (stockage + restauration). Points forts : intégration native, pas d'infrastructure à gérer, immuabilité intégrée. Point faible : coûts potentiellement élevés pour de gros volumes, dépendance à un seul fournisseur cloud.

Duplicati (open source) : Solution gratuite et open source pour la sauvegarde vers le cloud (Amazon S3, Azure Blob, Backblaze B2, Google Cloud Storage) avec chiffrement de bout en bout. Idéale pour les très petites structures ou comme complément à une solution principale. Points forts : gratuit, chiffrement AES-256, support de nombreux backends cloud. Point faible : pas de console d'administration centralisée, restauration moins performante que les solutions commerciales.

Guide d'utilisation du calendrier annuel imprimable

Le calendrier annuel des sauvegardes est conçu pour être imprimé au format A3 et affiché dans votre salle serveur ou à proximité de votre infrastructure informatique. Il organise visuellement l'ensemble des tâches de sauvegarde sur les 12 mois de l'année :

Tâches quotidiennes (cases bleues) : Vérification des alertes de sauvegarde de la nuit, confirmation de la réussite de tous les jobs, action corrective en cas d'échec. Cette tâche prend 5 à 10 minutes chaque matin et doit être la première action de la journée du responsable IT. Cochez la case correspondante chaque jour pour suivre la régularité.

Tâches hebdomadaires (cases vertes) : Sauvegarde complète hebdomadaire (programmée le week-end), vérification de la sauvegarde hors site (réplication cloud ou rotation des supports physiques), revue des erreurs ou avertissements de la semaine. Chaque vendredi, vérifiez que la sauvegarde complète du week-end est correctement programmée.

Tâches mensuelles (cases orange) : Test de restauration de fichiers (niveau 2), rotation du support air-gapped mensuel (disque dur externe ou bande stockée hors site), vérification de l'espace de stockage disponible (projections à 3 et 6 mois), mise à jour du périmètre de sauvegarde si de nouveaux serveurs ou services ont été ajoutés. Documentez les résultats de chaque test dans le registre de sauvegardes.

Tâches trimestrielles (cases rouges) : Test de restauration de serveur complet (niveau 3), revue de la politique de sauvegarde (RTO/RPO toujours adaptés ?), test de restauration depuis le support hors site (pour vérifier que la copie distante est exploitable), mise à jour des procédures de restauration documentées. Le test trimestriel est l'occasion de mesurer le RTO réel et de le comparer au RTO cible.

Tâches annuelles (cases violettes) : Exercice de reprise d'activité complet (DR Drill, niveau 4), audit de la stratégie de sauvegarde par un prestataire externe, renouvellement des contrats de maintenance et support des solutions de sauvegarde, planification budgétaire de l'année suivante (stockage, licences, tests). Consultez notre livre blanc DFIR et notre checklist des 20 mesures de sécurité PME pour intégrer la sauvegarde dans votre stratégie globale.

Monitoring et alerting : surveiller vos sauvegardes en continu

Une sauvegarde qui échoue silencieusement pendant des semaines est aussi dangereuse que l'absence de sauvegarde. La mise en place d'un système de surveillance et d'alerte est indispensable pour garantir la fiabilité de votre stratégie.

Alertes par email/SMS : Configurez des alertes automatiques pour chaque échec ou avertissement de job de sauvegarde. Les alertes doivent être envoyées au responsable IT principal et à un backup (en cas d'absence). Configurez également des alertes pour les situations suivantes : espace de stockage de sauvegarde inférieur à 20 %, temps de sauvegarde dépassant la fenêtre normale de plus de 50 %, absence de sauvegarde depuis plus de 24 heures pour un système critique.

Dashboard de supervision : Un tableau de bord centralisé affichant l'état de toutes les sauvegardes permet une vue d'ensemble rapide. La plupart des solutions commerciales (Veeam, Acronis, Commvault) incluent un dashboard intégré. Pour les environnements hétérogènes, des outils de supervision comme Zabbix, Nagios ou PRTG peuvent collecter et agréger les statuts de sauvegarde de différentes sources. L'intégration avec un SIEM (Security Information and Event Management) permet de corréler les événements de sauvegarde avec d'autres événements de sécurité (une suppression de sauvegarde suivie d'une activité réseau inhabituelle pourrait indiquer un ransomware en préparation).

Rapports mensuels : Générez un rapport mensuel synthétique incluant : le taux de réussite des sauvegardes (objectif : >99 %), la liste des échecs et les actions correctives, les résultats du test de restauration mensuel, l'évolution de l'espace de stockage, et le respect des RTO/RPO définis. Ce rapport est un outil de communication essentiel pour justifier les investissements en sauvegarde auprès de la direction et pour démontrer la conformité réglementaire aux auditeurs. Consultez notre guide d'audit de sécurité pour les bonnes pratiques de reporting.

Sauvegarde des données cloud et SaaS : le maillon oublié

Une erreur répandue est de croire que les données hébergées dans le cloud (Microsoft 365, Google Workspace, Salesforce) sont automatiquement sauvegardées par le fournisseur. En réalité, les fournisseurs cloud garantissent la disponibilité de l'infrastructure (réplication, haute disponibilité) mais pas la protection des données de l'utilisateur contre la suppression accidentelle, la suppression malveillante, les ransomwares, ou les erreurs de synchronisation.

Le contrat Microsoft 365, par exemple, stipule clairement dans son Shared Responsibility Model que Microsoft est responsable de l'infrastructure, de l'hyperviseur et du réseau, mais que le client est responsable de ses données. La politique de rétention par défaut de Microsoft 365 conserve les éléments supprimés pendant 93 jours maximum (corbeille de premier et second niveau combinées), après quoi les données sont définitivement perdues. Ce délai est souvent insuffisant pour détecter et récupérer des suppressions malveillantes ou des corruptions de données qui passent inaperçues pendant plusieurs mois.

Des solutions de sauvegarde dédiées aux environnements SaaS sont essentielles : Veeam Backup for Microsoft 365 (Exchange, SharePoint, OneDrive, Teams), Acronis Cyber Protect Cloud, Datto SaaS Protection, ou Backupify. Ces solutions sauvegardent les données cloud vers un stockage indépendant (sur vos propres serveurs ou dans un cloud tiers), offrant une restauration granulaire indépendante du fournisseur cloud principal. Pour les données Google Workspace, des solutions comme SpinBackup ou le Takeout natif de Google (pour les exports manuels) sont disponibles.

Retours d'expérience : quand les sauvegardes sauvent (ou condamnent) l'entreprise

L'analyse de cas réels illustre de manière frappante l'importance critique d'une stratégie de sauvegarde bien conçue et régulièrement testée. Ces exemples montrent la différence entre les organisations qui survivent à un sinistre et celles qui ne s'en remettent pas.

Cas positif — PME industrielle (42 salariés) : En mars 2024, une PME industrielle de la région lyonnaise a été victime d'un ransomware LockBit qui a chiffré l'intégralité de ses serveurs de production, son ERP et son serveur de fichiers. Le montant de la rançon exigé était de 200 000 euros. Grâce à une stratégie de sauvegarde 3-2-1-1-0 mise en place un an auparavant (sauvegardes quotidiennes sur NAS local + réplication sur Backblaze B2 + sauvegarde mensuelle sur disque dur externe air-gapped), l'entreprise a pu restaurer l'intégralité de ses systèmes en 36 heures, avec une perte de données limitée à 4 heures (la dernière sauvegarde incrémentale). Le coût total de l'incident (investigation forensique, restauration, durcissement post-incident) a été de 25 000 euros, contre les 200 000 euros de rançon demandés — sans compter les conséquences d'un paiement (re-ciblage, financement du crime). La sauvegarde air-gapped mensuelle, qui n'avait jamais été nécessaire auparavant, a été la clé de la récupération car les sauvegardes réseau avaient été chiffrées par l'attaquant.

Bonnes pratiques complémentaires

Cas négatif — Cabinet comptable (18 salariés) : Un cabinet d'expertise comptable parisien a été victime d'un ransomware en pleine période fiscale. Le cabinet disposait de sauvegardes sur un NAS réseau, mais celui-ci était monté en permanence sur le serveur de fichiers via un partage SMB. L'attaquant a chiffré simultanément le serveur de production et le NAS de sauvegarde. La sauvegarde cloud existait mais n'avait pas été vérifiée depuis 8 mois — elle ne couvrait plus les nouvelles bases de données de l'exercice en cours. Le cabinet a perdu 6 mois de travail comptable (déclarations fiscales, bilans, bulletins de paie) et a dû reconstruire manuellement les dossiers à partir de documents papier et d'emails. Trois collaborateurs ont démissionné suite à la surcharge de travail, et le cabinet a perdu 30 % de ses clients dans les 6 mois suivants. Le coût total de l'incident a été estimé à plus de 400 000 euros.

Cas mixte — Clinique médicale (120 salariés) : Une clinique de taille moyenne a subi une attaque ransomware ciblant ses dossiers patients. Les sauvegardes quotidiennes sur bande magnétique ont fonctionné parfaitement et la restauration du système de gestion des patients a été effectuée en 12 heures. Cependant, le système de messagerie (Microsoft 365) n'était pas inclus dans le périmètre de sauvegarde — il n'existait aucune sauvegarde des boîtes email. La perte de 18 mois de correspondances médicales, de résultats de laboratoire envoyés par email et de plannings a nécessité des semaines de reconstitution. Cette expérience a conduit la clinique à ajouter Veeam Backup for Microsoft 365 à sa stratégie, illustrant l'importance de la revue périodique du périmètre de sauvegarde.

Planification de la capacité de stockage et maîtrise des coûts

La gestion de la capacité de stockage de sauvegarde est un aspect souvent négligé qui peut entraîner des échecs silencieux (espace insuffisant = sauvegarde interrompue) ou des surcoûts significatifs. Une planification rigoureuse est indispensable pour maintenir le bon fonctionnement de la stratégie sur le long terme.

Estimation de la capacité nécessaire : Calculez le volume de données à sauvegarder, multipliez par le facteur de rétention (nombre de versions conservées), appliquez un ratio de déduplication/compression (typiquement 2:1 à 5:1 selon le type de données), et ajoutez une marge de croissance de 20 à 30 % par an. Par exemple, pour 2 To de données de production avec 30 jours de rétention quotidienne, 12 mois de mensuelle et un ratio de compression 3:1 : environ 3 à 4 To de stockage de sauvegarde sont nécessaires la première année, avec une croissance prévisible de 0,5 à 1 To par an.

Optimisation des coûts de stockage cloud : Les coûts de stockage cloud peuvent rapidement devenir significatifs pour les gros volumes. Utilisez le tiering automatique (transition automatique des anciennes sauvegardes vers des classes de stockage moins chères) : AWS S3 vers S3 Glacier Deep Archive (0,00099 $/Go/mois), Azure Hot vers Azure Archive (0,002 $/Go/mois). Activez la déduplication côté source (avant transfert) pour réduire le volume de données transférées et stockées. Évaluez les fournisseurs de stockage objet économiques comme Backblaze B2 (0,005 $/Go/mois) ou Wasabi (0,0069 $/Go/mois, sans frais de sortie) comme alternatives aux hyperscalers.

Revue semestrielle du périmètre : Tous les six mois, vérifiez que le périmètre de sauvegarde est toujours aligné avec votre système d'information actuel. Les questions à poser : de nouveaux serveurs ou services ont-ils été ajoutés sans être intégrés à la sauvegarde ? Des données ont-elles été migrées vers le cloud (SaaS) sans qu'une sauvegarde dédiée soit mise en place ? Des systèmes ont-ils été décommissionnés et leurs sauvegardes peuvent-elles être supprimées pour libérer de l'espace ? Les politiques de rétention sont-elles toujours adaptées aux obligations réglementaires actuelles ? Consultez notre guide des pratiques de sécurité Microsoft 365 pour la sauvegarde des environnements cloud.

Questions fréquentes sur la stratégie de sauvegarde

À quelle fréquence dois-je sauvegarder mes données ?

La fréquence dépend de votre RPO (Recovery Point Objective) — la quantité de données que vous acceptez de perdre. Pour la plupart des PME, une sauvegarde incrémentale quotidienne combinée à une sauvegarde complète hebdomadaire est le minimum. Les systèmes critiques (bases de données de production, serveurs de messagerie) peuvent nécessiter des sauvegardes horaires. Les systèmes transactionnels à forte valeur (e-commerce, bancaire) peuvent exiger une réplication en continu (RPO = 0).

La sauvegarde cloud est-elle suffisante comme unique solution ?

Non. La sauvegarde cloud seule ne respecte pas la règle 3-2-1-1-0 car elle ne fournit qu'un seul type de support et qu'une seule localisation. De plus, la restauration depuis le cloud peut être très lente si votre connexion Internet est limitée (restaurer 1 To sur une connexion 100 Mbps prend environ 22 heures). Utilisez la sauvegarde cloud comme copie hors site en complément d'une sauvegarde locale pour la restauration rapide.

Combien de temps dois-je conserver mes sauvegardes ?

La durée de rétention dépend de vos obligations réglementaires et de vos besoins métier. Le RGPD impose de ne pas conserver les données personnelles au-delà de la durée nécessaire, mais les obligations comptables et fiscales imposent une conservation de 6 à 10 ans pour certaines données. Une politique de rétention typique pour une PME est : 30 jours de sauvegardes quotidiennes, 12 mois de sauvegardes mensuelles, et 3 à 7 ans de sauvegardes annuelles pour les données réglementées.

Comment protéger mes sauvegardes contre les ransomwares ?

Trois stratégies complémentaires : 1) Sauvegarde air-gapped (disque dur externe déconnecté ou bande éjectée et stockée hors site). 2) Sauvegarde immuable (AWS S3 Object Lock, Azure Immutable Blob, Veeam Hardened Repository). 3) Séparation des identifiants (les identifiants d'administration des sauvegardes ne doivent pas être les mêmes que ceux du domaine AD). En combinant ces trois approches, vos sauvegardes résisteront même si l'attaquant compromet entièrement votre Active Directory.

Que sauvegarder en priorité dans une PME ?

Par ordre de priorité : les bases de données métier (ERP, CRM, comptabilité), les messageries professionnelles, les serveurs de fichiers et partages réseau, les configurations des équipements réseau et serveurs, l'Active Directory (y compris la SYSVOL et la base NTDS), les données des applications SaaS (Microsoft 365, Google Workspace), et les certificats SSL et clés de chiffrement. N'oubliez pas les données des postes de travail si vos collaborateurs y stockent des données critiques localement.

Mon prestataire informatique gère mes sauvegardes, est-ce suffisant ?

Faites confiance mais vérifiez. Demandez à votre prestataire de vous fournir les rapports de sauvegarde mensuels (taux de réussite, couverture, espace), de réaliser les tests de restauration trimestriels en votre présence, de documenter les procédures de restauration (que se passe-t-il si le prestataire n'est pas disponible ?), et de démontrer que les sauvegardes sont protégées contre les ransomwares (immuabilité, air-gap). Incluez ces exigences dans le contrat de prestation et vérifiez-les lors de l'audit annuel.

Bonnes pratiques complémentaires

Combien coûte une stratégie de sauvegarde professionnelle pour une PME ?

Pour une PME de 30 postes avec 5 serveurs et 2 To de données : solution de sauvegarde (Veeam Community gratuit ou licence à ~1 200 €/an), stockage NAS local (~500 € pour un NAS 8 To), stockage cloud (Backblaze B2 à ~5 $/To/mois soit ~120 €/an pour 2 To), disques durs externes pour sauvegarde air-gapped (~200 €), sauvegarde Microsoft 365 (~3 €/utilisateur/mois soit ~1 080 €/an). Total : 2 000 à 4 000 €/an, soit 10 à 15 € par poste et par mois — une fraction du coût d'un incident.

Quelle est la différence entre sauvegarde et réplication ?

La sauvegarde crée des copies historiques de vos données à des moments précis (permettant de revenir à un état antérieur). La réplication crée une copie en temps réel qui est toujours synchronisée avec la source. La réplication protège contre les pannes matérielles (haute disponibilité) mais PAS contre les ransomwares ni les erreurs humaines — si les données sont chiffrées ou supprimées, la réplication propage immédiatement la destruction à la copie. La sauvegarde et la réplication sont complémentaires, pas interchangeables.

Inspiré des recommandations de cybermalveillance.gouv.fr (licence Etalab 2.0)

Conclusion

La prévention et la préparation restent les meilleures armes face aux cybermenaces. Téléchargez cette ressource, diffusez-la dans votre organisation et n'hésitez pas à nous contacter pour un accompagnement personnalisé.