Pour une TPE ou une PME, la sauvegarde des données n'est pas un sujet réservé aux grandes entreprises. Panne matérielle, erreur humaine, rançongiciel, vol ou sinistre dans les locaux : chacun de ces scénarios peut rendre vos données inaccessibles pendant des jours, voire les détruire. Imaginez une entreprise dont la base clients ou la facturation est bloquée plusieurs jours : commandes en attente, confiance entamée, activité ralentie.
Cet article propose une stratégie de sauvegarde étape par étape : inventaire, fréquence, règle 3-2-1, copies hors site, chiffrement, tests de restauration et plan de reprise, avec une checklist pratique et une FAQ.
Ce qu'est une sauvegarde de données d'entreprise (et ce qu'elle n'est pas)
Beaucoup de dirigeants confondent encore synchronisation, archivage et véritable sauvegarde.
- Sauvegarde : création de copies complètes ou incrémentales de vos données (fichiers, bases de données, ERP/CRM, e-mails, documents comptables), conservées séparément du système de production et restaurables après un incident.
- Synchronisation : réplication en temps réel via un espace de stockage collaboratif. Si des fichiers sont supprimés ou chiffrés par un logiciel malveillant, la synchronisation peut propager le dommage à toutes les copies synchronisées.
- Archivage : conservation longue durée à des fins légales ou historiques, sans objectif de restauration rapide.
Exemple : une PME stocke tous ses documents sur un espace partagé synchronisé, sans sauvegarde indépendante. Un utilisateur supprime massivement des fichiers : la suppression se réplique partout et aucune version restaurable n'existe.
Deux notions aident à piloter votre stratégie :
- RPO (Recovery Point Objective) : la quantité maximale de données que vous acceptez de perdre, exprimée en temps. Un RPO de 4 h signifie que vous pourriez perdre au plus 4 heures de travail.
- RTO (Recovery Time Objective) : la durée maximale d'interruption que votre activité peut tolérer avant la reprise.
La sauvegarde protège notamment contre la suppression accidentelle, la panne d'un disque ou d'un serveur, la corruption de données, les rançongiciels, le vol de matériel, l'incendie et l'inondation.
Cartographier vos données et applications
La première étape consiste à dresser un inventaire structuré de ce que vous devez protéger. Sans cette cartographie, vous risquez de sauvegarder le superflu et d'oublier le critique.
- Lister les applications : ERP, CRM, messagerie, site e-commerce, logiciels métiers.
- Identifier les bases de données : comptabilité, commandes ou réservations, fichiers clients, documents.
- Classer par criticité :
- Critique : facturation, contrats, commandes, données financières.
- Essentiel : documents internes, reporting, correspondance.
- Non critique : copies temporaires, caches, brouillons.
- Localiser les données : serveurs sur site, NAS, postes de travail, outils SaaS, stockage cloud, partages de fichiers, smartphones et tablettes.
- Documenter chaque actif : emplacement, volume estimé, responsable métier, dépendances entre applications.
Cette cartographie sert à la fois pour la sauvegarde, pour une éventuelle migration cloud et pour le plan de reprise d'activité. Un audit informatique est souvent le bon point de départ.
Définir vos objectifs RPO/RTO et la fréquence de sauvegarde
Les objectifs RPO et RTO se définissent pour chaque entreprise, selon la criticité de chaque type de données. Plus ils sont exigeants, plus la solution de sauvegarde sera complexe et potentiellement coûteuse.
Le tableau ci-dessous est un exemple illustratif à adapter à votre activité, pas une norme :
| Niveau | Exemple d'application | RPO (exemple) | RTO (exemple) | Fréquence possible |
|---|---|---|---|---|
| Critique | Facturation, commandes, ERP | 1 h | 4 h | Horaire ou en continu |
| Essentiel | Messagerie, fichiers partagés | 4 h | 24 h | Quotidienne (la nuit) |
| Non critique | Archives, postes individuels | 24 h | 72 h | Hebdomadaire à mensuelle |
Une erreur de priorisation peut transformer quelques heures d'interruption en plusieurs jours. Coordonnez ces choix avec vos autres projets : nouveau CRM, migration d'un serveur vers le cloud, automatisation de processus.
La règle 3-2-1 : la base d'une stratégie de sauvegarde en PME
La règle 3-2-1 est une référence largement utilisée en protection des données. Son principe est simple :
- 3 copies : vos données de production et deux sauvegardes. Exemple : une base de commandes en production, une sauvegarde locale quotidienne sur NAS et une sauvegarde hors site chiffrée chaque nuit.
- 2 supports différents : par exemple NAS + stockage cloud, ou serveur local + stockage objet dans le cloud. Une panne touchant un type de support ne doit pas toucher l'autre.
- 1 copie hors site : un autre bâtiment, un centre de données distant ou un stockage cloud géographiquement séparé, pour se protéger du vol, de l'incendie ou d'un sinistre sur vos locaux.
La règle s'applique aussi dans un environnement entièrement cloud. Si vos applications sont en SaaS, prévoyez des copies indépendantes du fournisseur principal : export régulier des bases de données vers un autre stockage et archivage des informations critiques en dehors de ce fournisseur.
Aller plus loin : 3-2-1-1-0, immuabilité et sauvegarde hors ligne
Les rançongiciels peuvent aussi cibler les sauvegardes pour empêcher toute reprise. C'est pourquoi une variante plus exigeante, souvent appelée 3-2-1-1-0, est utilisée :
- 3 copies, 2 supports, 1 hors site : le socle reste identique.
- 1 copie hors ligne ou immuable : une sauvegarde déconnectée du réseau en dehors des créneaux de sauvegarde, ou une sauvegarde qui ne peut être ni modifiée ni supprimée pendant sa durée de rétention, même par un compte administrateur compromis.
- 0 erreur : aucune erreur lors des tests de restauration, ce qui suppose des tests réguliers, par exemple la restauration d'un échantillon de données dans un environnement de test.
Visez au minimum la règle 3-2-1 et, pour les données critiques, évoluez progressivement vers une approche 3-2-1-1-0.
Sauvegardes sur site, hors site et cloud : les combiner
La résilience ne vient pas d'un choix entre « tout local » et « tout cloud », mais d'un équilibre adapté à votre contexte.
- Sur site : restauration rapide, contrôle de l'infrastructure, pas de dépendance immédiate à la connexion Internet. En revanche, vulnérable au vol, à l'incendie ou à l'inondation.
- Hors site : protection contre les sinistres locaux et possibilité de reprendre l'activité depuis un autre lieu.
- Cloud : un moyen pratique de réaliser la copie hors site, avec automatisation possible, à condition de bien paramétrer le chiffrement, les accès et la surveillance.
Utiliser une application SaaS sans sauvegarde indépendante revient à dépendre d'un seul point de défaillance.
Scénario type pour une TPE/PME : sauvegarde locale quotidienne sur un NAS, puis réplication chiffrée vers un stockage cloud hors site pendant la nuit. Pour les postes nomades, sauvegarde automatique régulière vers le même stockage distant.
Sécurité, chiffrement et gouvernance de la sauvegarde
Une sauvegarde mal protégée devient un nouveau point de vulnérabilité : un disque volé ou un compte administrateur compromis peut exposer des données sensibles.
- Chiffrement : chiffrez les sauvegardes en transit et au repos.
- Gestion des accès : limitez le nombre de comptes capables de supprimer ou modifier les sauvegardes et séparez, quand c'est possible, les droits « sauvegarder » et « administrer ».
- Documentation : conservez les clés de chiffrement et les procédures d'accès dans un endroit sécurisé, avec une procédure claire en cas de changement d'administrateur ou de prestataire.
- Surveillance : automatisez les sauvegardes, vérifiez régulièrement les rapports, configurez des alertes en cas d'échec et tenez un registre des tests.
- Conformité : les copies contiennent souvent des données personnelles. Vérifiez les règles de protection des données applicables à votre activité et aux pays concernés, et appliquez-les aussi aux sauvegardes.
Organisation interne : rôles, procédures et tests de restauration
Une stratégie bien conçue sur le papier échoue si personne ne sait l'exécuter le jour de l'incident.
- Responsabilités : désignez un pilote (direction ou référent IT). Définissez qui exécute les actions courantes, qui valide les tests et qui décide en cas d'attaque ou de sinistre.
- Procédures documentées : rédigez des guides simples : lancer une sauvegarde manuelle, vérifier les journaux, restaurer un fichier supprimé, réagir à une altération massive.
- Tests de restauration planifiés : testez régulièrement la restauration de fichiers isolés et, périodiquement, la restauration complète d'une application non critique dans un environnement de test.
- Formation : formez les personnes clés à la stratégie et au plan de reprise, pour qu'elles sachent réagir en situation de crise.
- Prestataires : clarifiez qui fait quoi entre votre entreprise et votre partenaire IT (maintenance, intervention, mise à jour de la stratégie).
Relier sauvegarde, plan de reprise d'activité et migration cloud
Un plan de reprise d'activité (PRA) décrit les scénarios d'incident (panne serveur, cyberattaque, perte d'un site) et la manière dont l'entreprise s'appuie sur ses sauvegardes pour redémarrer. Sans copies fiables, chiffrées et testées, ce plan reste théorique.
- Perte d'un serveur local critique : restauration depuis la sauvegarde hors site sur une nouvelle infrastructure, dans le RTO défini.
- Indisponibilité d'une application SaaS : recours à l'export de données conservé indépendamment, le temps que le service soit rétabli.
- Sinistre dans les bureaux : la copie hors site permet de reprendre l'activité depuis un autre lieu.
Toute migration vers le cloud (ERP, site e-commerce, application métier) devrait intégrer la sauvegarde et le plan de reprise dès la conception.
Checklist : 12 actions pour sécuriser la sauvegarde des données de votre entreprise
- ☐ Dresser la liste complète des applications et des données.
- ☐ Classer les données par niveau de criticité.
- ☐ Définir des objectifs RPO/RTO par catégorie.
- ☐ Appliquer au minimum la règle 3-2-1.
- ☐ Choisir les supports et emplacements (sur site, hors site, cloud).
- ☐ Chiffrer les sauvegardes hors site et en transit.
- ☐ Documenter les procédures (sauvegarde, restauration, escalade).
- ☐ Désigner un responsable de la stratégie de sauvegarde.
- ☐ Planifier des tests de restauration réguliers.
- ☐ Intégrer la sauvegarde au plan de reprise d'activité.
- ☐ Vérifier la cohérence avec les projets cloud en cours ou à venir.
- ☐ Revoir la stratégie au moins une fois par an.
Formalisez cette checklist dans un document validé par la direction, pour en faire un engagement de l'entreprise et pas seulement un sujet IT.
Comment Unziptech peut vous accompagner
Unziptech est une société de conseil IT et de développement basée à Fès, qui accompagne des entreprises au Maroc et à l'international sur des projets web, mobile, logiciels sur mesure, IA et conseil IT & digital.
Sur la sauvegarde des données, Unziptech peut intervenir dans le cadre de ses services de conseil IT & digital :
- Audit et conseil : cartographie des données et applications, définition des priorités, choix d'une stratégie de sauvegarde et d'un plan de reprise adaptés à votre contexte.
- Documentation et formation : procédures écrites et formation de vos équipes.
- Maintenance : des contrats de maintenance et de support après livraison, incluant notamment les mises à jour de sécurité.
Chaque accompagnement fait l'objet d'un devis sur mesure gratuit après analyse de vos besoins. Contactez Unziptech pour en parler.
FAQ – Sauvegarde des données d'entreprise
La synchronisation cloud suffit-elle comme sauvegarde ?
Non. La synchronisation réplique les changements, y compris les suppressions et les fichiers chiffrés par un logiciel malveillant. Il faut des copies indépendantes, idéalement dont une hors ligne ou immuable.
Quelle est la différence entre sauvegarde sur site et hors site ?
La sauvegarde sur site (NAS, disque local) permet une restauration rapide mais reste exposée aux sinistres locaux. La sauvegarde hors site protège contre l'incendie, le vol et les sinistres, mais dépend de la connexion et de son paramétrage de sécurité. Les deux sont complémentaires.
À quelle fréquence tester la restauration ?
Régulièrement, selon la criticité des données, avec de temps en temps un test complet d'une application non critique. L'essentiel est la régularité et la documentation de chaque test.
Comment appliquer la règle 3-2-1 si mes applications sont déjà dans le cloud ?
Exportez régulièrement vos données vers un stockage indépendant du fournisseur principal et conservez des copies sur un support que vous contrôlez. Le cloud ne supprime pas le besoin de sauvegarde.
Qui doit piloter la stratégie dans une petite structure ?
La direction ou un référent IT désigné, éventuellement accompagné d'un prestataire. L'important est que la responsabilité soit attribuée nommément.
Par où commencer sans stratégie de sauvegarde aujourd'hui ?
Par l'inventaire de vos données et applications, puis par vos priorités : qu'est-ce qui bloque votre activité si c'est perdu ? Ensuite, mettez en place une première sauvegarde 3-2-1 et testez une restauration.