Pour une PME, une sauvegarde utile ne se mesure pas au nombre de fichiers copiés, mais à la capacité de les récupérer après une panne, une erreur ou une cyberattaque. La règle de sauvegarde 3-2-1 donne un cadre simple, à condition de l’adapter aux priorités de l’entreprise et de vérifier régulièrement son fonctionnement.
Un dossier synchronisé ou un NAS peuvent faciliter le travail quotidien, sans protéger à eux seuls contre une suppression propagée ou un rançongiciel. La sauvegarde des données devient un véritable outil de continuité d’activité lorsqu’elle associe plusieurs copies, des accès protégés et des tests de restauration.
A retenir :
- Trois copies réparties sur deux supports, dont une conservée hors site
- Une copie hors ligne ou immuable face aux rançongiciels
- Des objectifs de perte et de reprise définis avec les métiers
- Des restaurations régulièrement testées, chronométrées et consignées par écrit
Sauvegarde en PME : appliquer la règle 3-2-1
Une fois les priorités identifiées, la règle 3-2-1 permet de répartir les copies pour éviter qu’un incident unique les détruise toutes. Elle fournit une base concrète à tout plan de sauvegarde, sans imposer une solution technique identique à chaque entreprise.
Trois copies, deux supports et une copie hors site
Selon le guide Evoir transmis, les trois copies comprennent les données originales et deux sauvegardes, conservées sur deux types de supports différents. Une PME peut, par exemple, associer un NAS local à un service de sauvegarde distant, plutôt que de multiplier les disques branchés au même serveur.
La copie hors site protège contre l’incendie, le vol ou un dégât des eaux dans les locaux. La variante 3-2-1-1-0 ajoute une copie hors ligne ou immuable et exige qu’aucune erreur ne subsiste après un test de restauration.
Répartition des copies en PME :
- Original de travail sur le serveur ou les postes concernés
- Première sauvegarde sur un support distinct, comme un NAS dédié
- Deuxième sauvegarde dans un emplacement extérieur à l’entreprise
- Copie protégée contre la modification ou la suppression malveillante
Sauvegarde, synchronisation et archivage : des fonctions distinctes
Selon le guide Evoir transmis, la synchronisation réplique les changements entre appareils, tandis qu’une sauvegarde conserve des versions récupérables. Si un utilisateur supprime un dossier synchronisé, cette suppression peut se propager aux autres emplacements connectés.
L’archivage répond plutôt au besoin de conserver des données sur la durée. Il ne remplace pas une copie conçue pour relancer rapidement les applications après une panne, une erreur humaine ou un incident de sécurité informatique.
Différences entre les solutions :
- Synchronisation : partage des mêmes fichiers entre plusieurs appareils
- Sauvegarde : conservation de versions restaurables à différents moments
- Archivage : conservation durable de données figées pour consultation ultérieure
- NAS seul : support utile, mais insuffisant s’il reste dans les mêmes locaux
| Risque | Exemple | Protection attendue |
|---|---|---|
| Erreur humaine | Fichier supprimé ou écrasé | Version antérieure restaurable |
| Panne matérielle | Serveur qui ne démarre plus | Copie permettant une reconstruction |
| Rançongiciel | Fichiers chiffrés et sauvegardes visées | Copie inaccessible à l’attaquant |
| Sinistre physique | Incendie, dégât des eaux ou vol | Copie située dans un autre lieu |
Protection des données : limiter les risques de ransomware
La répartition des copies réduit les points de défaillance, mais elle ne suffit pas si les mêmes comptes contrôlent les systèmes de production et les sauvegardes. Selon le guide Evoir transmis, les attaquants peuvent chercher à neutraliser les copies avant de chiffrer les fichiers de l’entreprise.
Isoler les sauvegardes et renforcer les accès
Une copie hors ligne est déconnectée du réseau pendant sa conservation, tandis qu’une copie immuable ne peut être modifiée ou supprimée durant une période définie. Ces protections limitent les dégâts lorsqu’un compte compromis ou un logiciel malveillant atteint le réseau de la PME.
Les comptes de sauvegarde doivent être distincts des comptes ordinaires et protégés par une authentification multifacteur. Éviter les lecteurs de sauvegarde montés en permanence réduit aussi les possibilités d’accès depuis un poste infecté.
Mesures de protection des sauvegardes :
- Séparation des comptes administratifs et des accès de sauvegarde
- Authentification multifacteur sur la console de gestion
- Copie isolée, déconnectée ou protégée contre la suppression
- Alertes d’échec attribuées à une personne responsable
Définir les RPO et RTO pour chaque activité
Le RPO désigne la quantité de données que l’entreprise peut accepter de perdre ; le RTO correspond au délai maximal d’interruption jugé acceptable. Une sauvegarde nocturne peut convenir à des documents rarement modifiés, mais laisser une journée de travail à ressaisir pour une activité très dynamique.
Ces objectifs doivent être discutés avec les responsables métiers, car la comptabilité, les commandes et les fichiers internes n’ont pas les mêmes conséquences en cas d’arrêt. Ils orientent la fréquence des sauvegardes, les moyens à prévoir et la conformité réglementaire, sans garantir à eux seuls le respect de toutes les obligations applicables.
Priorités à discuter avec les équipes :
- Données indispensables à la facturation ou à la production
- Perte de travail acceptable entre deux copies
- Durée d’interruption supportable pour chaque application
- Durée de conservation adaptée aux risques et aux obligations
Application des sauvegardes : tester la récupération des données
Des copies bien réparties protègent mieux l’entreprise, mais leur présence ne prouve pas qu’elles fonctionnent. Le test transforme une promesse technique en procédure vérifiée et révèle les délais réels de récupération des données.
Restaurer sans mettre la production en danger
Un test prudent se déroule dans un environnement distinct des systèmes utilisés par les équipes. Une PME peut commencer par un fichier, poursuivre avec un dossier partagé, puis vérifier une base de données ou une machine virtuelle.
Il faut ouvrir les fichiers restaurés et contrôler que l’application concernée fonctionne réellement. Pour chaque essai, consignez la date, les éléments testés, la durée, les écarts et les actions correctives.
| Étape du test | Action | Vérification |
|---|---|---|
| Choix | Sélectionner un fichier, un dossier et un système critique | Plusieurs niveaux de restauration sont couverts |
| Isolement | Restaurer dans un espace séparé de la production | Aucune donnée active n’est écrasée |
| Contrôle | Ouvrir les fichiers et lancer l’application concernée | Les données sont exploitables |
| Compte rendu | Noter la durée, les écarts et les corrections prévues | Le résultat est consultable ultérieurement |
Un test limité permet de corriger une procédure sans interrompre l’activité, tandis qu’une restauration plus large mesure la capacité à remettre un service en route. Prenons une PME fictive dont le partage de fichiers est récupérable, mais dont les identifiants de restauration restent inconnus : la copie existe, pourtant le délai de reprise s’allonge.
Contrôler le prestataire et documenter le plan
Demandez quelles données sont couvertes, où se trouvent les copies et comment leur immuabilité est garantie. Il est également utile de connaître le traitement des alertes, les délais annoncés et les modalités de récupération des données à la fin du contrat.
Un plan de sauvegarde doit préciser les responsabilités, les accès de secours et la procédure à suivre si la personne habituelle est absente. Cette documentation, conservée hors des systèmes protégés, aide les équipes à agir lorsque l’accès au réseau devient impossible.
Vérifications à demander au prestataire :
- Périmètre exact des données et applications sauvegardées
- Emplacement et protection des copies hors site
- Date, résultats et compte rendu du dernier test de restauration
- Récupération des données et des clés en fin de contrat
Selon le guide Evoir transmis, les alertes doivent être suivies par une personne nommément désignée et les restaurations consignées. Une routine documentée donne ainsi à la protection des données une portée concrète dans la continuité d’activité.
Source : Guide Evoir, « Sauvegarde », mise à jour indiquée au 27 septembre 2026. Les recommandations opérationnelles présentées reprennent les informations fournies dans ce guide.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
