Sauvegarde informatique : ce qu'il faut exiger d'un prestataire

Une sauvegarde n'a de valeur que si elle se restaure

Beaucoup d'entreprises se croient protégées parce qu'un disque externe tourne quelque part. Puis vient la panne, le vol ou l'erreur de manipulation, et la découverte est brutale : sauvegarde arrêtée depuis des mois, fichiers illisibles, ou données critiques jamais incluses dans le périmètre. Quand on confie la sauvegarde à un prestataire, l'enjeu est de transformer « on s'en occupe » en engagements vérifiables.

Le standard de référence est la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. Face aux rançongiciels, on y ajoute une copie hors ligne ou immuable (non modifiable pendant une durée définie), hors de portée d'un attaquant qui aurait pris la main sur le réseau.

Ce que comprend une prestation de sauvegarde sérieuse

• Un périmètre écrit : quels serveurs, quels partages, quels postes, quelles applications (dont Microsoft 365, bases de données métier) sont sauvegardés, à quelle fréquence et avec quelle durée de rétention.
• Des sauvegardes automatisées, locales et distantes, sans dépendre d'un geste humain. Le choix entre local, cloud ou les deux est détaillé dans le comparatif sauvegarde cloud ou locale.
• Le chiffrement des données avant leur sortie des locaux, avec une gestion des clés documentée : qui détient la clé, et comment la récupérer si le prestataire disparaît ?
• Un contrôle quotidien : chaque échec doit déclencher une alerte traitée, idéalement via la supervision, pas un rapport que personne ne lit.
• Des tests de restauration réguliers, avec compte rendu : restauration de fichiers, mais aussi d'une machine complète, au moins une ou deux fois par an.

Dimensionner : RPO et RTO

Deux questions structurent toute la solution, et elles relèvent de la direction, pas du technicien :

• RPO (perte de données maximale admissible) : combien d'heures de travail pouvez-vous perdre ? Une sauvegarde chaque nuit signifie qu'une journée peut être perdue. Pour les données où chaque heure compte, des sauvegardes horaires ou continues existent.
• RTO (durée d'interruption maximale admissible) : combien de temps pouvez-vous rester à l'arrêt ? Restaurer quelques fichiers prend des minutes ; restaurer un serveur complet depuis le cloud peut prendre de quelques heures à plus d'une journée selon le volume et le débit.

Ces deux valeurs doivent figurer dans le contrat et alimentent votre plan de reprise d'activité.

Le rempart principal contre les rançongiciels

Un rançongiciel chiffre les fichiers et exige une rançon. Sans sauvegarde saine, il ne reste que deux options : payer sans aucune assurance de récupérer les données (ce que les autorités déconseillent), ou tout perdre. Avec une copie hors ligne ou immuable, on restaure et on reprend le travail. Les attaquants cherchent d'ailleurs souvent à supprimer les sauvegardes accessibles avant de déclencher le chiffrement : d'où l'importance de la copie isolée. Le guide protéger son entreprise des ransomwares détaille le mécanisme.

À exiger dans le contrat

1. Le périmètre sauvegardé, annexé et mis à jour à chaque évolution du parc.
2. La fréquence, la durée de rétention et le nombre de versions conservées.
3. L'existence d'une copie hors ligne ou immuable, et sa localisation.
4. La localisation des données (pays, hébergeur) et le chiffrement, avec la question des clés.
5. Le RPO et le RTO cibles par type de donnée ou de serveur.
6. La fréquence des tests de restauration et la remise d'un compte rendu.
7. Le traitement des échecs de sauvegarde (alerte, délai de correction, information du client).
8. La restitution des sauvegardes et des clés en fin de contrat (réversibilité), dans un format exploitable.
9. Les obligations RGPD du sous-traitant (article 28) : voir le guide RGPD en entreprise.

Signaux d'alerte

• Personne ne peut vous dire quand a eu lieu le dernier test de restauration.
• La seule copie distante est synchronisée en permanence avec le serveur : un chiffrement par rançongiciel s'y propagerait.
• Le prestataire est seul à détenir la clé de chiffrement, sans procédure de séquestre ou de remise.
• Microsoft 365 est présenté comme « déjà sauvegardé par Microsoft ».