Un disque qui lâche, un ordinateur volé, une erreur de manipulation, un rançongiciel : pour une PME, la perte de données n’est pas un risque théorique. La bonne nouvelle, c’est qu’une politique de sauvegarde solide n’a rien de compliqué. Cet article décrit les pratiques à mettre en place, de la règle 3-2-1 aux tests de restauration, pour vos fichiers, vos logiciels et votre site web.

Commencer par l’inventaire

On ne sauvegarde bien que ce qu’on a identifié. Listez :

• Les fichiers : documents, devis, factures, photos de chantiers, plans.
• Les logiciels et leurs données : comptabilité, facturation, gestion commerciale, logiciel métier.
• Les outils en ligne : messagerie, CRM, outils collaboratifs.
• Le site web : fichiers, base de données, formulaires reçus.
• Les applications sur mesure et leurs bases de données.

Pour chacun, notez où se trouvent les données, qui en est responsable, et ce que coûterait leur perte : une journée de travail, une semaine, l’historique client complet.

La règle 3-2-1

C’est la méthode la plus simple à retenir :

• 3 copies de vos données : l’original et deux sauvegardes ;
• 2 supports différents : par exemple un serveur ou un disque réseau, et un stockage en ligne ;
• 1 copie hors des locaux, pour survivre à un vol, un incendie ou une inondation.

Elle rejoint les recommandations du dispositif national Cybermalveillance.gouv.fr : effectuer plusieurs sauvegardes sur différents supports, déconnecter le support de sauvegarde quand il n’est pas utilisé, et vérifier régulièrement que la sauvegarde fonctionne.

La copie déconnectée

Un rançongiciel cherche à chiffrer tout ce qu’il peut atteindre, y compris les sauvegardes connectées en permanence au réseau. Au moins une copie doit donc être hors ligne ou non modifiable : un disque débranché après la sauvegarde, ou un stockage en ligne qui empêche la suppression des versions pendant une durée donnée.

Synchronisation n’est pas sauvegarde

Google Drive, OneDrive, Dropbox : ces services synchronisent vos fichiers. C’est pratique, mais un fichier supprimé ou chiffré sur votre ordinateur l’est aussi dans le cloud. Ils ne remplacent pas une sauvegarde, sauf à utiliser un historique de versions suffisant et une copie séparée.

Fréquence et durée de conservation

La fréquence

Posez-vous la question : combien de travail suis-je prêt à refaire ? Si la réponse est « pas même une journée », la sauvegarde doit être au moins quotidienne. Pour une base de données très active (commandes, stocks), elle peut être plus fréquente.

La conservation

Gardez plusieurs générations : la sauvegarde d’hier ne sert à rien si le fichier a été corrompu il y a deux semaines sans que personne ne s’en aperçoive. Une rotation courante combine des sauvegardes quotidiennes, hebdomadaires et mensuelles.

Les tests de restauration

C’est le point le plus souvent oublié. Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une garantie. Planifiez des tests réguliers :

1. Un fichier : restaurez un document précis à une date donnée.
2. Une base de données : restaurez-la sur un environnement de test et vérifiez que le logiciel l’ouvre.
3. Le site complet : remontez-le sur un serveur de test et vérifiez qu’il fonctionne.

Notez à chaque fois la date, ce qui a été testé, le temps qu’a pris la restauration et les problèmes rencontrés. Ce temps de restauration est une donnée clé : c’est la durée pendant laquelle l’activité serait arrêtée.

Le cas du site web et des applications

Un site ou une application, c’est à la fois des fichiers et une base de données. Il faut sauvegarder les deux, de façon cohérente, et en garder une copie indépendante de l’hébergeur.

Vérifiez auprès de votre hébergeur :

• si des sauvegardes sont réalisées, à quelle fréquence et pour quelle durée ;
• où elles sont stockées (sur le même serveur, cela ne protège pas d’une panne de celui-ci) ;
• comment se passe une restauration, et en combien de temps.

C’est précisément ce que couvrent nos offres de maintenance (sauvegardes, mises à jour, surveillance) et de mise en ligne et serveur géré (hébergement configuré avec sauvegardes automatiques).

Une organisation type pour une PME

Voici, à titre d’exemple, une organisation simple qui respecte la règle 3-2-1 pour une petite structure :

Données	Sauvegarde 1	Sauvegarde 2	Fréquence	Test de restauration
Fichiers de l’entreprise	Disque réseau dans les locaux	Stockage en ligne avec versions protégées	Quotidienne	Un fichier, chaque mois
Logiciel de gestion	Export automatique sur le disque réseau	Copie chiffrée hors site	Quotidienne	Base complète, chaque trimestre
Site web	Sauvegarde de l’hébergeur	Copie indépendante sur un autre serveur	Quotidienne	Site complet sur un serveur de test, chaque trimestre
Postes de travail	Rien de critique en local : tout est sur le serveur ou en ligne	—	—	—

Adaptez les fréquences à votre activité. L’essentiel est que chaque ligne ait deux sauvegardes sur des supports différents, dont une hors des locaux, et un test planifié.

Le plan de reprise : savoir quoi faire le jour J

Avoir des sauvegardes ne suffit pas : il faut savoir comment s’en servir sous pression. Rédigez une page simple, imprimée et accessible même si les ordinateurs sont hors service :

• Qui appeler : la personne responsable des sauvegardes, le prestataire, l’hébergeur, avec leurs numéros.
• Où sont les sauvegardes : emplacement, identifiants d’accès (conservés de façon sécurisée), copie déconnectée.
• Dans quel ordre restaurer : d’abord ce qui bloque l’activité (facturation, commandes, messagerie), ensuite le reste.
• Comment travailler en attendant : procédure papier, téléphone, information des clients.

En cas d’attaque par rançongiciel, ne restaurez pas sur un système encore infecté : isolez d’abord les machines touchées. Le site Cybermalveillance.gouv.fr propose une assistance et une mise en relation avec des prestataires.

Sauvegarder les outils en ligne

Messagerie, CRM, outils de facturation en ligne : leurs éditeurs assurent la disponibilité du service, mais pas toujours la récupération de vos données en cas de suppression par erreur ou de compte compromis. Vérifiez, pour chaque outil :

• la durée pendant laquelle un élément supprimé reste récupérable ;
• la possibilité d’exporter régulièrement vos données ;
• ce qui se passe si vous résiliez l’abonnement.

Un export automatique régulier, stocké avec vos autres sauvegardes, comble souvent cette lacune. C’est typiquement une tâche que l’on peut automatiser.

Les erreurs fréquentes

• Une seule sauvegarde, au même endroit que l’original : un incendie ou un vol emporte les deux.
• Une sauvegarde toujours branchée : elle sera chiffrée avec le reste.
• Aucun test de restauration : on découvre le problème le jour où l’on en a besoin.
• Oublier les outils en ligne : la messagerie ou le CRM ne sont pas toujours sauvegardés par défaut au-delà d’une certaine durée.
• Personne de responsable : une sauvegarde qui échoue sans alerte peut rester cassée des mois.

Votre plan d’action

1. Faites l’inventaire de vos données et de leur criticité.
2. Mettez en place la règle 3-2-1, avec une copie déconnectée.
3. Automatisez les sauvegardes et activez des alertes en cas d’échec.
4. Planifiez un test de restauration régulier, et notez-en les résultats.
5. Désignez un responsable, interne ou externe.

Pour aller plus loin : pourquoi sauvegarder son site ne suffit pas, et la checklist sécurité de notre article comment faire un audit digital simple.