Sauvegarde et reprise après sinistre : le plan minimal

Personne ne pense à la sauvegarde jusqu’au moment où elle devient nécessaire. Et quand elle devient nécessaire — un rançongiciel, une panne, une erreur humaine qui efface le mauvais dossier — découvrir qu’on n’en a pas de fonctionnelle est l’une des situations les plus coûteuses dans lesquelles une entreprise puisse se trouver. La sauvegarde n’est pas un sujet informatique à déléguer et oublier : c’est de la continuité d’activité. Voyons le plan minimal que toute PME devrait avoir.

Sauvegarde et reprise après sinistre ne sont pas la même chose

Deux concepts souvent confondus.

• La sauvegarde est une copie des données qui permet de les récupérer si l’original est perdu.
• La reprise après sinistre (disaster recovery) est le plan qui vous permet de redevenir opérationnel après un incident grave : non seulement les données, mais les systèmes, les accès, les processus.

Avoir des sauvegardes mais aucun plan de reprise, c’est avoir les briques mais aucun plan pour reconstruire la maison. Les deux sont nécessaires.

La règle 3-2-1

C’est le standard de référence, simple et éprouvé :

• 3 copies des données (l’original plus deux sauvegardes).
• 2 supports différents (par exemple disque local et cloud).
• 1 copie hors site, physiquement séparée, de préférence pas toujours connectée.

La copie séparée et hors ligne est la défense décisive contre les rançongiciels : une attaque qui chiffre les systèmes connectés ne peut pas toucher une sauvegarde qui n’est pas accessible sur le réseau. Beaucoup d’entreprises découvrent trop tard que leurs sauvegardes se trouvaient sur le même système touché.

Les deux questions qui définissent le plan : RPO et RTO

Avant de choisir les outils, répondez à deux questions métier.

• RPO (Recovery Point Objective) : combien de données pouvez-vous vous permettre de perdre ? Si vous sauvegardez une fois par jour, en cas de panne vous perdez jusqu’à une journée de travail. Pour la facturation ou les commandes, cela peut être inacceptable : il faut une fréquence plus élevée.
• RTO (Recovery Time Objective) : combien de temps pouvez-vous rester à l’arrêt ? Une heure, une journée, une semaine ? De la réponse dépend la rapidité que doit avoir la restauration.

Il n’y a pas de réponse juste dans l’absolu : cela dépend de ce que coûte une heure d’arrêt à votre activité. Mais la question doit être posée avant, pas pendant l’urgence.

La sauvegarde qui n’a jamais été testée n’existe pas

C’est l’erreur la plus répandue et la plus grave. Une sauvegarde qui tourne chaque nuit donne un faux sentiment de sécurité jusqu’au moment où vous essayez de la restaurer — et découvrez qu’elle était incomplète, corrompue ou que personne ne sait comment faire. Une sauvegarde ne vaut que par la restauration que vous en obtenez.

Les règles minimales :

1. Testez la restauration périodiquement, pas seulement l’exécution de la sauvegarde.
2. Documentez la procédure : qui fait quoi, avec quels accès, dans quel ordre.
3. Vérifiez les alertes : si une sauvegarde échoue, quelqu’un doit s’en apercevoir immédiatement.

Le facteur humain et les rançongiciels

La plupart des incidents ne naissent pas de pannes matérielles mais d’erreurs humaines et d’attaques. Le plan technique doit être accompagné de mesures simples : mises à jour constantes des systèmes, authentification à plusieurs facteurs sur les accès critiques, formation des personnes à reconnaître les e-mails d’hameçonnage. La copie hors ligne, comme dit, est la dernière ligne de défense quand tout le reste a été compromis.

Protection et conservation des données

Le sujet touche aussi le plan juridique, pas seulement technique.

• La loi suisse prévoit l’obligation de conserver la documentation commerciale et comptable pendant dix ans. Votre système de sauvegarde doit garantir que ces documents soient récupérables et lisibles pendant toute cette période.
• La nouvelle loi sur la protection des données (nLPD) exige des mesures de sécurité adéquates sur les données personnelles : une sauvegarde non protégée ou conservée sans méthode est elle-même un risque.
• Si les sauvegardes sont dans le cloud, vérifiez où elles sont conservées et avec quelles garanties, en privilégiant un hébergement en Suisse ou dans l’UE avec des conditions claires.

Le plan minimal, en résumé

Même une petite PME peut se doter d’une base solide : appliquez la règle 3-2-1, définissez RPO et RTO en fonction de ce qu’un arrêt vous coûte, gardez une copie hors ligne contre les rançongiciels, testez la restauration à intervalles réguliers, documentez qui fait quoi en cas d’incident et assurez-vous de respecter les obligations de conservation décennale. Il ne faut pas une infrastructure complexe : il faut un plan écrit et éprouvé.

Comment nous travaillons

SIH ONE est un groupe fiduciaire AI-native : nous unissons la compétence technologique à la connaissance des obligations suisses de conservation et de protection des données. Nous vous aidons à mettre en place un plan de sauvegarde et de continuité dimensionné sur votre activité, qui concilie sécurité technique, délais de restauration réalistes et conformité réglementaire.

Vous voulez être sûr de pouvoir repartir après un incident ? Parlons-en ensemble.