Sauvegardes en PME : quoi sauvegarder, à quelle fréquence, et comment tester que ça fonctionne vraiment
Une sauvegarde qui n’a jamais été testée n’est pas une sauvegarde : c’est une hypothèse. Et c’est justement l’hypothèse que les rançongiciels exploitent en premier. Voici, sans jargon technique, ce qu’un dirigeant doit savoir pour que le jour où ça arrive, l’entreprise reparte plutôt qu’elle ne ferme.
Ce que les attaquants ciblent en premier : les groupes de rançongiciel ne se contentent plus de chiffrer vos serveurs. Ils cherchent d’abord vos sauvegardes pour les détruire ou les chiffrer elles aussi, car une entreprise qui ne peut pas restaurer ses données a beaucoup plus de chances de payer la rançon. Une sauvegarde accessible depuis le même réseau que votre production est une sauvegarde qui tombera avec elle.
Pourquoi la sauvegarde est votre assurance-vie numérique
Un antivirus, un pare-feu, une sensibilisation de vos équipes : tout cela réduit la probabilité d’un incident. Mais aucune de ces mesures ne garantit une protection à 100%. La sauvegarde, elle, est la seule mesure qui vous permet de vous relever après l’incident, quelle qu’en soit la cause — rançongiciel, erreur humaine, panne matérielle, vol de matériel ou sinistre (incendie, dégât des eaux).
L’ANSSI a formalisé cette exigence dans son référentiel « Les Fondamentaux — Sauvegarde des systèmes d’information », qui introduit deux notions simples à retenir, même sans compétence technique :
PDMA (perte de données maximale admissible) : combien de temps de données êtes-vous prêt à perdre ? Si votre PDMA est de 4 heures, vous devez sauvegarder au moins toutes les 4 heures.
DMIA (durée maximale d’interruption admissible) : combien de temps votre activité peut-elle tolérer d’être à l’arrêt avant que les systèmes ne soient de nouveau opérationnels ?
Ces deux questions, à vous poser pour chaque catégorie de données, doivent guider toutes les décisions qui suivent dans ce guide : plus la réponse est courte, plus votre fréquence de sauvegarde et votre capacité de restauration doivent être rapides.
Quoi sauvegarder en priorité
Toutes les données de votre entreprise n’ont pas la même criticité. Avant de choisir un outil ou un prestataire, cartographiez ce que vous avez, en distinguant ce qui ferait vraiment mal à l’entreprise si vous le perdiez.
Comptabilité & facturation
Obligation légale de conservation
Données clients (CRM, commandes)
Cœur de votre activité commerciale, soumis au RGPD
Messagerie professionnelle
Souvent hébergée dans le cloud (Microsoft 365, Google Workspace)
Fichiers partagés & serveurs internes
Documents de travail, dossiers projets, contrats
Site web, e-commerce, configuration serveurs
Vitrine et outils de vente en ligne
Postes de travail individuels
Ordinateurs des collaborateurs
À quelle fréquence sauvegarder : la méthode en 3 questions
Il n’existe pas de fréquence universelle valable pour toutes les PME ni pour toutes les données. Posez-vous ces trois questions pour chaque catégorie identifiée ci-dessus.
Combien d’heures de données pouvez-vous vous permettre de perdre ?
C’est votre PDMA. Pour la comptabilité ou les commandes clients, la réponse est souvent « quelques heures maximum ». Pour un dossier archivé peu modifié, « une semaine » peut suffire.
À quelle vitesse cette donnée change-t-elle ?
Une base clients mise à jour en continu justifie une sauvegarde plusieurs fois par jour. Un site vitrine modifié une fois par mois n’a pas besoin d’une fréquence quotidienne.
Qui est responsable, et où est-ce documenté ?
Notez, pour chaque catégorie, la fréquence retenue et la personne (interne ou prestataire) chargée de vérifier que la sauvegarde s’est bien exécutée. Sans responsable identifié, une sauvegarde en échec silencieux peut passer inaperçue pendant des mois.
Avant de choisir votre solution
Vérifiez d’abord où se situent vos vraies priorités
Notre diagnostic identifie les failles organisationnelles à traiter en premier.
Conforme ANSSI · Résultat immédiat
Comment sauvegarder : la règle 3-2-1-1-0
Face à des rançongiciels qui ciblent activement les sauvegardes elles-mêmes, l’ANSSI a fait évoluer la règle historique du 3-2-1 vers un schéma plus strict, le 3-2-1-1-0. Chaque chiffre couvre un risque précis.
Conservez 3 copies de vos données
La copie de production que vos équipes utilisent au quotidien, plus deux copies de sauvegarde distinctes — une pour les restaurations rapides, une pour les scénarios plus anciens ou plus graves.
Sur 2 supports différents
Ne stockez pas toutes vos copies sur le même type de matériel (par exemple un seul serveur) : combinez un support local et un support ou service distant, pour qu’une panne matérielle ne détruise pas tout à la fois.
Dont 1 copie hors site
Si un incendie, un dégât des eaux ou un vol touche vos locaux, une copie stockée ailleurs (chez un prestataire cloud, dans un autre site) doit rester accessible.
Dont 1 copie immuable ou déconnectée
Au moins une copie doit être hors ligne (déconnectée du réseau) ou immuable (impossible à modifier ou supprimer pendant une durée définie), pour résister à un rançongiciel qui chercherait à chiffrer ou effacer vos sauvegardes en même temps que votre production.
Et 0 erreur non détectée
Une restauration testée et vérifiée régulièrement, sans échec ignoré. C’est l’objet de la section suivante — et souvent le maillon que les PME négligent le plus.
La règle d’or
Une sauvegarde accessible depuis le même réseau que votre production n’est pas une protection contre un rançongiciel — c’est sa prochaine cible.
Comment et quand tester vos sauvegardes
C’est l’étape la plus souvent oubliée, et la plus coûteuse à négliger : une sauvegarde qui s’exécute sans erreur apparente n’est pas pour autant restaurable. Seul un test de restauration réel le confirme. Voici un calendrier de test réaliste pour une PME.
Calendrier de test recommandé
Trois niveaux de test, à des fréquences différentes
Test de restauration d’un fichier isolé
Restaurez un document ou un dossier au hasard et vérifiez qu’il s’ouvre correctement et sans corruption. Rapide, à ne jamais sauter.
Test de restauration d’un système complet
Restaurez un serveur ou une machine entière dans un environnement isolé (pas en production) et mesurez le temps que cela prend réellement, à comparer à votre DMIA.
Simulation grandeur nature (plan de reprise d’activité)
Simulez un incident majeur (rançongiciel, perte totale du site) et faites dérouler à l’équipe concernée la procédure complète de restauration, du diagnostic jusqu’à la reprise d’activité.
Documentez chaque test : date, personne responsable, durée réelle de restauration, incidents rencontrés. Cette traçabilité est aussi ce que vous demandera un cyber-assureur ou un auditeur en cas de sinistre.
Faites-le faire par un professionnel
Pas d’IT interne ? Votre prestataire doit gérer et tester vos sauvegardes
Notre diagnostic vous aide à formuler les bonnes exigences auprès de lui.
Conforme ANSSI · Résultat immédiat
Les signes d’une sauvegarde à risque
Certains signaux doivent immédiatement vous alerter sur la fiabilité réelle de votre dispositif, avant même qu’un incident ne le révèle brutalement.
Le vrai test : ne demandez jamais “avons-nous des sauvegardes ?” mais “quand avons-nous restauré quelque chose pour de vrai, et combien de temps cela a-t-il pris ?”. Si personne ne peut répondre avec une date précise, considérez que vos sauvegardes ne sont pas fiables tant qu’elles n’ont pas été testées.
Checklist : votre dispositif de sauvegarde est-il complet ?
🔍 Vérifiez dès aujourd’hui
- Avez-vous cartographié vos données par niveau de criticité, plutôt qu’une sauvegarde unique traitant tout de la même façon ?
- Une copie de vos sauvegardes est-elle hors ligne ou immuable, inaccessible à un rançongiciel qui se propagerait sur votre réseau ?
- Une restauration a-t-elle été testée au cours des 3 derniers mois, avec une durée mesurée et documentée ?
- La rétention de vos sauvegardes comptables couvre-t-elle les 10 ans exigés par la réglementation française ?
- Une personne ou un prestataire est-il clairement responsable de la vérification quotidienne des sauvegardes ?
- Votre PDMA et votre DMIA sont-ils définis, même de façon approximative, pour chaque catégorie de données critiques ?
Questions fréquentes
Qu’est-ce que le PDMA et le DMIA (RPO et RTO) ?
Le PDMA (perte de données maximale admissible, ou RPO en anglais) est la quantité de données que vous acceptez de perdre en cas d’incident, exprimée en temps : si votre PDMA est de 4 heures, vous devez sauvegarder au moins toutes les 4 heures. Le DMIA (durée maximale d’interruption admissible, ou RTO) est le temps maximum que votre activité peut tolérer avant que les systèmes ne soient de nouveau opérationnels. Ces deux indicateurs, définis par l’ANSSI, doivent guider le choix de votre fréquence de sauvegarde et de votre stratégie de restauration.
Le cloud (OneDrive, Google Drive) suffit-il comme sauvegarde ?
Non, pas seul. Les fournisseurs cloud garantissent la disponibilité de leur infrastructure, pas la récupération de vos données en cas de suppression accidentelle, de corruption ou de chiffrement par un rançongiciel qui se propage aussi aux fichiers synchronisés. C’est ce qu’on appelle le modèle de responsabilité partagée : la sauvegarde de vos données reste de votre responsabilité, même si elles sont hébergées dans le cloud.
Combien de temps conserver ses sauvegardes comptables ?
En France, les documents comptables doivent être conservés 10 ans à compter de la clôture de l’exercice (Code de commerce, article L123-22). Cette obligation légale de rétention doit être intégrée dans votre politique de sauvegarde, en plus des durées choisies pour vos autres données.
À qui déléguer la sauvegarde si je n’ai pas d’informaticien en interne ?
À votre prestataire informatique ou infogéreur, qui doit mettre en place la sauvegarde automatisée, la copie hors site, et surtout réaliser les tests de restauration périodiques à votre place. Exigez que ces tests soient documentés et que leurs résultats vous soient communiqués : une sauvegarde que personne ne teste n’est qu’une hypothèse.
Vérifiez votre dispositif dès maintenant
Sachez si vos sauvegardes tiendraient face à un vrai incident
Score de maturité · Plan d’action · Rapport PDF immédiat.
Conforme ANSSI · Résultat immédiat · Sans engagement