Sauvegarde et continuité d'activité : les fondamentaux (RPO, RTO)
La sauvegarde informatique consiste à conserver des copies régulières des données de l'entreprise, indépendantes du système d'origine, pour pouvoir les restaurer en cas de perte — panne matérielle, erreur humaine, vol, ou attaque par ransomware. Elle est indispensable car aucune protection technique n'élimine totalement le risque de perte de données ; la sauvegarde est le dernier filet de sécurité quand toutes les autres protections ont échoué. Deux indicateurs structurent une stratégie de sauvegarde sérieuse : le RPO (Recovery Point Objective), qui définit la quantité de données que l'entreprise accepte de perdre en cas d'incident, exprimée en temps depuis la dernière sauvegarde valide ; et le RTO (Recovery Time Objective), qui définit le délai maximal acceptable pour restaurer l'activité après un incident. Ces deux valeurs se déterminent en fonction de la criticité réelle de chaque donnée et de chaque service pour l'activité de l'entreprise : une sauvegarde quotidienne suffit pour des données peu critiques, tandis qu'un service de vente en ligne peut exiger une sauvegarde en quasi temps réel et une restauration en quelques minutes.
Stratégie 3-2-1
La règle 3-2-1, largement reconnue comme référence en matière de sauvegarde, préconise de conserver au moins trois copies des données importantes, sur deux supports de nature différente, dont une copie stockée hors site. Cette approche protège contre la plupart des scénarios de perte : la défaillance d'un support unique n'entraîne pas la perte définitive des données puisque d'autres copies existent, et le stockage hors site protège contre un sinistre physique qui toucherait l'ensemble des locaux de l'entreprise — incendie, dégât des eaux, vol de matériel. Une variante plus récente, parfois désignée règle 3-2-1-1-0, ajoute une copie immuable, c'est-à-dire techniquement impossible à modifier ou supprimer pendant une durée définie, une protection devenue essentielle face aux ransomwares modernes qui cherchent activement à chiffrer ou supprimer les sauvegardes accessibles pour empêcher toute restauration sans paiement de la rançon. Appliquer rigoureusement cette stratégie demande une organisation claire : savoir précisément quelles données sont sauvegardées, à quelle fréquence, et sur quels supports, plutôt qu'une sauvegarde partielle mise en place au hasard des besoins successifs.
En savoir plus : la stratégie 3-2-1 →
Sauvegarde locale ou cloud
La sauvegarde locale, sur un support physique conservé dans les locaux de l'entreprise ou à proximité, offre une restauration rapide en cas de besoin, sans dépendre d'une connexion internet, mais reste vulnérable à un sinistre qui toucherait l'ensemble du site. La sauvegarde cloud, hébergée chez un prestataire externe, protège naturellement contre ce risque de sinistre local et facilite l'accès à la sauvegarde même si les locaux de l'entreprise sont rendus inaccessibles, au prix d'un temps de restauration généralement plus long, dépendant du débit de la connexion internet disponible pour rapatrier les données. En pratique, la plupart des stratégies de sauvegarde efficaces combinent les deux approches, conformément à la règle 3-2-1 : une copie locale pour une restauration rapide au quotidien, et une copie cloud ou hors site pour la protection contre les sinistres majeurs. Le choix du prestataire cloud pour la sauvegarde mérite une attention particulière sur la localisation des données (enjeu de conformité RGPD) et sur les garanties de disponibilité et de sécurité proposées contractuellement.
En savoir plus : sauvegarde locale ou cloud →
Plan de reprise d'activité (PRA/PCA)
Le plan de continuité d'activité (PCA) vise à maintenir l'activité de l'entreprise malgré un incident majeur, tandis que le plan de reprise d'activité (PRA) organise le redémarrage des systèmes après un arrêt complet — les deux notions sont souvent traitées ensemble tant elles sont complémentaires. Un PRA formalisé définit précisément, pour chaque système critique de l'entreprise, la procédure de restauration à suivre, les responsabilités de chacun, et les délais visés, plutôt que de laisser chaque intervenant improviser dans l'urgence le jour où l'incident survient réellement. Sa construction commence par une analyse des impacts métier, qui hiérarchise les systèmes selon leur criticité réelle pour l'activité, permettant de concentrer les efforts et le budget de protection sur ce qui compte vraiment plutôt que de traiter tous les systèmes de la même façon. Un PRA qui reste un document théorique, jamais testé en conditions réelles, offre une fausse sécurité : c'est au moment de sa mise en œuvre effective, sous la pression d'un incident réel, que ses lacunes se révèlent le plus souvent.
En savoir plus : le plan de reprise d'activité (PRA/PCA) →
Restauration et tests
Une sauvegarde n'a de valeur que si elle peut être effectivement restaurée le jour où c'est nécessaire, ce qui explique pourquoi les tests de restauration réguliers constituent une étape aussi importante que la sauvegarde elle-même, bien que fréquemment négligée. De nombreuses entreprises découvrent, au pire moment possible, qu'une sauvegarde était corrompue, incomplète, ou tout simplement inexploitable faute d'avoir jamais été testée dans des conditions réelles de restauration. Un test de restauration périodique, qui consiste à restaurer effectivement tout ou partie des données sauvegardées sur un environnement de test, permet de vérifier l'intégrité des sauvegardes et de mesurer le temps réel nécessaire à une restauration complète, une donnée précieuse pour affiner le RTO visé par l'entreprise. La fréquence de ces tests dépend de la criticité des données concernées, mais un test au moins annuel, voire trimestriel pour les systèmes les plus critiques, est généralement recommandé pour garantir une confiance réelle dans la capacité de l'entreprise à se relever d'un incident.
En savoir plus : restauration et tests →
Protection anti-ransomware de la sauvegarde
Les ransomwares modernes ne se contentent plus de chiffrer les données actives de l'entreprise : ils recherchent activement les sauvegardes accessibles sur le réseau pour les chiffrer ou les supprimer également, dans le but d'empêcher toute restauration sans paiement de la rançon exigée. Protéger efficacement les sauvegardes contre ce scénario impose une isolation réelle : un support de sauvegarde qui reste connecté en permanence au réseau principal de l'entreprise offre une protection illusoire, puisqu'il devient lui-même une cible atteignable par le ransomware au même titre que les données d'origine. Les solutions de sauvegarde immuable, qui rendent techniquement impossible la modification ou la suppression des données sauvegardées pendant une période définie même par un compte administrateur compromis, apportent une protection nettement plus robuste face à ce risque. Cette protection anti-ransomware de la sauvegarde s'inscrit directement dans une stratégie globale de sécurité informatique, la sauvegarde constituant souvent le dernier rempart quand toutes les autres protections ont été contournées par l'attaque.
En savoir plus : la protection anti-ransomware de la sauvegarde →
Coûts et réglementation
Le coût d'une stratégie de sauvegarde dépend du volume de données à protéger, de la fréquence de sauvegarde souhaitée, du nombre de copies et de supports différents utilisés, et du niveau de protection contre le ransomware retenu (notamment le surcoût lié à l'immuabilité des sauvegardes). Ce coût doit systématiquement être mis en regard du coût réel d'une perte de données pour l'entreprise, presque toujours très supérieur au prix d'une stratégie de sauvegarde correctement dimensionnée. Sur le plan réglementaire, la durée de conservation des sauvegardes doit rester cohérente avec les obligations RGPD applicables aux données personnelles qu'elles contiennent : conserver indéfiniment des sauvegardes qui incluent des données personnelles au-delà des durées légalement justifiées constitue en soi un manquement à la réglementation, même si l'objectif initial (la sécurité des données) était parfaitement légitime. Cette articulation entre sécurité des sauvegardes et conformité réglementaire est encore trop souvent négligée dans la définition des politiques de sauvegarde en entreprise.
En savoir plus : coûts et réglementation →
Voir aussi
La sauvegarde est un pilier de la sécurité informatique, s'articule avec une stratégie cloud et hébergement, est souvent supervisée par un prestataire en infogérance, et se surveille au quotidien via des outils de supervision informatique.