Cybersécurité · 5 min de lecture
« Nous avons des sauvegardes. » C’est la première chose que disent les dirigeants quand on parle de résilience informatique. Et c’est vrai, en général — le système de sauvegarde tourne, les fichiers sont copiés quelque part, l’indicateur dans la console est vert. Mais entre avoir des sauvegardes et pouvoir restaurer ses données après un incident, il y a une distance que beaucoup découvrent trop tard.
Erreur 1 : Ne jamais tester la restauration
C’est de loin l’erreur la plus répandue. Une sauvegarde qui n’a jamais été testée n’est pas une sauvegarde — c’est une hypothèse. Les causes de défaillance à la restauration sont nombreuses et souvent silencieuses : corruption progressive des données, espace disque insuffisant sur la cible, changement de version logicielle incompatible, fichiers verrouillés au moment de la sauvegarde. Un système peut sauvegarder avec succès pendant des années et échouer le jour où on en a besoin.
La règle minimale : tester une restauration complète au moins deux fois par an, sur un environnement isolé. Documenter le résultat. Si la restauration prend 8 heures alors que votre plan de continuité suppose 2 heures, vous avez un problème à résoudre maintenant, pas pendant l’incident.
Erreur 2 : Sauvegarder au mauvais endroit
La règle 3-2-1 est connue dans le milieu IT mais rarement appliquée partout : 3 copies des données, sur 2 supports différents, dont 1 hors site. Dans la réalité, beaucoup de structures ont une seule copie, sur le même serveur ou sur un NAS dans le même local que les machines de production. Un incendie, une inondation, un ransomware qui chiffre tout le réseau — la sauvegarde locale disparaît avec le reste.
Le cloud a simplifié la copie hors site, mais il ne suffit pas de « mettre des trucs dans le cloud » sans vérifier que c’est la bonne chose au bon endroit avec les bons droits d’accès.
Erreur 3 : Confondre sauvegarde et synchronisation
OneDrive, Google Drive, Dropbox — ce sont des outils de synchronisation, pas des sauvegardes. Si vous supprimez accidentellement un dossier, ou si un ransomware chiffre vos fichiers, la synchronisation va répliquer la destruction ou le chiffrement sur tous vos appareils connectés. Certains services offrent un historique de versions limité, mais ce n’est pas équivalent à une sauvegarde structurée avec une politique de rétention définie.
La confusion entre les deux est l’une des choses que je vois le plus souvent lors d’un premier audit. Et elle est compréhensible : ces outils ressemblent à des sauvegardes, ils parlent de « vos fichiers en sécurité dans le cloud », ils donnent une impression de protection. Ce n’en est pas une.
Ce qu’il faut mettre en place
Un dispositif de sauvegarde sérieux repose sur trois choses : une politique de rétention claire (combien de jours en arrière peut-on remonter ?), un test de restauration documenté et régulier, et une copie hors site hors réseau principal. Ça n’implique pas nécessairement un budget important — il existe des solutions adaptées à des structures de quelques personnes. Ce que ça implique, c’est une décision : traiter la sauvegarde comme une infrastructure critique, pas comme un paramètre qu’on configure une fois et qu’on oublie.