14 PME nous ont dit « on a des sauvegardes » — 9 n’ont pas pu restaurer, les 8 étapes qui corrigent ça

La question que nous posons systématiquement en début d’audit n’est pas « avez-vous des sauvegardes ? ». Tout le monde répond oui. La question est : « quand avez-vous restauré pour la dernière fois, et combien de temps cela a-t-il pris ? ». Sur quatorze PME auditées depuis janvier, neuf n’ont pas pu répondre à la seconde partie — et n’ont pas réussi l’exercice quand nous l’avons mené avec elles.

Étape 1 — Écrire ce que vous devez pouvoir redémarrer, pas ce que vous sauvegardez

La plupart des plans de sauvegarde partent de l’infrastructure : quels serveurs, quels volumes, quelles bases. C’est l’ordre inverse de celui qui marche.

Partez des processus métier : facturer, livrer, payer les salaires, répondre aux clients. Pour chacun, listez ce qui doit fonctionner. Vous découvrirez presque toujours une dépendance absente du plan — un partage de fichiers avec des modèles de documents, un poste unique portant un logiciel métier ancien, une boîte aux lettres partagée.

Sur nos quatorze audits, onze présentaient au moins un composant critique hors périmètre de sauvegarde. Dans quatre cas, il s’agissait de la configuration applicative : la base de données était bien sauvegardée, mais pas les paramètres, les certificats et les tâches planifiées qui la rendent exploitable.

Étape 2 — Fixer deux chiffres, avec la direction, par écrit

Deux indicateurs, et deux seulement, structurent tout le reste.

La perte de données acceptable : combien d’heures de travail pouvez-vous perdre ? Cette réponse détermine la fréquence des sauvegardes. Une PME qui saisit des commandes en continu et répond « quatre heures » ne peut pas se contenter d’une sauvegarde nocturne.

Le délai de reprise visé : combien de temps pouvez-vous rester à l’arrêt ? Cette réponse détermine l’architecture, et c’est celle qui surprend. Un dirigeant qui annonce « quatre heures » puis apprend que restaurer 2 To depuis un stockage en ligne prend onze heures à son débit actuel vient de découvrir son vrai problème.

Ces deux chiffres doivent être validés par la direction, pas par l’informatique. Ce sont des arbitrages de risque et de budget, pas des choix techniques.

Étape 3 — Appliquer la règle 3-2-1 littéralement

Trois copies des données : la production, plus deux sauvegardes. Pas la production plus une sauvegarde répliquée — une réplication n’est pas une seconde copie, elle propage fidèlement une suppression ou un chiffrement malveillant.

Deux supports différents. L’intérêt n’est pas la diversité pour elle-même : c’est de ne pas partager le même mode de défaillance. Deux baies du même modèle, achetées le même jour, dans la même salle, comptent pour un seul support.

Une copie hors site, et hors du domaine d’authentification de production. C’est le point que les rançongiciels ont rendu non négociable : une sauvegarde accessible avec les identifiants d’administration du réseau compromis n’est pas hors site, elle est simplement ailleurs.

Étape 4 — Isoler au moins une copie de manière non modifiable

La règle 3-2-1 date d’avant les rançongiciels modernes. Elle protège contre la panne matérielle et l’erreur humaine, mais pas contre un attaquant qui a pris le temps de trouver vos sauvegardes avant de déclencher son chiffrement — ce qui est aujourd’hui le déroulé standard.

Ajoutez donc une contrainte : au moins une copie doit être impossible à supprimer ou à modifier pendant une durée définie. Deux mises en œuvre courantes : le stockage objet en mode non modifiable avec durée de rétention verrouillée, ou une copie physiquement déconnectée après écriture.

Point de vigilance qui annule tout le bénéfice si on le rate : le compte qui écrit les sauvegardes ne doit pas pouvoir raccourcir la durée de rétention. Nous avons vu deux configurations où l’immuabilité était activée et où le même compte de service pouvait la désactiver.

Étape 5 — Sortir les identifiants de restauration du système à restaurer

C’est l’échec le plus frustrant que nous ayons observé, deux fois sur quatorze. La sauvegarde existe, elle est saine, elle est hors site. Et le mot de passe du coffre de sauvegarde est stocké dans le gestionnaire de mots de passe de l’entreprise, hébergé sur le serveur en panne.

La procédure de restauration doit être exécutable en supposant que rien de votre environnement de production n’est disponible : ni annuaire, ni messagerie, ni gestionnaire de mots de passe, ni documentation interne. Cela suppose une copie hors ligne des identifiants, dans un coffre physique ou chez un tiers de confiance, avec deux détenteurs identifiés.

Testez-le en posant la question autrement : si le dirigeant et le responsable informatique sont injoignables un samedi, quelqu’un peut-il lancer la restauration ? Si la réponse est non, ce n’est pas un plan, c’est une dépendance à deux personnes.

Étape 6 — Mesurer le débit de restauration, pas seulement le volume sauvegardé

Sauvegarder et restaurer ne sont pas symétriques. La sauvegarde est incrémentale, étalée dans la nuit, et n’a besoin de transporter que les différences. La restauration est intégrale, urgente, et doit tout redescendre.

Mesurez une fois, avec un jeu réel : combien de gigaoctets par heure votre chaîne restaure-t-elle effectivement, de bout en bout, décompression et vérification comprises ? Divisez votre volume critique par ce chiffre. Le résultat est votre délai de reprise réel, et il est presque toujours supérieur à celui que vous annonciez à l’étape 2.

Si l’écart est important, trois leviers existent, par ordre de coût croissant : réduire le périmètre à restaurer en priorité, garder une copie locale rapide en complément de la copie hors site, ou augmenter le débit de la liaison. Le premier levier est gratuit et suffit dans la majorité des cas.

Étape 7 — Tester une restauration complète deux fois par an, dont une en aveugle

Une restauration de fichier isolé ne teste rien d’intéressant. L’exercice utile consiste à reconstruire un service complet sur un environnement isolé, et à vérifier qu’il fonctionne du point de vue de l’utilisateur métier — pas seulement que les fichiers sont présents.

Deux exercices par an, dont un mené sans la personne qui a construit le système. C’est cette variante qui révèle la connaissance non écrite, et elle en révèle toujours. Sur les cinq PME qui ont réussi l’épreuve, quatre avaient déjà pratiqué ce type d’exercice.

Chronométrez, notez les points de blocage, corrigez la procédure, datez-la. La date du dernier test réussi est un indicateur de direction générale au même titre que le taux de disponibilité — et il s’intègre naturellement dans le suivi documentaire attendu par la mise en conformité NIS2.

Étape 8 — Superviser l’absence de sauvegarde, pas seulement son succès

Les quatorze entreprises auditées recevaient des rapports de succès. C’est précisément le problème : une supervision qui ne signale que les échecs déclarés ne voit pas les tâches qui ne se sont jamais lancées.

Inversez la logique. L’alerte doit se déclencher quand une sauvegarde attendue n’est pas arrivée dans sa fenêtre, quand sa taille s’écarte significativement de la normale, ou quand la vérification d’intégrité échoue. Une base dont la sauvegarde passe brutalement de 40 Go à 400 Mo remonte « succès » — et vous venez de perdre votre historique.

Ajoutez un rapport mensuel d’une page à destination de la direction : volume protégé, âge de la copie la plus ancienne, date du dernier test de restauration réussi, écart au délai de reprise visé. Quatre lignes qui rendent le sujet arbitrable. La même exigence de mesure s’applique à vos environnements de développement — nos confrères de D-Open documentent le versant dépôts de code — et à vos plateformes de données, couvertes par Plug-Tech.

Ce que ça coûte, et pourquoi c’est le meilleur rapport de la sécurité

La mise en place complète représente typiquement trois à cinq jours de travail pour une PME de 30 à 150 personnes, plus le coût de stockage hors site — de l’ordre de quelques dizaines à quelques centaines d’euros par mois selon le volume.

À comparer à une semaine d’arrêt d’activité, qui est le scénario médian observé lorsqu’une PME doit reconstruire sans sauvegarde exploitable. Aucune autre mesure de sécurité n’offre ce rapport, parce qu’aucune autre ne couvre à la fois la panne, l’erreur humaine, le rançongiciel et le départ mal géré d’un prestataire.