Sauvegarde informatique en entreprise : pourquoi la vôtre ne vous sauvera peut-être pas

Posez la question à un dirigeant de PME : « êtes-vous sauvegardé ? » Il répondra oui dans neuf cas sur dix. Posez la suivante : « quand avez-vous restauré pour la dernière fois ? » Le silence est nettement plus fréquent.

Cet écart entre les deux réponses est exactement l’espace dans lequel travaillent les attaquants. Et ils y travaillent très bien : selon l’étude State of Ransomware de Sophos, 94 % des organisations victimes d’un ransomware ont constaté que l’attaquant avait tenté de compromettre leurs sauvegardes. Dans 57 % des cas, il a réussi.

Autrement dit : le ransomware moderne ne commence pas par chiffrer vos données. Il commence par supprimer votre porte de sortie.

Cet article explique ce qu’est une sauvegarde qui résiste réellement à un sinistre — panne, incendie, vol ou attaque — et comment vérifier que la vôtre en est une.

Ce que « je suis sauvegardé » veut trop souvent dire

Avant de parler de ce qui fonctionne, éliminons quatre dispositifs que l’on nous présente régulièrement comme des sauvegardes, et qui n’en sont pas.

Le RAID n’est pas une sauvegarde. Le RAID protège contre la défaillance d’un disque. Il ne protège de rien d’autre. Un fichier supprimé par erreur est supprimé sur tous les disques simultanément. Un serveur chiffré par un ransomware est chiffré sur tous les disques simultanément. Un incendie détruit la grappe entière. Le RAID est un dispositif de disponibilité, pas de récupération.

La synchronisation cloud n’est pas une sauvegarde. OneDrive, Google Drive, Dropbox et NextCloud sont conçus pour que vos fichiers soient identiques partout. C’est précisément le problème : quand un poste chiffre ses fichiers, la synchronisation propage consciencieusement la version chiffrée vers le cloud et vers tous les autres postes. Les fonctions d’historique de versions offrent une fenêtre de rattrapage réelle mais limitée, et elles ne couvrent pas un serveur de fichiers, une base de données métier ou une machine virtuelle.

Le disque externe branché en permanence n’est pas une sauvegarde. Un support accessible depuis le réseau est un support attaquable depuis le réseau. Les ransomwares actuels énumèrent les lecteurs montés, les partages réseau et les NAS visibles avant de déclencher le chiffrement. Le disque de sauvegarde branché à l’année est souvent la première victime.

Et la sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde — c’est une hypothèse. Nous y revenons plus bas, car c’est le point le plus important de cet article.

Les causes réelles de perte de données

L’imaginaire collectif associe la perte de données au piratage. La réalité est plus banale et plus large. Les enquêtes du CLUSIF sur la répartition des sinistres informatiques donnent un classement stable :

Ce tableau porte une conclusion simple : aucune sauvegarde unique ne couvre l’ensemble des risques. Une sauvegarde purement locale ne survit pas à un incendie. Une sauvegarde purement distante n’offre pas la rapidité de restauration nécessaire quand un serveur tombe un mardi matin. Il faut les deux, et c’est exactement ce que formalise la règle qui suit.

La règle 3-2-1 : le socle de toute stratégie de sauvegarde

C’est la règle de référence du métier, et elle tient en trois chiffres :

• 3 copies de vos données : les fichiers originaux en production, plus deux sauvegardes ;
• 2 supports de stockage différents : un local, un distant ;
• 1 copie externalisée sur un second site géographique — autre bâtiment de l’entreprise, data center, cloud.

Face aux menaces actuelles, la profession lui ajoute volontiers deux chiffres, ce qui donne la règle 3-2-1-1-0 :

• 1 copie immuable ou hors ligne, c’est-à-dire techniquement impossible à modifier ou à supprimer, même avec des identifiants d’administrateur compromis ;
• 0 erreur lors du dernier test de restauration.

Ce sont ces deux dernières exigences qui font la différence entre une sauvegarde de 2015 et une sauvegarde qui tient en 2026. Le chiffre « 1 » adresse le scénario du ransomware qui obtient les droits d’administration du domaine avant d’agir. Le chiffre « 0 » adresse le scénario, beaucoup plus fréquent, de la sauvegarde qui tournait depuis huit mois sans que personne ne s’aperçoive qu’elle échouait.

Pourquoi les attaquants visent d’abord vos sauvegardes

Ce point mérite sa propre section, parce qu’il change complètement l’économie du problème.

Un attaquant qui chiffre vos données sans toucher aux sauvegardes vous cause une interruption d’activité. Un attaquant qui chiffre vos données après avoir détruit vos sauvegardes vous met en position de négociation. C’est un calcul, et les chiffres montrent qu’il est rentable.

Toujours selon Sophos, en comparant les victimes dont les sauvegardes ont été compromises à celles dont les sauvegardes ont tenu :

Le coût de récupération est huit fois supérieur lorsque les sauvegardes sont tombées. Et la rançon demandée double, parce que l’attaquant sait parfaitement qu’il est votre seule option.

Le contexte français 2026 confirme la tendance de fond. L’édition France du State of Ransomware 2026 de Sophos établit le coût moyen de rétablissement à 2,02 millions de dollars hors rançon, en hausse de 65 % sur un an, avec une rançon médiane demandée de 500 000 dollars et 15 % des intrusions passant par un accès VPN — le taux le plus élevé des pays étudiés.

La leçon opérationnelle est claire : la valeur de votre sauvegarde ne se mesure pas à sa capacité à copier des données, mais à sa capacité à survivre à quelqu’un qui cherche activement à la détruire.

Les huit critères d’une sauvegarde fiable

Voici la grille que nous utilisons en audit. Elle vaut comme liste de contrôle : chaque ligne à laquelle vous ne pouvez pas répondre « oui » est un risque identifié.

1. Automatique. Aucune intervention humaine quotidienne. Toute sauvegarde qui dépend de quelqu’un qui pense à brancher un disque le vendredi soir finira par ne plus être faite.
2. Locale. Une copie sur place, pour restaurer immédiatement — un fichier effacé, une machine virtuelle plantée. C’est le cas d’usage quotidien, et il représente l’essentiel des restaurations réelles.
3. Externalisée. Une copie sur un second site géographique, pour survivre à un sinistre qui détruit vos locaux.
4. Chiffrée. Au repos et en transit. Une sauvegarde non chiffrée est une fuite de données en attente : c’est l’ensemble de votre patrimoine informationnel dans un seul fichier transportable.
5. Inaccessible aux ransomwares. Support immuable, hors domaine, ou non accessible depuis le réseau de production. C’est le critère le plus discriminant aujourd’hui.
6. Versionnée. Plusieurs points de restauration dans le temps. Sans versions, si l’incident est détecté au bout de trois jours, votre unique sauvegarde contient déjà les données corrompues.
7. Supervisée avec rapports. Un rapport de succès ou d’échec, lu par quelqu’un. Une sauvegarde en échec silencieux est le scénario le plus courant que nous rencontrions en audit.
8. Éprouvée. Une technologie reconnue, et surtout une procédure de restauration documentée et testée.

Le seul indicateur qui compte : le test de restauration

Une sauvegarde n’a aucune valeur intrinsèque. Sa seule valeur est la restauration qu’elle permet. Tant qu’aucune restauration n’a été effectuée, vous ne possédez pas une sauvegarde : vous possédez la conviction d’en avoir une.

Un test de restauration sérieux répond à trois questions chiffrées :

• Le RPO (Recovery Point Objective) : combien de données puis-je me permettre de perdre ? Une sauvegarde quotidienne à 22 h implique de pouvoir reperdre jusqu’à une journée de saisie. Pour un cabinet comptable en période fiscale ou une entreprise avec un flux de commandes continu, c’est parfois inacceptable — et cela se corrige par des sauvegardes plus fréquentes.
• Le RTO (Recovery Time Objective) : combien de temps mon activité peut-elle rester à l’arrêt ? Restaurer 4 To depuis un data center distant sur un lien à 100 Mbps prend plusieurs jours. La même restauration depuis une unité locale prend quelques heures. C’est toute la justification de la copie locale.
• Le périmètre : qu’est-ce qui est réellement sauvegardé ? Les partages de fichiers, en général oui. Les bases de données métier à chaud, souvent mal. Les boîtes Microsoft 365, les conversations Teams, les sites SharePoint : très rarement, alors que Microsoft applique un principe de responsabilité partagée qui laisse la sauvegarde de vos contenus à votre charge. Les postes nomades : presque jamais.

Notre recommandation minimale : un test de restauration complet documenté au moins une fois par an, et une lecture effective des rapports de sauvegarde entre deux tests. Le test annuel ne remplace pas la supervision ; la supervision ne remplace pas le test.

Le cadre réglementaire : la sauvegarde n’est plus une bonne pratique

Trois cadres transforment aujourd’hui la sauvegarde en obligation, avec des conséquences juridiques et financières.

Le RGPD. L’article 32 impose des mesures techniques adaptées, et cite explicitement parmi elles « la capacité à rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ». Une entreprise qui perd définitivement des données personnelles faute de sauvegarde exploitable est en manquement, indépendamment de toute attaque.

NIS2. La directive européenne 2022/2555 fait de la continuité d’activité — sauvegardes, plan de reprise, gestion de crise — l’une de ses dix mesures obligatoires, avec des sanctions pouvant atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et une responsabilité qui peut être portée personnellement par les dirigeants. En France, la loi de transposition dite « loi résilience » a été adoptée par le Sénat en mars 2025 et votée en commission spéciale à l’Assemblée nationale en septembre 2025, mais n’est pas encore promulguée à la date de publication de cet article : les obligations entreront en vigueur avec la publication de l’ensemble des textes (loi, décrets, arrêtés). Le périmètre attendu est d’environ 15 000 entités, contre une cinquantaine sous NIS1.

Un point est régulièrement mal compris, et il concerne beaucoup de PME qui se croient hors périmètre : le préambule 85 de la directive produit un effet de ricochet. Les entités concernées doivent intégrer des exigences de cybersécurité dans leurs contrats fournisseurs. Si vous êtes sous-traitant, prestataire ou éditeur pour un hôpital, une collectivité ou un industriel classé, ces exigences vous seront contractuellement imposées, que vous soyez vous-même dans le périmètre ou non.

L’assurance cyber. Les assureurs conditionnent désormais la couverture — et parfois l’indemnisation après sinistre — à l’existence de mesures vérifiables, dont la sauvegarde externalisée et testée figure au premier rang. Un questionnaire d’assurance mal renseigné peut se retourner contre l’assuré au moment de la déclaration.

Cas particulier des données de santé. L’hébergement de données de santé à caractère personnel est encadré par l’article L1111-8 du Code de la santé publique. Depuis 2018, le régime d’agrément a été remplacé par une certification HDS délivrée par un organisme accrédité, sur la base du référentiel de l’Agence du Numérique en Santé. Professionnels de santé, cabinets, EHPAD et éditeurs concernés doivent donc s’assurer que leur prestataire de sauvegarde s’appuie sur un hébergeur certifié HDS — la mention d’un ancien agrément ne suffit plus.

Comment ADN Systèmes répond à ces exigences

Nous sauvegardons aujourd’hui 1,62 pétaoctet de données pour nos clients — soit l’équivalent d’environ 324 millions de photographies.

Quatre configurations, selon votre exposition au risque et la manière dont vous travaillez :

Dans tous les cas : sauvegarde automatique et chiffrée, restauration disponible 24 h/24 et 7 j/7 y compris sans connexion Internet, versions illimitées, restauration d’image disque, prise en charge des bases SQL et des machines virtuelles à chaud, du courrier Microsoft 365 et des postes nomades. Beemo s’engage contractuellement à restituer l’intégralité de vos données dans une nouvelle unité sous 72 heures en cas de sinistre majeur.

Vous ne savez pas où vous en êtes ? Nous réalisons un état des lieux de votre dispositif actuel — périmètre réellement couvert, RPO et RTO effectifs, exposition de vos sauvegardes à un ransomware, conformité RGPD et NIS2 — puis nous établissons un devis dimensionné sur ce que révèle cet état des lieux, et sur lui seul.

📞 03 25 41 11 68 — ✉️ contact@adn-systemes.fr — 25 ter rue Jean Moulin, 10450 Bréviandes

---

Questions fréquentes

Le RAID suffit-il comme sauvegarde ? Non. Le RAID protège uniquement contre la panne d’un disque. Il ne protège ni de la suppression accidentelle, ni du ransomware, ni de l’incendie, ni du vol : dans tous ces cas, la grappe entière est affectée simultanément.

Quelle est la fréquence de sauvegarde recommandée ? Au minimum quotidienne. La bonne fréquence se déduit du RPO : demandez-vous combien d’heures de travail votre entreprise peut se permettre de ressaisir. Pour beaucoup d’activités, la réponse est « moins d’une journée », ce qui impose plusieurs sauvegardes par jour.

Microsoft 365 sauvegarde-t-il mes données ? Microsoft garantit la disponibilité du service, pas la récupération de vos contenus. La corbeille et l’historique de versions offrent une fenêtre de rattrapage courte, insuffisante face à une suppression malveillante ou à un compte compromis découvert tardivement. Une solution de sauvegarde dédiée à Microsoft 365 reste nécessaire.

À quelle fréquence tester une restauration ? Au moins une fois par an, avec un test complet et documenté. La lecture régulière des rapports de sauvegarde est nécessaire mais ne remplace pas le test : un rapport en succès ne garantit pas qu’une restauration aboutira.

Mon entreprise est-elle concernée par NIS2 ? Le périmètre dépend de votre secteur et de votre taille, et se vérifie sur le portail officiel monespacenis2.cyber.gouv.fr. Attention toutefois : même hors périmètre direct, une PME fournisseur d’une entité concernée se verra imposer des exigences par contrat, en application du préambule 85 de la directive.

De quoi dépend le coût d’une solution de sauvegarde professionnelle ? De cinq paramètres : le volume de données à protéger, le nombre de machines et de serveurs concernés, la présence ou non d’une unité de sauvegarde locale, le RPO et le RTO visés — plus une sauvegarde est fréquente et une restauration rapide, plus l’infrastructure est dimensionnée — et enfin les contraintes réglementaires applicables, l’hébergement de données de santé imposant un dispositif spécifique. Un dimensionnement se fait donc sur mesure, après un état des lieux. À mettre en regard du coût médian de récupération d’un ransomware : 375 000 $ lorsque les sauvegardes tiennent, 3 M$ lorsqu’elles ont été détruites.