Sauvegarde des données d'une PME : appliquer la règle 3-2-1
Trois copies, deux supports, une copie à l'écart : le plan concret pour sauvegarder les données d'une PME et pouvoir les restaurer.
Un ordinateur volé dans un véhicule, un disque dur qui lâche après une coupure de courant, un rançongiciel qui chiffre tous les fichiers du serveur : dans une petite entreprise, ces incidents peuvent faire disparaître en quelques minutes la comptabilité, les devis, les fichiers clients ou des années de photos de chantier.
La question n'est pas de savoir si un incident arrivera, mais si l'on pourra repartir après.
La réponse pratique. Appliquez la règle 3-2-1 : gardez trois copies de vos données importantes (l'original et deux sauvegardes), sur au moins deux supports différents, dont une copie hors des locaux ou déconnectée du réseau. Automatisez les sauvegardes, puis testez régulièrement une restauration pour vérifier que vous savez vraiment récupérer vos fichiers.
Ce que dit la règle 3-2-1, concrètement
L'agence américaine de cybersécurité CISA la résume ainsi dans sa page « Back Up Business Data » : trois copies des fichiers importants, sur deux types de stockage, dont une hors site. L'ANSSI, l'agence française de sécurité des systèmes d'information, la reprend dans son guide Les fondamentaux de la sauvegarde des systèmes d'information avec une précision importante : l'une des sauvegardes doit être hors ligne, c'est-à-dire sur un support déconnecté de tout système informatique.
Traduit pour une PME :
- 3 copies : les fichiers de travail sur l'ordinateur ou le serveur, plus deux sauvegardes.
- 2 supports : par exemple un disque externe et un service de stockage en ligne, ou un NAS et des disques tournants.
- 1 copie à l'écart : rangée ailleurs que dans le bureau, ou débranchée en dehors des sauvegardes.
Le plan en sept étapes
- Faites l'inventaire des données vitales. Logiciel de comptabilité, factures, contrats, base clients, fichiers de production, messagerie : de quoi l'entreprise ne peut-elle pas se passer plus d'une journée ? Commencez par là.
- Fixez deux objectifs. Combien de travail pouvez-vous accepter de perdre (une journée, une semaine) ? En combien de temps devez-vous être de nouveau opérationnel ? La réponse détermine la fréquence des sauvegardes et le type de solution.
- Choisissez vos supports (voir la comparaison ci-dessous).
- Automatisez. Une sauvegarde qui dépend de la mémoire de quelqu'un finit par ne plus être faite. Programmez-la dans le logiciel de sauvegarde ou le NAS.
- Protégez les copies. Chiffrez les sauvegardes, surtout celles qui quittent les locaux, et limitez les comptes qui peuvent les modifier ou les supprimer.
- Gardez une copie déconnectée. Le disque que l'on branche une fois par semaine puis que l'on range dans un autre lieu reste l'une des protections les plus simples contre un rançongiciel.
- Testez une restauration. À intervalle régulier, par exemple chaque trimestre, récupérez un dossier ou un fichier précis et vérifiez qu'il s'ouvre correctement. Notez la procédure par écrit pour qu'une autre personne puisse la suivre.
Disque externe, NAS ou cloud : comparer les supports
Le disque dur externe
Peu coûteux et simple à utiliser, il convient aux indépendants et aux très petites structures. Son point fort : on peut le débrancher, ce qui en fait une bonne copie hors ligne. Ses limites : il peut être perdu, volé ou endommagé, et il faut penser à le brancher. Prévoyez-en deux, utilisés en alternance, l'un restant hors du bureau.
Le NAS (stockage en réseau)
C'est un petit boîtier relié au réseau local, équipé de plusieurs disques, qui sauvegarde automatiquement les postes de travail. Il est pratique pour une équipe de plusieurs personnes.
Attention toutefois : un NAS branché en permanence est visible sur le réseau et peut être chiffré par un rançongiciel en même temps que le reste. Il doit donc être complété par une copie externe ou déconnectée. Pensez aussi à un onduleur pour le protéger des coupures et des variations de tension.
Le stockage en ligne (cloud)
Il apporte la copie hors site sans manipulation physique.
Vérifiez trois points avant de vous engager : la conservation des versions antérieures des fichiers (utile si des fichiers chiffrés sont synchronisés), la durée de conservation des fichiers supprimés, et le temps nécessaire pour tout récupérer avec votre connexion Internet.
Un simple dossier synchronisé n'est pas toujours une sauvegarde : si un fichier est effacé ou chiffré sur l'ordinateur, il peut l'être aussi en ligne.
Exemple fictif : un cabinet de cinq personnes à Dakar sauvegarde ses postes chaque nuit sur un NAS, envoie une copie chiffrée vers un service en ligne qui garde 30 jours de versions, et le gérant emporte chaque vendredi un disque externe sur lequel il a copié le NAS.
Le jour où un poste est infecté, le cabinet restaure les fichiers de la veille depuis le NAS et vérifie qu'ils sont sains avant de les remettre en service.
Rançongiciels : les erreurs qui rendent la sauvegarde inutile
L'ANSSI souligne que les attaquants cherchent souvent à chiffrer ou à effacer l'infrastructure de sauvegarde pour empêcher la reprise. Les pièges les plus fréquents :
- une seule sauvegarde, branchée en permanence sur le poste ou le réseau ;
- le même mot de passe pour l'administration du NAS et pour les postes ;
- des sauvegardes jamais testées, que l'on découvre corrompues le jour où l'on en a besoin ;
- une restauration lancée sans avoir nettoyé ou réinstallé la machine infectée, ce qui réinfecte les données.
La CISA rappelle que les sauvegardes sont souvent le meilleur espoir de récupération après une attaque par rançongiciel. Encore faut-il qu'au moins une copie soit restée hors d'atteinte.
Et les données personnelles ?
Si vos sauvegardes contiennent des données sur vos clients, vos salariés ou vos patients, elles doivent être protégées avec le même soin que les fichiers d'origine : chiffrement, accès limité, durée de conservation maîtrisée. La Commission de protection des données personnelles (CDP) est l'autorité compétente au Sénégal pour les questions liées au traitement de ces données ; consultez-la en cas de doute sur vos obligations.
Se faire accompagner
Un indépendant peut mettre en place un disque externe et un service en ligne lui-même. Dès qu'il y a un serveur, plusieurs postes ou des données sensibles, un prestataire en maintenance informatique peut configurer les sauvegardes, les surveiller et organiser les tests. Pour des besoins plus importants, l'annuaire recense aussi des acteurs de l'informatique et des télécommunications et des datacenters. Si vous démarrez votre activité, intégrez ce poste dès le départ : notre dossier créer son entreprise aide à préparer les autres étapes.
Demandez au prestataire de vous remettre une procédure écrite, de vous montrer une restauration réussie et de vous indiquer où se trouve chaque copie. C'est la meilleure preuve que la règle 3-2-1 est réellement appliquée.
