Sauvegarder les données de l’entreprise : guide pratique

Résumé : Pour protéger les données de l’entreprise, définissez ce qui doit être sauvegardé, à quelle fréquence et dans quel délai vous devez pouvoir le restaurer. Diversifiez les copies, limitez les accès et vérifiez régulièrement que la restauration fonctionne. Une sauvegarde bien conçue s’intègre à la continuité d’activité, elle ne se limite pas à la copie de fichiers.

Que se passerait-il si vos fichiers de travail, vos bases clients ou vos applications devenaient inaccessibles demain ? Une sauvegarde des données de l’entreprise doit vous permettre de reprendre une activité définie, pas seulement de retrouver quelques documents. Pour structurer une stratégie adaptée, nous détaillons aussi une architecture de sauvegarde 3-2-1 dans un cloud privé.

Une copie récente ne suffit pas si elle est incomplète, exposée au même incident que les données originales ou impossible à restaurer. La CNIL recommande de séparer les copies, d’en isoler au moins une du réseau et de tester leur restauration, dans ses recommandations de sauvegarde. Votre stratégie doit donc relier les données à protéger, leur fréquence de copie et les moyens de reprise.

Quelles données l’entreprise doit-elle sauvegarder ?

Commencez par repérer les informations et systèmes nécessaires au fonctionnement de chaque activité. Il peut s’agir des dossiers clients, des documents comptables, des contrats, des fichiers RH, des bases de données, des logiciels métiers et de leurs configurations. Pensez aussi aux environnements collaboratifs et aux appareils qui contiennent des données professionnelles.

Classez ensuite les éléments selon leur criticité et leurs dépendances. Une application métier ne se restaure pas toujours à partir de ses seuls fichiers : elle peut nécessiter une base de données, des paramètres, des clés ou des médias d’installation. Une liste de priorité aide à identifier ce qu’il faut récupérer en premier, ainsi que les accès et ressources nécessaires à cette opération.

Faites cet inventaire avec les équipes qui utilisent les outils au quotidien. Elles peuvent signaler des données importantes qui ne figurent pas dans les dossiers officiellement recensés. Cette démarche permet aussi de distinguer les données actives, qui doivent être restaurées rapidement, des archives destinées à une conservation de plus longue durée.

Quelle fréquence et quel délai de reprise définir ?

La fréquence dépend de la quantité de travail que vous accepteriez de perdre après un incident. Pour une base de commandes mise à jour en continu, une copie quotidienne pourrait être insuffisante ; pour des documents rarement modifiés, elle pourrait être excessive. Déterminez donc, pour chaque service, le point de reprise acceptable : autrement dit, jusqu’à quelle date les données doivent pouvoir être retrouvées.

Définissez aussi le délai maximal d’interruption tolérable. Une équipe peut parfois travailler temporairement en mode dégradé, tandis qu’un service essentiel doit être remis en fonction rapidement. Ces objectifs déterminent la fréquence de sauvegarde, les ressources de restauration et l’ordre dans lequel les systèmes redémarrent. Le guide de l’ANSSI sur la sauvegarde des systèmes d’information souligne l’importance de définir les données critiques et de préparer la restauration.

Le choix technique dépend également des volumes et de la fréquence des changements. Une sauvegarde complète copie toutes les données sélectionnées ; une sauvegarde incrémentielle ne copie que les changements depuis la précédente. La sauvegarde différentielle reprend les changements depuis la dernière sauvegarde complète. Ces méthodes peuvent être combinées pour trouver un équilibre entre espace nécessaire, durée de copie et simplicité de restauration.

La réplication n’est pas un substitut à la sauvegarde. Elle reproduit les changements vers un autre système, ce qui peut faciliter la continuité après une panne ; mais une suppression ou une altération risque aussi d’être répliquée. Conservez des versions antérieures pour pouvoir revenir à un état sain.

Où conserver les copies pour limiter les risques ?

Imaginez qu’un incendie, un vol ou une attaque touche à la fois le serveur de production et le support de sauvegarde placé à proximité. La diversification des emplacements et des supports réduit ce risque de point de défaillance unique. La règle 3-2-1 fournit un repère : garder trois copies au total, sur deux types de supports, avec une copie située hors site.

Pour renforcer cette approche contre une attaque informatique, isolez au moins une copie du réseau ou protégez-la contre toute modification pendant une période définie. Réservez l’accès à l’administration des sauvegardes à des comptes dédiés, distincts des comptes utilisés au quotidien. Une copie hors site ne suffit pas si un compte compromis permet de la supprimer à distance.

Le stockage cloud peut faciliter l’externalisation des copies et leur évolution avec les besoins. Examinez toutefois les emplacements d’hébergement, les modalités de conservation, les contrôles d’accès et les procédures de récupération. Dans notre offre de cloud privé pour entreprises, l’infrastructure est hébergée en France et les serveurs comme les sauvegardes bénéficient d’une triple redondance. Cette redondance renforce la disponibilité de l’offre ; vérifiez séparément l’isolation des copies, leur rétention et les conditions de restauration.

Comment protéger les sauvegardes contre l’accès ou l’altération ?

Traitez les copies avec le même niveau de sécurité que les données de production. Chiffrez les transferts et les données stockées lorsque cela est nécessaire, protégez les clés de chiffrement et appliquez le principe du moindre privilège. Limitez les droits de consultation, de modification et de suppression, puis activez une authentification renforcée pour les comptes d’administration.

La séparation des identifiants est importante : si les mêmes comptes administrent les systèmes de production et les sauvegardes, leur compromission peut exposer les deux. Surveillez les échecs de copie, les changements inhabituels de configuration et les suppressions inattendues. Pour approfondir les enjeux d’une reprise après attaque, consultez notre article sur pourquoi les entreprises ne parviennent pas à récupérer leurs données après une cyberattaque.

Si les sauvegardes contiennent des données personnelles, intégrez leur protection à votre démarche de conformité : définissez les accès, les durées de conservation et les procédures de restauration. Vous pouvez également lire nos conseils pour concilier sauvegardes cloud et conformité RGPD.

Comment savoir si la restauration fonctionnera ?

Un statut de sauvegarde réussi ne prouve pas que l’entreprise pourra redémarrer. Planifiez des tests de restauration sur des fichiers représentatifs, puis sur des applications ou systèmes complets dans un environnement contrôlé. Vérifiez l’intégrité des données récupérées, les droits d’accès, les dépendances applicatives et le temps nécessaire à la remise en service.

Documentez les étapes et les responsabilités : qui valide la copie à restaurer, qui autorise l’opération et quelles équipes doivent être informées ? Après chaque test, notez les écarts entre le délai réel et le délai visé, puis corrigez les procédures. Pour les environnements industriels, le NIST recommande dans son guide publié en juin 2026 d’intégrer la gestion des sauvegardes aux changements et aux exercices de reprise, en plus de les tester régulièrement. Ce guide NIST de juin 2026 porte spécifiquement sur la technologie opérationnelle.

Reliez enfin les procédures de restauration à votre plan de reprise d’activité. Celui-ci précise les systèmes à remettre en fonction, leur ordre de priorité et les solutions temporaires acceptables. Pour compléter votre démarche, nous partageons aussi des conseils pour protéger les données de l’entreprise.