Plan de sauvegarde informatique : définition et mise en place
Un plan de sauvegarde informatique est le document qui décrit quelles données l’entreprise sauvegarde, à quelle fréquence, sur quels supports, pendant combien de temps, qui s’en occupe et comment on restaure. Il transforme les bonnes pratiques, comme la règle 3-2-1 présentée dans notre article Pourquoi et comment sauvegarder ses données en entreprise ?, en engagements écrits et vérifiables. Voici ce qu’il doit contenir, comment le construire en six étapes et comment le faire vivre.
Qu’est-ce qu’un plan de sauvegarde informatique ?
Beaucoup de PME ont « une sauvegarde » : un NAS, un logiciel, un disque externe. Peu ont un plan, c’est-à-dire des règles écrites qui permettent de savoir, le jour d’un incident, ce qui est réellement protégé et en combien de temps l’activité peut repartir. L’ANSSI parle de politique de sauvegarde : identifier les données critiques pour l’activité et préciser la fréquence à laquelle elles doivent être sauvegardées.
Le plan de sauvegarde ne se confond pas avec le plan de reprise d’activité (PRA). Le premier garantit que les données peuvent être restaurées ; le second organise le redémarrage de toute l’entreprise après un sinistre (matériel de remplacement, locaux, priorités, communication). Le plan de sauvegarde est l’une des fondations du PRA, et l’ANSSI recommande de définir la stratégie de restauration en lien avec lui.
Ce que doit contenir un plan de sauvegarde
| Rubrique | Question à trancher | Exemple pour une PME |
|---|---|---|
| Périmètre | Quelles données et quels systèmes ? | Serveur de fichiers, logiciel de comptabilité, Microsoft 365, ordinateurs portables |
| Objectifs | Combien de données et de temps peut-on perdre ? | Une journée de données au plus ; comptabilité accessible sous 24 h |
| Fréquence et type | Quand sauvegarder, et comment ? | Complète le week-end, incrémentielle chaque nuit |
| Emplacements | Où se trouvent les copies ? | NAS au bureau, copie externalisée, disque hors ligne en rotation |
| Rétention | Combien de temps garder chaque copie ? | 15 jours de sauvegardes journalières, 1 an de mensuelles, 5 ans d’annuelles (exemple cité par l’ANSSI) |
| Responsabilités | Qui surveille, qui peut restaurer ? | Prestataire informatique et référent interne nommé |
| Tests | Quand et comment vérifier ? | Restauration d’essai planifiée et consignée |
| Procédure d’urgence | Que faire en cas d’attaque ? | Isoler les sauvegardes, prévenir le prestataire |
Mettre en place votre plan de sauvegarde en 6 étapes
1. Inventorier vos données et leurs emplacements
Recensez les appareils et services qui contiennent des données : serveurs, postes fixes et portables, NAS, logiciels en ligne, messagerie. Pour chaque ensemble, posez la question que suggère Cybermalveillance.gouv.fr : quelles données ne peuvent pas être récupérées ailleurs en cas de perte ? N’oubliez pas trois angles morts fréquents :
- Microsoft 365 : mails, OneDrive, SharePoint et fichiers Teams ne bénéficient pas d’une sauvegarde au-delà des délais de corbeille et de rétention prévus par Microsoft ;
- les logiciels métier : l’ANSSI recommande de sauvegarder aussi les médias d’installation et les configurations des applications, sans lesquels des données restaurées sont parfois inexploitables ;
- les ordinateurs portables : les fichiers enregistrés en local échappent souvent à la sauvegarde du serveur.
2. Fixer vos objectifs : PDMA et DMIA
Deux notions guident tout le plan :
- La perte de données maximale admissible (PDMA, ou RPO en anglais) : la quantité de travail que vous acceptez de perdre, exprimée en durée. Une PDMA de 24 heures impose au moins une sauvegarde par jour.
- La durée maximale d’interruption admissible (DMIA, ou RTO) : le temps pendant lequel l’entreprise peut fonctionner sans le système concerné.
Ces objectifs relèvent de la direction, pas seulement du technicien : c’est à vous de dire si la facturation peut attendre deux jours ou deux heures. L’ANSSI rappelle que si une PDMA inférieure à 24 heures est nécessaire, la sauvegarde seule ne suffit pas et doit être complétée, par exemple par une réplication des données en continu.
3. Choisir les types de sauvegarde et leur fréquence
| Type | Ce qui est copié | Atout | Limite |
|---|---|---|---|
| Complète | La totalité des données | Restauration la plus simple | Longue et volumineuse |
| Incrémentielle | Ce qui a changé depuis la dernière sauvegarde, quelle qu’elle soit | Rapide, peu de place | Restauration plus longue : il faut la complète et toutes les incrémentielles qui suivent |
| Différentielle | Ce qui a changé depuis la dernière sauvegarde complète | Restauration avec deux jeux seulement | Grossit chaque jour jusqu’à la complète suivante |
La plupart des logiciels combinent ces types : une sauvegarde complète périodique, puis des incrémentielles ou différentielles quotidiennes. La fréquence découle directement de la PDMA fixée à l’étape 2.
4. Répartir les copies selon la règle 3-2-1
Le plan précise où vit chaque copie : trois copies, sur deux supports différents, dont au moins une hors ligne, que l’ANSSI juge indispensable face aux rançongiciels. Pour une copie confiée à un hébergeur ou à un prestataire, notez dans le plan la localisation des données (l’ANSSI recommande l’Union européenne), leur chiffrement avant envoi et le délai réel pour les récupérer.
5. Protéger l’accès aux sauvegardes
Un pirate qui obtient le mot de passe administrateur de votre réseau ne doit pas pouvoir effacer vos sauvegardes. Le guide de l’ANSSI Sauvegarde des systèmes d’information recommande notamment :
- des comptes d’administration dédiés et nominatifs pour la sauvegarde, distincts des comptes utilisés au quotidien ;
- une infrastructure de sauvegarde indépendante de l’annuaire de l’entreprise (Active Directory), pour qu’une prise de contrôle du réseau ne donne pas accès aux sauvegardes ;
- le chiffrement des sauvegardes au même niveau de protection que les données d’origine, avec des clés conservées en lieu sûr.
6. Tester, contrôler et réviser
C’est l’étape la plus souvent négligée. L’ANSSI demande de contrôler systématiquement les sauvegardes (volumes anormaux, tâches en échec, réglages modifiés), de les tester régulièrement et de rédiger une procédure de restauration mise en œuvre à intervalles réguliers. Cette procédure fixe aussi l’ordre de remise en route : messagerie, logiciel de gestion, fichiers…
À titre indicatif, un rythme raisonnable pour une PME consiste à lire les rapports de sauvegarde chaque jour, restaurer un échantillon de fichiers chaque mois et simuler la restauration complète d’un serveur ou d’une boîte mail au moins une fois par an. Consignez chaque test : date, ce qui a été restauré, durée, problèmes rencontrés. Enfin, révisez le plan à chaque évolution du système d’information (nouveau logiciel, migration vers le cloud, nouveau site).
Prévoir la procédure d’urgence
En cas de cyberattaque, l’ANSSI fait de l’isolement de l’infrastructure de sauvegarde la mesure prioritaire : débrancher le NAS ou couper son accès réseau avant que le rançongiciel ne l’atteigne. Le plan doit dire qui a le droit de le faire et comment. Après l’incident, gardez en tête que les sauvegardes peuvent contenir le programme malveillant : restaurez les systèmes à partir de sources de confiance et analysez les données avec un antivirus avant de les remettre en service. La fiche Les essentiels de la sauvegarde de l’ANSSI résume ces réflexes sur une page.
Questions fréquentes
Quelle différence entre un plan de sauvegarde et un PRA ?
Le plan de sauvegarde définit comment les données sont copiées, conservées, protégées et restaurées. Le plan de reprise d’activité (PRA) organise le redémarrage de toute l’entreprise après un sinistre : matériel, locaux, priorités, communication. Le plan de sauvegarde est une brique indispensable du PRA, mais il ne le remplace pas.
Quelle différence entre sauvegarde incrémentielle et différentielle ?
La sauvegarde incrémentielle copie ce qui a changé depuis la dernière sauvegarde, quelle qu’elle soit : elle est rapide, mais la restauration exige la sauvegarde complète et toutes les incrémentielles suivantes. La sauvegarde différentielle copie ce qui a changé depuis la dernière sauvegarde complète : elle grossit chaque jour, mais la restauration ne demande que deux jeux de sauvegarde.
À quelle fréquence tester ses sauvegardes ?
L’ANSSI et Cybermalveillance.gouv.fr recommandent de tester les sauvegardes régulièrement, sans imposer de fréquence. Pour une PME, un bon repère consiste à restaurer quelques fichiers chaque mois et à simuler une restauration complète au moins une fois par an. Chaque test doit être consigné, avec sa durée et les difficultés rencontrées.
Combien de temps conserver les sauvegardes ?
La durée de rétention dépend de vos besoins et de vos obligations. L’ANSSI cite en exemple 15 jours de sauvegardes journalières, 1 an de sauvegardes mensuelles et 5 ans de sauvegardes annuelles. Une rétention longue permet de remonter avant une attaque ou une erreur découverte tardivement ; la conservation légale de documents, elle, relève de l’archivage.
Faites rédiger votre plan de sauvegarde
Un plan de sauvegarde n’a pas besoin d’être long : quelques pages claires, connues de la direction et réellement testées valent mieux qu’un classeur oublié. Toutes les entreprises n’ont pas de service informatique pour le rédiger et le suivre ; c’est précisément le rôle d’un prestataire spécialisé.
Chez ITAK IT, nous auditons votre installation, définissons avec vous les objectifs de sauvegarde, mettons en place les copies et réalisons les tests de restauration. Découvrez notre offre de stockage et de sauvegarde informatique pour PME ou contactez-nous pour en parler.
