Pour une TPE qui structure enfin sa sauvegarde — bravo, c'est souvent le dernier chantier auquel on s'attaque — se pose la question : disque dur externe, NAS, cloud, les trois ? Il n'y a pas de bonne réponse universelle, mais il y a surtout une mauvaise réponse : « on verra plus tard ».
Rappel de base : la règle des 3-2-1
C'est le minimum vital, répété par toutes les autorités (ANSSI, CERT-FR) depuis dix ans :
- 3 copies de vos données (l'original + 2 sauvegardes)
- Sur au moins 2 supports différents (ex. disque interne + externe)
- Dont 1 copie hors site (loin physiquement du bureau)
Un disque dur externe branché sous le bureau coche mal ces trois cases : si un incendie, un vol ou un ransomware frappe, vous perdez tout en même temps.
Les 3 grandes options pour une TPE
Option 1 : Sauvegarde locale (disque externe ou NAS)
Avantages : rapide, bon marché, données chez vous, pas de limite de volume.
Inconvénients : vulnérable au vol, à l'incendie et au ransomware (un ransomware moderne s'attaque explicitement aux NAS branchés en permanence sur le réseau).
Dans quels cas c'est OK : si vous avez beaucoup de données volumineuses (dossiers CAO, vidéos, archives), un NAS reste pertinent — mais jamais seul.
Option 2 : Sauvegarde cloud dédiée
Avantages : hors site par nature, chiffré en transit et au repos, versionné (on peut remonter plusieurs semaines/mois en arrière), géré par le prestataire.
Inconvénients : coût mensuel récurrent, débit de restauration dépendant d'Internet, nécessite une connexion décente pour la sauvegarde initiale.
Dans quels cas c'est OK : quasi toutes les TPE/PME dont les volumes sont raisonnables (quelques dizaines de Go à quelques To).
Option 3 : Microsoft 365 / Google Workspace sont déjà une sauvegarde — vraiment ?
Non. C'est un des malentendus les plus coûteux en entreprise.
Microsoft et Google assurent la disponibilité de votre service (vos données ne disparaissent pas en cas de panne de serveur chez eux), mais pas la restauration de vos données en cas d'erreur de votre côté :
- Si un salarié supprime un dossier SharePoint par erreur et que personne ne s'en aperçoit avant 30 jours, c'est perdu
- Si un ransomware chiffre vos fichiers OneDrive, ils sont synchronisés chiffrés vers le cloud
- Si un compte Microsoft 365 est désactivé 30 jours, toutes ses données sont effacées définitivement
Il faut une sauvegarde tierce de Microsoft 365, c'est non négociable dès que vous y stockez des données importantes.
La bonne combinaison pour une TPE
Voici ce qu'on met en place le plus souvent chez nos clients :
| Volume de données | Reco |
|---|---|
| < 100 Go sans serveur | Sauvegarde cloud dédiée uniquement (chiffrée, hors site, gérée) |
| 100 Go - 2 To sans serveur | Idem : cloud dédié + éventuellement une copie locale récente pour les restaurations rapides |
| Avec serveur ou NAS existant | Sauvegarde locale (sur un support dédié, pas le NAS lui-même) + réplication cloud chiffrée + sauvegarde tierce Microsoft 365 |
Les 4 règles qu'on applique dans tous les cas
- Chiffrement de bout en bout : vos données doivent être illisibles par le prestataire de sauvegarde lui-même
- Rotation versionnée : au moins 30 jours d'historique, idéalement 90, pour pouvoir remonter avant une attaque qui "dort" plusieurs semaines
- Test de restauration réel au moins une fois par an : une sauvegarde non testée n'est pas une sauvegarde, c'est un espoir
- Supervision des alertes : si la sauvegarde échoue 3 nuits de suite, quelqu'un doit le savoir et agir
Pour les très petites structures sans serveur
Si vous êtes une TPE à 2-10 postes, sans serveur ni NAS, avec vos fichiers répartis entre Microsoft 365 et quelques disques de PC, nous recommandons souvent une solution de sauvegarde chiffrée et sécurisée hébergée, qui couvre à la fois les postes individuels et les boîtes/espaces Microsoft 365, pour quelques dizaines d'euros par mois selon le volume.
C'est le niveau de protection minimum qui permet, en cas d'incident, de remettre vos données en ligne en quelques heures au lieu de les perdre.
Pour les structures avec serveur ou NAS
C'est généralement un dispositif plus complet : sauvegarde locale sur un support dédié (dérotation hebdomadaire), réplication chiffrée vers un data center distant, et une sauvegarde Microsoft 365 à part. Nous ciblons un RPO (perte maximale acceptable de données) de 24 h au plus, et un RTO (temps de remise en service) de quelques heures.
En conclusion
La question « local ou cloud » est une fausse question. La bonne question est : si demain matin tout mon matériel brûle ou est chiffré, dans combien de temps mon activité peut-elle repartir ?
Si vous ne connaissez pas la réponse pour votre entreprise, c'est précisément ce que l'audit gratuit permet de poser à plat : vos données critiques, où elles vivent, ce qui est effectivement sauvegardé et ce qui ne l'est pas, et à quel délai de restauration vous êtes exposé.
