Comment savoir si mes sauvegardes sont vraiment fiables ?

Pourquoi une sauvegarde en succès ne suffit pas ?

Beaucoup d’entreprises pensent être protégées parce que leur logiciel de sauvegarde indique des tâches en succès. Pourtant, ce statut ne garantit pas toujours que les données sont complètes, cohérentes et restaurables.

Une sauvegarde peut être techniquement terminée, mais inutilisable le jour où l’entreprise en a besoin. Le fichier peut être incomplet, la base de données corrompue, le serveur non redémarrable ou la restauration beaucoup trop longue pour l’activité.

C’est pour cette raison qu’un audit sauvegarde PRA PCA doit vérifier la restauration réelle, et pas uniquement la présence d’une tâche planifiée.

Les signes que vos sauvegardes ne sont peut-être pas fiables

Certaines situations doivent alerter immédiatement. Elles indiquent souvent un risque de perte de données, d’interruption prolongée ou de reprise impossible après incident.

• Vous n’avez jamais réalisé de test de restauration complet.
• Vous ne connaissez pas la durée nécessaire pour restaurer un serveur.
• Vous ne savez pas quelles données sont réellement sauvegardées.
• Les sauvegardes sont stockées sur le même site que les serveurs.
• Le stockage de sauvegarde est accessible depuis le réseau interne.
• Vous ne savez pas si Microsoft 365 est sauvegardé.
• Les rapports de sauvegarde ne sont pas contrôlés régulièrement.
• La rétention est courte ou mal comprise.
• Aucun plan de reprise n’est documenté.

1. Vérifier le périmètre des sauvegardes

La première question à poser est simple : que sauvegardez-vous exactement ? Dans une PME, les données critiques peuvent être réparties entre serveurs, postes, applications métier, fichiers partagés, bases de données, Microsoft 365, OneDrive, SharePoint ou Teams.

Une sauvegarde fiable doit couvrir les éléments réellement nécessaires à la reprise de l’activité. Il ne suffit pas de sauvegarder “un serveur” si les données importantes sont ailleurs.

• Serveurs physiques ou virtuels.
• Fichiers partagés et dossiers utilisateurs.
• Applications métier et bases de données.
• Contrôleur de domaine ou services d’identité.
• Configurations critiques.
• Données Microsoft 365 si elles font partie du périmètre.

Cette étape peut être liée à un audit informatique plus global si vous souhaitez cartographier les serveurs, postes, applications et dépendances.

2. Contrôler la fréquence et la rétention

La fréquence détermine la quantité de données que vous risquez de perdre. La rétention détermine jusqu’à quelle date vous pouvez revenir en arrière. Ces deux notions doivent être adaptées à votre activité.

Par exemple, une entreprise qui modifie des fichiers toute la journée n’a pas les mêmes besoins qu’une structure qui produit peu de données nouvelles. Les sauvegardes doivent donc être alignées avec le niveau de perte acceptable.

• À quelle fréquence les sauvegardes sont-elles lancées ?
• Combien de jours, semaines ou mois sont conservés ?
• Peut-on revenir avant une suppression accidentelle ?
• Peut-on restaurer un état antérieur à un ransomware ?
• La rétention répond-elle aux besoins métier ?

3. Tester réellement la restauration

Le test de restauration est le point le plus important. Il permet de vérifier si les données peuvent être récupérées, si les fichiers sont lisibles, si les serveurs redémarrent et si les applications métier fonctionnent après restauration.

Une PME doit tester plusieurs scénarios, pas uniquement la restauration d’un petit fichier. Il faut vérifier les cas les plus probables et les plus critiques.

• Restaurer un fichier supprimé.
• Restaurer un dossier complet.
• Restaurer une base de données ou une application métier.
• Restaurer une machine virtuelle.
• Tester le redémarrage d’un serveur restauré.
• Mesurer le temps de restauration réel.

4. Vérifier la protection contre les ransomwares

Un ransomware peut chiffrer les fichiers de l’entreprise, mais aussi viser les sauvegardes. Si les sauvegardes sont accessibles depuis le réseau avec des droits trop larges, elles peuvent être supprimées, chiffrées ou rendues inutilisables.

Une sauvegarde fiable doit donc être protégée. L’objectif est de conserver au moins une copie que l’attaque ne peut pas modifier facilement.

• Sauvegarde isolée du réseau de production.
• Copie hors ligne ou immuable si possible.
• Accès administrateurs limités.
• Console de sauvegarde protégée par MFA si disponible.
• Stockage non accessible en écriture par tous les serveurs.
• Surveillance des suppressions ou échecs de sauvegarde.

Ce sujet doit aussi être relié à la sécurité du réseau. Un audit réseau informatique peut aider à vérifier les flux, les accès et la segmentation autour des serveurs et du stockage de sauvegarde.

5. Vérifier les sauvegardes Microsoft 365

Microsoft 365 contient souvent des données importantes : e-mails, fichiers OneDrive, bibliothèques SharePoint, espaces Teams et documents partagés. Beaucoup d’entreprises pensent que Microsoft 365 remplace automatiquement une sauvegarde complète, ce qui peut créer une confusion.

Il faut vérifier ce que vous pouvez restaurer, pendant combien de temps et dans quelles conditions. Selon les besoins, une solution de sauvegarde complémentaire peut être nécessaire.

• Peut-on restaurer une boîte aux lettres supprimée ?
• Peut-on récupérer des e-mails anciens ?
• Peut-on restaurer un fichier OneDrive supprimé ?
• Peut-on restaurer un site SharePoint ou une bibliothèque ?
• Les données Teams sont-elles couvertes ?

Pour ce périmètre, un audit sécurité Microsoft 365 peut compléter l’audit sauvegarde.

6. Définir le RTO et le RPO

Deux notions sont essentielles pour savoir si vos sauvegardes sont adaptées : le RTO et le RPO. Elles permettent de relier la technique aux besoins métier.

RTO : délai maximal de reprise

Le RTO correspond au temps acceptable pour redémarrer un service après un incident. Si votre logiciel métier doit être disponible en deux heures, votre solution de sauvegarde doit permettre une restauration compatible avec ce délai.

RPO : perte de données acceptable

Le RPO correspond à la quantité de données que vous pouvez accepter de perdre. Si vous sauvegardez une fois par jour, vous pouvez théoriquement perdre jusqu’à une journée de travail.

Ces deux indicateurs aident à construire un vrai PRA, c’est-à-dire un plan de reprise d’activité.

7. Documenter le plan de reprise

Une sauvegarde fiable ne suffit pas si personne ne sait quoi restaurer en premier. En cas d’incident, les équipes doivent connaître les priorités : quel serveur, quelle application, quel dossier, quel accès et quelle procédure.

• Liste des services critiques.
• Ordre de restauration.
• Contacts internes et prestataires.
• Accès aux consoles et mots de passe d’urgence.
• Procédure de restauration des serveurs.
• Procédure de restauration des fichiers.
• Procédure de communication en cas d’incident.

Cette documentation fait partie de la logique PRA/PCA. Elle permet de réduire le stress et les erreurs pendant une situation critique.

Quand demander un audit sauvegarde PRA PCA ?

Un audit sauvegarde est recommandé dès que vous avez un doute sur la capacité réelle de reprise. Il est aussi utile après une évolution de l’infrastructure, une migration cloud ou une demande client.

• Vos sauvegardes n’ont jamais été testées récemment.
• Vous ne savez pas combien de temps prend une restauration.
• Vous avez changé de serveur, prestataire ou solution cloud.
• Vous utilisez Microsoft 365 sans stratégie claire de restauration.
• Vous avez subi une suppression, une panne ou une corruption de données.
• Vous craignez un ransomware.
• Vous devez rassurer un client, un assureur ou un partenaire.

Conclusion : une sauvegarde fiable est une sauvegarde testée

Pour savoir si vos sauvegardes sont vraiment fiables, il ne faut pas se limiter aux rapports de succès. Il faut vérifier le périmètre, la fréquence, la rétention, la protection ransomware, les données Microsoft 365, les tests de restauration et le plan de reprise.

Une sauvegarde fiable doit répondre à une question simple : si un incident arrive aujourd’hui, pouvez-vous restaurer les données et redémarrer l’activité dans un délai acceptable ?