Un disque dur fatigué ou une erreur de manipulation peut effacer dix ans d’activité
Le problème n’est pas d’abord le hacker masqué, c’est la panne banale. Un disque dur qui meurt, un ordinateur portable volé dans une voiture, un fichier comptable écrasé par mégarde : dans tous ces cas, la perte est identique. Ce n’est pas une hypothèse d’école. Selon le baromètre national de la maturité cyber des TPE-PME (Sondage OpinionWay pour Cybermalveillance.gouv.fr, 588 entreprises interrogées en juin-juillet 2025), 16 % des entreprises de moins de 250 salariés déclarent avoir subi une cyberattaque au cours des 12 derniers mois, et parmi les victimes, 22 % rapportent un vol de données et 16 % une destruction de données (rapport d’étude Cybermalveillance.gouv.fr).
Le fichier client que personne n’a pensé à sauvegarder, le dossier de devis qui ne figurait sur aucun second support, la base facturation qui ne vivait que sur le PC du bureau : ce sont ces pertes-là qui coûtent le plus cher, parce qu’elles ne sont ni assurables ni reconstituables. Une sauvegarde, c’est simplement la copie qui permet de refaire fonctionner l’activité quand l’original disparaît.
Où en sont vraiment les TPE françaises sur la sauvegarde
Le même baromètre OpinionWay pour Cybermalveillance.gouv.fr (2025) apporte un élément rassurant en apparence : parmi les entreprises qui disposent de dispositifs de cybersécurité, 78 % déclarent avoir des sauvegardes (rapport d’étude Cybermalveillance.gouv.fr). Mais cette moyenne cache des écarts considérables selon la taille : la protection est corrélée au nombre de salariés, les grandes structures cumulant les dispositifs quand les plus petites se contentent souvent d’un antivirus.
L’INSEE apporte un autre repère, plus ancien : d’après l’enquête Technologies de l’information et de la communication auprès des entreprises, 15 % des entreprises de dix personnes ou plus avaient subi un incident de sécurité informatique en 2018, et jusqu’à 21 % dans les activités spécialisées, scientifiques et techniques. La menace n’a pas disparu depuis, elle s’est déplacée : le baromètre 2025 montre que l’hameçonnage est devenu de loin la cause d’attaque la plus citée (43 % des victimes, contre 24 % en 2024, selon le rapport d’étude Cybermalveillance.gouv.fr).
Autrement dit : une entreprise sur six s’est fait attaquer l’an dernier, un peu moins de huit sur dix équipées sauvegardent. Il reste deux angles morts. Le premier : avoir une sauvegarde ne veut pas dire savoir la restaurer. Le second : une sauvegarde sur le même disque que les données, ou connectée en permanence au réseau, meurt en même temps que l’original lors d’un rançongiciel.
La règle 3-2-1 recommandée par la CNIL
La CNIL présente la règle « 3-2-1 » comme l’état de l’art en matière de sauvegarde : disposer de 3 copies des données, stockées sur 2 supports différents, dont 1 hors ligne. Trois copies, parce qu’une seule copie n’est pas une sauvegarde mais un vœu. Deux supports différents, parce que le disque externe acheté le même jour que le PC a souvent la même espérance de vie. Une copie hors ligne, déconnectée du réseau, parce que c’est la seule que le rançongiciel ne peut pas chiffrer en même temps que vos fichiers.
La CNIL accompagne cette règle de recommandations complémentaires : effectuer les sauvegardes à intervalles réguliers, stocker au moins une copie sur un site géographiquement distinct, protéger les données sauvegardées au même niveau de sécurité que les données de production (par exemple en les chiffrant), et surtout vérifier régulièrement que les sauvegardes sont exploitables. La CNIL liste d’ailleurs explicitement le pire scénario parmi ce qu’il ne faut pas faire : ne jamais tester ses sauvegardes et découvrir le jour de la panne qu’elles n’ont jamais fonctionné.
En pratique, pour une TPE de cinq personnes, cela donne par exemple : les données de travail sur le PC (copie 1), un disque externe branché une fois par semaine pour copier le dossier métier (copie 2), et une copie déconnectée, un second disque rangé dans un tiroir à domicile ou un coffre, mise à jour au moins une fois par mois (copie 3 hors ligne). Le tout, testé une fois par trimestre en restaurant réellement un fichier.
Les décisions à prendre cette semaine
Si vous ne deviez rien faire d’autre, trois décisions suffisent à transformer votre situation.
Décision 1 : identifier ce qui est irremplaçable. Factures, devis, base clients, contrats, comptabilité, photos de chantier avant/après. C’est rarement plus de quelques dizaines de gigaoctets. Tout ce qui n’est pas dans cette liste peut être perdu sans tuer l’activité, et cela simplifie énormément la suite.
Décision 2 : mettre en place les trois copies. Un disque externe local, un second disque hors ligne, et éventuellement un espace cloud pour la copie géographiquement distincte, ce qui fait souvent office de troisième copie automatique. Attention : le cloud complète la règle 3-2-1, il ne la remplace pas, car une synchronisation continue propage aussi les erreurs et le chiffrement par rançongiciel si le compte est compromis.
Décision 3 : tester la restauration. Une sauvegarde non testée est une croyance, pas une protection. Ouvrez un fichier restauré depuis le disque externe, vérifiez qu’il s’agit de la bonne version, notez la date de votre dernier test. Cinq minutes par trimestre.
Ce que la sauvegarde ne règle pas, il faut le dire : elle ne protège pas la confidentialité des données volées, ni la continuité d’activité le temps de la restauration. Le baromètre 2025 du sondage OpinionWay pour Cybermalveillance.gouv.fr montre d’ailleurs que 29 % des entreprises victimes d’un incident ont subi une interruption de leurs activités (rapport d’étude Cybermalveillance.gouv.fr). La sauvegarde est la première brique, pas la seule. Pour la suite des protections (mots de passe, double authentification), notre guide sur les mots de passe et la double authentification pour les TPE prend le relais, et notre panorama sur les menaces qui visent réellement les petites entreprises donne le contexte complet.
FAQ
Combien coûte une sauvegarde 3-2-1 pour une petite entreprise ?
Le strict minimum matériel se limite à deux disques durs externes suffisent à couvrir les copies locale et hors ligne. La copie cloud, si vous en ajoutez une, est facturée au volume stocké par les hébergeurs, à un niveau généralement faible pour quelques dizaines de gigaoctets. Le coût réel n’est pas le matériel, c’est la discipline : brancher le disque, lancer la copie, vérifier.
Un disque NAS branché en permanence suffit-il comme sauvegarde ?
Le NAS est un bon support local, mais un NAS connecté en permanence au réseau peut être chiffré par un rançongiciel en même temps que vos postes. Pour respecter la règle 3-2-1, il faut au moins une copie hors ligne (disque déconnecté) ou une copie sur un autre site, par exemple un cloud avec versionnement.
À quelle fréquence faut-il sauvegarder ?
La CNIL recommande des sauvegardes à intervalles réguliers, sans imposer de durée. Le bon critère est votre tolérance à la perte : si vous ne pouvez pas accepter de perdre une journée de travail, sauvegardez chaque jour. Une fois par semaine est un plancher raisonnable pour une petite structure, avec la copie hors ligne mise à jour au moins mensuellement.
Le cloud ne remplace-t-il pas tout simplement la sauvegarde locale ?
Non. La synchronisation cloud protège bien de l’incendie ou du vol du local, mais elle synchronise aussi les erreurs : un fichier supprimé ou chiffré par un rançongiciel peut se propager aux copies en ligne. Elle complète la règle 3-2-1 (copie sur site distinct), elle ne supprime pas la copie hors ligne.
Comment tester concrètement une sauvegarde ?
Restaurez un fichier réel sur un autre emplacement et ouvrez-le : vérifiez que la version est récente et que le fichier fonctionne. Ensuite, contrôlez la date de la dernière sauvegarde réussie et le volume copié. Un test trimestriel documenté, même sur un seul fichier, suffit à détecter la grande majorité des défaillances silencieuses.
Les sauvegardes doivent-elles être chiffrées ?
Oui. La CNIL recommande de protéger les données sauvegardées au même niveau de sécurité que les données de production, par exemple en les chiffrant. Un disque externe perdu ou volé contient vos clients, vos factures et vos contrats : sans chiffrement, c’est une fuite de données en puissance, avec les obligations de notification que cela implique au titre du RGPD.
Sources
- CNIL, Sécurité : sauvegarder (règle 3-2-1 et recommandations)
- Sondage OpinionWay pour Cybermalveillance.gouv.fr, baromètre national de la maturité cyber des TPE-PME 2025 (rapport d’étude, 588 entreprises)
- INSEE, Cyberdélinquance : enquête TIC auprès des entreprises (données 2018)