Un NAS suffit-il comme sauvegarde ?
Un NAS est un bon support, mais seul il ne respecte pas la règle 3-2-1 : il est dans les mêmes locaux que les données et souvent sur le même réseau. Il faut au moins une copie hors site.
Guide Evoir - Sauvegarde
Sauvegarde informatique en PME : la règle 3-2-1 et la checklist pour la vérifier
Une sauvegarde qu'on n'a jamais restaurée est une hypothèse, pas une sauvegarde. Ce guide pose les principes qui tiennent en PME (règle 3-2-1, copie hors site, protection contre le ransomware), les questions à poser à votre prestataire et la manière de tester une restauration sans risquer la production.
En résumé
- Règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors du site
- Une synchronisation (OneDrive, Dropbox, NAS répliqué) n'est pas une sauvegarde : une suppression ou un chiffrement s'y propage
- Au moins une copie doit être hors de portée d'un attaquant : hors ligne, ou immuable
- On ne sait qu'une sauvegarde fonctionne qu'après l'avoir restaurée : un test planifié et consigné par écrit
Ce qu'on protège, et de quoi
Une sauvegarde répond à plusieurs risques, qui n'exigent pas tous la même copie.
| Risque | Exemple | Ce que la sauvegarde doit permettre |
|---|---|---|
| Erreur ou suppression | Un fichier écrasé, un dossier supprimé par mégarde | Retrouver une version antérieure |
| Panne matérielle | Un disque ou un serveur qui ne démarre plus | Reconstruire à partir d'une copie |
| Ransomware | Des fichiers chiffrés, souvent après une attaque qui a aussi visé les sauvegardes | Restaurer depuis une copie que l'attaquant n'a pas pu atteindre |
| Sinistre | Incendie, dégât des eaux, vol du matériel | Récupérer les données depuis un autre lieu |
| Compte piraté ou salarié malveillant | Des données supprimées avec des droits légitimes | Disposer d'une copie que ce compte ne peut pas effacer |
La règle 3-2-1
- 3 copies des données : l'original et deux sauvegardes.
- 2 supports ou technologies différents : par exemple un NAS et un stockage dans le cloud, pour qu'une même panne ou une même faille ne touche pas les deux.
- 1 copie hors site : loin des locaux, pour survivre à un sinistre ou à un vol.
Une variante souvent citée ajoute deux exigences : une copie hors ligne ou immuable (elle ne peut être ni modifiée ni supprimée pendant sa durée de rétention, même avec des droits d'administrateur) et zéro erreur après test de restauration. C'est la version à viser dès que les données sont critiques.
Ce que la règle ne règle pasLa règle 3-2-1 ne dit rien de la fréquence, ni de la durée de conservation. Ces deux points se décident avec la direction (voir la section RPO et RTO plus bas).
Sauvegarde, synchronisation, archivage : ne pas confondre
| Usage | Ce que c'est | Ce que ça ne fait pas |
|---|---|---|
| Synchronisation (OneDrive, Dropbox, NAS répliqué) | Garde des fichiers identiques sur plusieurs appareils ou lieux | Une suppression ou un chiffrement se propage aux autres copies ; les corbeilles et les versions aident un temps, mais ne remplacent pas une sauvegarde |
| Sauvegarde | Des copies datées, qu'on peut restaurer à un instant donné | Elle ne vaut que si elle est testée et protégée |
| Archivage | Conserver durablement des données figées (obligations légales, mémoire de l'entreprise) | Il ne sert pas à relancer l'activité après un incident |
Pour Microsoft 365, la disponibilité du service est assurée par Microsoft, mais la protection contre l'erreur, la suppression ou un compte compromis reste à votre charge : voir pourquoi sauvegarder Microsoft 365 avec une solution tierce.
Le ransomware change les règles
Les attaquants cherchent les sauvegardes avant de chiffrer les données, précisément pour empêcher la restauration. Trois mesures répondent à cela :
- Une copie hors de portée : hors ligne, ou immuable chez un fournisseur qui le garantit.
- Des comptes de sauvegarde séparés de ceux de l'annuaire de l'entreprise, avec double authentification. Si la console de sauvegarde s'ouvre avec le compte d'un administrateur piraté, elle tombera avec lui.
- Aucun lecteur réseau de sauvegarde monté en permanence sur les postes : ce qu'un poste peut modifier, un logiciel malveillant peut le chiffrer.
Voir aussi : que faire après un ransomware et récupérer ses données sans payer.
RPO et RTO : deux questions pour la direction
- RPO (objectif de point de reprise) : quelle quantité de travail peut-on accepter de perdre ? Avec une sauvegarde quotidienne de nuit, on peut perdre jusqu'à une journée de saisies.
- RTO (objectif de délai de reprise) : combien de temps peut-on rester arrêté ? Si la restauration d'un serveur demande une journée et que l'activité ne tolère pas un tel arrêt, la sauvegarde seule ne suffit pas.
Ces deux durées se fixent par métier et par outil : la comptabilité n'a pas les mêmes besoins que le partage de fichiers. Elles alimentent le plan de reprise d'activité.
Checklist : votre sauvegarde est-elle solide ?
- La liste de ce qui est sauvegardé existe : serveurs, postes, NAS, Microsoft 365, site web, bases de données
- Chaque donnée critique existe en trois copies, dont une hors site
- La copie hors site est chiffrée
- Une copie au moins est hors ligne ou immuable
- L'historique conservé permet de revenir avant une attaque découverte tard (plusieurs semaines de recul, à fixer selon vos risques)
- Les alertes d'échec sont reçues et lues par une personne nommée, pas par une boîte que personne n'ouvre
- Les accès à la console de sauvegarde sont protégés par double authentification
- Les clés de chiffrement sont conservées séparément : une clé perdue rend la sauvegarde illisible
- La procédure de restauration est écrite et disponible en dehors des systèmes sauvegardés (sur papier ou sur un autre support)
- Un test de restauration a eu lieu, avec une date et un résultat consignés
Comment tester une restauration
Choisir trois cas
Un fichier isolé, un dossier partagé complet, et un élément plus lourd (base de données, machine virtuelle ou serveur), pour éprouver des niveaux différents.
Restaurer ailleurs que sur la production
Restaurez dans un emplacement de test : un test qui écrase les données actuelles est un incident.
Vérifier que c'est utilisable
Ouvrez les fichiers, lancez l'application, connectez-vous à la base. Une restauration réussie mais inexploitable n'est pas réussie.
Chronométrer
Notez la durée totale et comparez-la à votre RTO. C'est souvent là que les mauvaises surprises apparaissent.
Consigner
Date, ce qui a été testé, durée, écarts constatés, actions correctives. Ce document est aussi celui que demanderont un assureur ou un client exigeant.
Recommencer
Fixez une fréquence par écrit : plus rapprochée pour les fichiers du quotidien, plus espacée pour une restauration complète, et systématique après un changement important d'infrastructure.
Questions à poser à votre prestataire
- Qu'est-ce qui est sauvegardé, et qu'est-ce qui ne l'est pas ?
- Où se trouvent les copies, et quelles sont celles qui sont hors site ?
- Une copie est-elle immuable ou hors ligne ? Comment est-ce garanti ?
- Qui reçoit les alertes en cas d'échec, et en combien de temps sont-elles traitées ?
- Quand la dernière restauration a-t-elle été testée, et avec quel résultat ?
- Quel délai de restauration est annoncé pour un fichier, pour un serveur ?
- À la fin du contrat, comment récupère-t-on les données et les clés de chiffrement ?
Questions fréquentes
Le cloud suffit-il ?
Un service en ligne de synchronisation n'est pas une sauvegarde. Un service de sauvegarde en ligne l'est, à condition qu'il conserve un historique, qu'il soit protégé contre la suppression et qu'il ait été testé.
À quelle fréquence sauvegarder ?
Cela dépend de ce que vous acceptez de perdre (le RPO). Une sauvegarde de nuit protège des pertes d'une journée au maximum ; si c'est trop, il faut des sauvegardes plus fréquentes pour les données qui changent vite.
Sources et références
Sources consultées le 27 septembre 2026 :
- CNIL, Sécurité : Sauvegarder (page du 14 mars 2024)
- CISA, Back Up Business Data (en anglais)
- CISA, #StopRansomware Guide (en anglais)
- NIST, Recovery Point Objective (en anglais)
- NIST, Recovery Time Objective (en anglais)
Les recommandations et les pages des éditeurs évoluent : vérifiez-les avant d'agir. Certaines de ces sources portent sur le cadre légal ou réglementaire : elles ne remplacent pas un avis juridique.
Pour aller plus loin
Autres guides, modèles d'e-mails et réponses de la FAQ sur le même sujet.
Service : choisir une solution de sauvegarde→
Plan de reprise d'activité→
Pourquoi sauvegarder Microsoft 365→
Modèle d'e-mail : rapport de vérification des sauvegardes→
Modèle d'e-mail : demander une restauration→
Lexique : sauvegarde→
Départ d'un collaborateur : la checklist informatique→
Tous les guides pratiques Evoir→
Votre sauvegarde a-t-elle été restaurée récemment ?
Evoir accompagne les PME de Paris et d'Île-de-France sur leurs sauvegardes et leurs restaurations. Demandez un audit gratuit ou contactez-nous.
Une question ? Parlons-en directement.
Nos équipes répondent du lundi au vendredi, 9h15–18h30. Pas de standard, pas d'attente.