Accueil › Sécurité › Sauvegarde et résilience

Sauvegarde et résilience

Guide Par Nicolas Poirier Lecture 9 min Publié le 8 septembre 2026

Une sauvegarde n'existe que si sa restauration a été testée. Tant que personne n'a remis en service un fichier depuis les copies, vous ne possédez pas une garantie mais une hypothèse. C'est la phrase à retenir de ce guide, et c'est celle que les organisations découvrent au plus mauvais moment.

Le deuxième malentendu tient à la confusion entre redondance et sauvegarde. La redondance recopie l'état actuel en permanence : elle vous sauve d'un disque mort. Elle recopie tout aussi fidèlement une suppression accidentelle ou un chiffrement par rançongiciel. Seule une sauvegarde, c'est-à-dire un état passé et figé, permet de revenir en arrière.

Ce guide part des quatre façons de perdre des données, présente la règle 3-2-1 qui les traite une par une, puis introduit les deux nombres qui déterminent le coût de toute la stratégie : le RPO et le RTO. Il se termine par une méthode de test en quatre étapes.

Les quatre façons de perdre des données

Chacune appelle une parade différente, et c'est pour cette raison qu'une seule mesure ne suffit jamais.

Cause	Exemple typique	Ce qui protège
Panne matérielle	Un disque cesse de répondre	La redondance, en temps réel
Erreur humaine	Un dossier supprimé, un script lancé sur la mauvaise base	La sauvegarde, avec un historique suffisant
Attaque	Un rançongiciel chiffre les fichiers accessibles	Une copie isolée du réseau ou non modifiable
Sinistre du site	Incendie, inondation, coupure prolongée	Une copie hors site, dans un autre bâtiment

Une seule de ces causes est couverte par la réplication automatique de votre hébergeur. Les trois autres relèvent d'une décision que vous seul pouvez prendre, comme le rappelle notre guide sur la responsabilité partagée.

La règle 3-2-1, et sa version étendue

Que dit la règle 3-2-1 ?

Elle demande trois copies des données, sur deux types de supports différents, dont une copie hors site. Le chiffre trois inclut l'original : vous avez donc les données de production et deux copies. Les deux supports différents évitent qu'un même défaut de série ou une même erreur logicielle n'emporte tout.

Que rajoute la version 3-2-1-1-0 ?

Deux exigences apparues avec les rançongiciels. Le premier « 1 » supplémentaire demande une copie hors ligne, ou rendue non modifiable pendant une durée fixée. Le « 0 » demande zéro erreur au test de restauration, c'est-à-dire un test réellement effectué et réellement concluant.

RPO et RTO : les deux nombres qui décident

Qu'est-ce que le RPO ?

Le RPO, ou objectif de point de reprise, mesure la quantité de travail que vous acceptez de perdre. Un RPO de 24 heures signifie qu'un incident peut effacer la dernière journée. Un RPO de 15 minutes suppose une sauvegarde quasi continue, donc une architecture plus coûteuse.

Qu'est-ce que le RTO ?

Le RTO, ou objectif de temps de reprise, mesure la durée d'interruption acceptable. Restaurer plusieurs téraoctets depuis un stockage distant peut prendre des heures, parfois davantage. Un RTO de deux heures impose donc des choix techniques précis, pas seulement une bonne volonté.

Ces deux nombres se décident avec le métier, jamais par la technique seule. La question à poser est simple : combien de temps l'activité peut-elle tourner sans ce système, et combien d'heures de travail peut-on refaire à la main ?

Type de données	RPO courant	RTO courant
Documents bureautiques	24 heures	Un jour ouvré
Site web éditorial	24 heures	Quelques heures
Commandes et facturation	Moins d'une heure	Quelques heures
Production industrielle	Quelques minutes	Moins d'une heure

Ces ordres de grandeur sont indicatifs. Ils servent à situer une discussion, pas à remplacer l'analyse de votre propre activité.

Ce qui fait échouer une restauration

• La sauvegarde vivait dans le même compte. Mêmes identifiants, mêmes droits, même incident. C'est l'erreur la plus fréquente et la plus définitive.
• La rétention était trop courte. Une corruption découverte au bout de cinq semaines ne se répare pas avec sept jours d'historique.
• La base de données a été copiée à chaud. Sauvegarder les fichiers d'une base en cours d'écriture produit souvent une copie incohérente, illisible au moment de la restauration.
• Personne n'avait la procédure. La restauration dépendait d'une personne en vacances, ou d'un mot de passe stocké dans le système tombé en panne.
• La restauration n'avait jamais été chronométrée. Le RTO annoncé était une estimation, et la réalité s'est révélée quatre fois plus longue.

Tester en quatre étapes

1. Choisir une cible réelle. Un fichier ou une base que quelqu'un utilise vraiment, pas un jeu de test créé pour l'occasion.
2. Restaurer ailleurs. Sur un environnement séparé, pour ne pas écraser la production pendant l'exercice.
3. Chronométrer, du début à la fin. Depuis la décision de restaurer jusqu'à la vérification du contenu. C'est ce chiffre qui vaut RTO, pas celui de la brochure.
4. Écrire ce qui a coincé. Un accès manquant, une étape oubliée, un mot de passe introuvable. La procédure corrigée est le vrai livrable du test.

Cet exercice prend une demi-journée. Il vaut mieux le découvrir un mardi matin choisi que la nuit d'un incident.

Questions fréquentes

Quelle est la différence entre sauvegarde et redondance ?

La redondance duplique l'état actuel en temps réel et protège d'une panne matérielle. La sauvegarde conserve des états passés, figés, et protège d'une erreur humaine ou d'une attaque. La première recopie fidèlement une suppression, la seconde permet de revenir en arrière. Les deux sont nécessaires et aucune ne remplace l'autre.

Qu'est-ce que la règle 3-2-1 ?

Elle demande trois copies des données, sur deux types de supports différents, dont une copie hors site. Une version étendue, dite 3-2-1-1-0, ajoute une copie hors ligne ou non modifiable, et zéro erreur lors du test de restauration. Chaque chiffre traite un risque distinct : la panne, le sinistre du bâtiment et l'attaque informatique.

Que signifient RPO et RTO ?

Le RPO est la quantité de travail que vous acceptez de perdre, mesurée en temps : un RPO de 24 heures signifie qu'un incident peut effacer la dernière journée. Le RTO est la durée d'interruption acceptable avant le retour à la normale. Ces deux nombres, décidés par le métier et non par la technique, déterminent le coût de toute la solution.

Une sauvegarde dans le cloud est-elle suffisante ?

Seulement si elle échappe au système qu'elle protège. Une sauvegarde stockée dans le même compte, accessible avec les mêmes identifiants, tombe avec lui : un attaquant qui obtient un accès administrateur efface d'abord les sauvegardes. Isolez-les dans un compte distinct, avec des droits séparés et si possible une rétention non modifiable.

À quelle fréquence faut-il tester une restauration ?

Au moins deux fois par an, et après tout changement majeur d'architecture. Le test doit porter sur une restauration réelle, chronométrée, réalisée par quelqu'un qui suit la procédure écrite sans improviser. Un jeu de sauvegardes jamais restauré n'est pas une garantie, c'est une hypothèse que l'incident se chargera de vérifier.

Combien de temps faut-il conserver ses sauvegardes ?

Assez longtemps pour couvrir le délai de découverte d'un problème. Une corruption de données ou un chiffrement discret peut passer inaperçu plusieurs semaines. Une rétention de sept jours ne protège donc pas contre un incident détecté au bout d'un mois. Prévoyez des copies quotidiennes récentes, plus des copies mensuelles conservées bien plus longtemps.