Sauvegarde cloud en entreprise : comment sécuriser ses données et choisir une solution souveraine

Pour une entreprise, la perte de données peut entraîner des jours d’arrêt d'activité, des sanctions financières majeures (RGPD) et, dans les cas les plus graves, une cessation d'activité. La sauvegarde cloud constitue le socle technique indispensable pour parer à ces risques, à condition d'en maîtriser la logique et les exigences.

Définition et Distinction des Usages

La sauvegarde cloud (ou cloud backup) consiste à copier automatiquement et régulièrement des données vers une infrastructure distante. Son objectif unique est la restauration en cas d'incident. Il convient de ne pas la confondre avec d'autres notions :

• Le Stockage : Espace où vivent les données actives du quotidien (serveurs, espaces collaboratifs, bases de données).

• La Sauvegarde : Copie de sécurité rejouable, conservée sur une période courte à moyenne pour restaurer des éléments perdus.

• L’Archivage : Conservation à long terme de données figées pour répondre à des obligations légales ou métiers. L'archivage à valeur probante y ajoute l'horodatage et l'intégrité pour garantir la valeur juridique du document.

Les Données à Sauvegarder en Priorité

• Les données métier critiques : ERP, CRM, comptabilité, fichiers clients et propriété intellectuelle.

• Les applications et serveurs : Sauvegardes de type image (bare-metal) pour restaurer un système entier en cas de crash.

• Les données SaaS : Espaces Microsoft 365 ou Google Workspace. Les éditeurs garantissent la disponibilité de leurs plateformes, mais pas la récupération de vos fichiers supprimés ou chiffrés.

• Les données réglementées : Registres RGPD, données de santé (exigeant la certification obligatoire HDS) et pièces comptables.

Méthodes de Sauvegarde et Modèles Cloud

• Types de sauvegarde : La méthode complète copie l'intégralité des données. L'image incrémentielle ne sauvegarde que les éléments modifiés depuis la dernière sauvegarde (rapide mais restauration plus complexe). La différentielle sauvegarde les modifications depuis la dernière complète. En pratique, une stratégie efficace combine une complète hebdomadaire/mensuelle avec des incrémentielles quotidiennes.

• Cloud Public : Économique et flexible, adapté aux données non sensibles.

• Cloud Privé : Infrastructure dédiée, offrant un contrôle et un audit renforcés pour les données stratégiques.

• Cloud Hybride : Modèle le plus répandu, associant le cloud privé pour le cœur de métier et le cloud public pour les usages génériques ou le second niveau de sauvegarde.

L’Enjeu du Cloud Souverain et de la Juridiction

Héberger des données sur le sol européen via un acteur américain (hyperscaler) ne suffit pas à les protéger. Le Cloud Act américain autorise en effet les autorités des États-Unis à exiger l'accès aux données gérées par une entreprise américaine, quel que soit le lieu de stockage.

• Cloud Souverain : Infrastructure dont l'opérateur, les data centers et le personnel relèvent exclusivement de la juridiction française ou européenne.

• Label SecNumCloud : Délivré par l'ANSSI, ce visa atteste d'une sécurité technique élevée et d'une immunité totale face aux lois extraterritoriales (ex. OVHcloud, 3DS Outscale).

Critères de Sécurité d'une Sauvegarde Efficace

• Chiffrement de bout en bout : Données chiffrées en transit (TLS 1.2/1.3) et au repos (AES-256), avec la clé détenue exclusivement par l'entreprise client.

• Évolution vers la règle 3-2-1-1-0 : Conserver 3 copies de données sur 2 supports différents, dont 1 hors site, 1 copie immuable (hors ligne) et 0 erreur lors des tests.

• Immutabilité anti-ransomware : Rendre les copies temporairement inaltérables et insupprimables pour empêcher les cyberattaquants de détruire vos sauvegardes.

• Authentification et contrôle d'accès : Imposer le MFA pour tous les accès d'administration et appliquer le principe du moindre privilège.

• Tests de restauration réguliers : Une sauvegarde non testée n'offre aucune garantie. Des simulations de restauration partielle et globale doivent être exécutées et documentées de façon trimestrielle.