Backup cloud et continuité d'activité : pourquoi confondre les deux peut coûter très cher à votre PME

Il existe une idée reçue particulièrement répandue dans les PME françaises : dès lors qu'un outil de sauvegarde cloud tourne en arrière-plan, l'entreprise est protégée. Les données sont copiées quelque part sur des serveurs distants, et en cas de problème, il suffira de « restaurer ». Cette logique, rassurante en apparence, cache une réalité bien plus complexe — et bien plus risquée.

La différence entre une sauvegarde et un plan de continuité d'activité n'est pas qu'une question de terminologie technique. C'est une distinction stratégique qui, lorsqu'elle est ignorée, peut condamner une entreprise à plusieurs jours — voire plusieurs semaines — d'interruption totale.

Ce qu'une sauvegarde cloud fait réellement (et ce qu'elle ne fait pas)

Une sauvegarde cloud, dans sa forme la plus courante, copie vos fichiers ou vos bases de données à intervalles réguliers vers un espace de stockage distant. C'est une protection contre la perte de données brutes : un fichier supprimé par erreur, un disque dur défaillant, un poste de travail volé.

Mais voici ce qu'elle ne couvre pas :

• Le temps de remise en service : restaurer 500 Go de données sur un nouveau serveur peut prendre de 4 à 24 heures, selon la bande passante et la configuration matérielle.
• La cohérence des données : si votre ERP sauvegarde ses fichiers de manière asynchrone, il est possible que la restauration produise un état incohérent — des commandes enregistrées sans les factures correspondantes, par exemple.
• La continuité des accès : vos collaborateurs peuvent-ils travailler pendant la restauration ? Depuis quel poste, avec quelles autorisations ?
• Les ransomwares : dans de nombreux cas, les logiciels malveillants chiffrent également les sauvegardes synchronisées en temps réel. Si votre backup est connecté en permanence à votre réseau, il peut lui aussi être compromis.

Une entreprise de négoce basée en Rhône-Alpes l'a appris à ses dépens en 2022 : après une attaque par rançongiciel, son prestataire informatique a constaté que les sauvegardes automatiques des 72 dernières heures étaient elles aussi chiffrées. Le retour à la normale a pris onze jours ouvrés.

La continuité d'activité : une démarche, pas un outil

Un plan de continuité d'activité (PCA) — ou Business Continuity Plan dans la terminologie anglo-saxonne — est une démarche organisationnelle qui répond à une question précise : comment mon entreprise continue-t-elle à fonctionner, même dégradée, en cas de sinistre majeur ?

Cela implique de répondre à plusieurs questions concrètes avant que le problème ne survienne :

1. Quels sont mes processus critiques ? Facturation, gestion des commandes, communication client — par ordre de priorité.
2. Quel est mon RTO acceptable ? Le Recovery Time Objective désigne le délai maximum tolérable avant que l'activité ne reprenne. Pour certaines PME, c'est 4 heures. Pour d'autres, 48 heures suffisent.
3. Quel est mon RPO acceptable ? Le Recovery Point Objective définit jusqu'à quel point dans le passé vous pouvez revenir sans dommage critique. Perdre 1 heure de données est-il acceptable ? 24 heures ?
4. Qui fait quoi en cas de crise ? Les responsabilités doivent être clairement définies, documentées, et connues de tous les acteurs concernés.

Ces questions paraissent simples. Elles sont pourtant rarement formalisées dans les PME de moins de 50 salariés.

Les erreurs les plus fréquentes observées sur le terrain

Faire confiance aux backups sans jamais les tester

C'est l'erreur numéro un. Une sauvegarde dont on n'a jamais vérifié la restauration est une sauvegarde dont on ignore si elle fonctionne réellement. Les tests de restauration doivent être planifiés — au moins une fois par trimestre pour les données critiques — et documentés.

Une PME industrielle de la région lyonnaise a découvert lors d'un test de restauration que ses sauvegardes nocturnes échouaient silencieusement depuis quatre mois. Aucune alerte n'avait été configurée pour signaler l'échec.

Stocker les sauvegardes sur le même réseau que la production

Une sauvegarde accessible en permanence depuis le réseau de l'entreprise est vulnérable aux mêmes menaces que vos données de production. La règle du 3-2-1 reste un standard pertinent : 3 copies des données, sur 2 supports différents, dont 1 hors site et idéalement hors ligne (air-gapped).

Négliger les applications métier au profit des fichiers

Sauvegarder des fichiers Word et Excel, c'est bien. Mais si votre logiciel de gestion commerciale ou votre CRM ne peut pas être réinstallé et reconfiguré rapidement — avec toutes ses dépendances, ses licences, ses paramètres spécifiques — la restauration des données brutes ne servira à rien.

Confier la stratégie uniquement à un prestataire externe sans suivi interne

Externaliser la gestion des sauvegardes est une décision raisonnable. Mais déléguer entièrement la réflexion stratégique à un prestataire, sans référent interne capable de poser les bonnes questions, expose l'entreprise à des angles morts. Le prestataire connaît la technique ; vous seul connaissez vos priorités métier.

Comment construire une stratégie réaliste sans budget excessif

Bonne nouvelle : un plan de continuité d'activité efficace ne requiert pas des investissements disproportionnés. Voici une approche progressive adaptée aux PME françaises :

Étape 1 — Cartographier les actifs critiques. Listez les systèmes, applications et données sans lesquels votre activité s'arrête dans les 4 premières heures. Concentrez vos efforts de protection sur cette liste restreinte.

Étape 2 — Définir vos RTO et RPO par système. Pour chaque actif critique, fixez des objectifs réalistes. Un ERP peut tolérer un RTO de 24 heures ; votre messagerie professionnelle, peut-être pas.

Étape 3 — Mettre en place une sauvegarde isolée. Configurez au moins une copie de vos données critiques sur un support non connecté en permanence à votre réseau — un stockage objet cloud avec versioning activé et accès restreint, ou un disque externe conservé hors site.

Étape 4 — Documenter les procédures de restauration. Chaque procédure doit pouvoir être exécutée par une personne qui n'a pas participé à sa conception. Simplicité et clarté sont essentielles.

Étape 5 — Tester, corriger, répéter. Planifiez un exercice de restauration annuel minimum, avec compte-rendu formalisé. Les écarts identifiés doivent déclencher des actions correctives.

Ce que les référentiels français recommandent

L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) publie des guides pratiques sur la continuité d'activité, accessibles gratuitement et conçus pour des structures de taille intermédiaire. Le guide « Continuité d'activité et cybersécurité » constitue un point de départ sérieux pour toute PME souhaitant structurer sa démarche sans partir de zéro.

Certaines assurances cyber proposent également des accompagnements à la mise en conformité dans le cadre de leurs contrats — un levier souvent sous-exploité.

En conclusion

La sauvegarde cloud est un composant nécessaire d'une stratégie de protection des données. Elle n'en est pas la totalité. Confondre l'outil avec la démarche, c'est s'exposer à découvrir ses lacunes au pire moment possible — en pleine crise.

Pour les dirigeants de PME françaises, l'enjeu n'est pas de devenir expert en cybersécurité, mais de poser les bonnes questions, de tester régulièrement ce qui est censé fonctionner, et de s'assurer que les décisions techniques sont alignées sur les réalités opérationnelles de l'entreprise. C'est précisément ce que Ma Solution Numérique s'efforce d'accompagner au quotidien.