Sauvegarde NAS en PME : le vrai test, c’est la reprise d’activité
Sauvegarde NAS en PME : le vrai test, c’est la reprise d’activité
Un NAS ne suffit pas à protéger une PME contre la perte de données. Il centralise les fichiers ; une sauvegarde conserve des copies récupérables. La preuve utile pour le dirigeant est un test de restauration : récupérer les bonnes données, rétablir les accès et reprendre un travail réel dans un délai acceptable.
Lundi matin, le dossier partagé est inaccessible. Les disques étaient surveillés, les tâches de copie affichaient du vert. Pourtant, personne ne sait remettre l’équipe au travail. Le problème n’est plus la capacité de stockage : c’est le temps pendant lequel les devis, la préparation des commandes ou les dossiers clients restent bloqués.
Ce scénario est illustratif, pas un cas client. Il permet de poser la bonne question avant d’acheter un NAS ou de recycler un ordinateur : quel travail devons-nous pouvoir reprendre si ce stockage disparaît ?
Pourquoi le NAS, le RAID et la synchronisation ne suffisent-ils pas ?
Un NAS est un équipement de stockage accessible sur le réseau. Le RAID organise plusieurs disques et peut, selon sa configuration, maintenir le service après certaines pannes matérielles. La synchronisation répercute des changements entre emplacements. Aucun de ces mécanismes ne garantit, seul, le retour à une version saine après un effacement ou une attaque.
Une suppression peut être répliquée. Des fichiers chiffrés par un rançongiciel peuvent remplacer les bonnes versions. Un compte disposant de droits trop larges peut atteindre les données et leurs copies. Multiplier les disques sans séparer les risques peut donc donner une impression de sécurité trompeuse.
Pour choisir le matériel et les usages, notre guide pour transformer un vieux PC en NAS traite le stockage partagé. Ici, la décision est différente : organiser la reprise quand ce stockage n’est plus disponible ou digne de confiance.
Quelle sauvegarde protège réellement l’activité ?
La règle 3-2-1 est un repère : trois copies des données, sur deux types de supports, dont une hors site. Mais la distance géographique ne suffit pas. Une copie externe que le même compte compromis peut effacer reste exposée. Il faut aussi examiner les droits, les versions conservées et l’isolation.
Cybermalveillance.gouv.fr, dans ses bonnes pratiques mises à jour le 14 septembre 2026, recommande notamment des copies sur différents supports, une conservation dans un autre lieu, la déconnexion des supports après usage et des tests réguliers. Ce sont des protections complémentaires, pas des options interchangeables.
Une copie hors ligne réduit l’exposition à une attaque du réseau. Une protection d’immutabilité peut empêcher la modification ou la suppression pendant une durée définie, sous réserve de sa configuration et de ses limites. Le cloud peut faire partie du dispositif ; il faut vérifier ce que le contrat couvre, qui peut supprimer les copies et comment les récupérer.
L’ANSSI, dans son essentiel sur la sauvegarde des systèmes d’information de décembre 2023, recommande explicitement des sauvegardes hors ligne et une infrastructure de sauvegarde indépendante des annuaires de production. Une simple synchronisation cloud ne démontre pas cette indépendance.
Combien de données et de temps pouvez-vous perdre ?
Avant de comparer des offres, la direction doit fixer deux objectifs. Le RPO décrit la perte de données maximale acceptable, exprimée en durée. Le RTO décrit le délai cible de rétablissement. Ces objectifs orientent la fréquence des sauvegardes, les moyens de restauration et le budget ; ils ne prouvent pas que l’installation les respecte.
Prenons une PME qui accepte, pour un dossier de devis, de ressaisir les modifications depuis la veille et de reprendre dans la journée. Une activité de commandes en continu pourrait refuser cette même perte. Ce sont deux exemples de cadrage, pas des seuils recommandés pour toutes les entreprises.
Le bon arbitrage se fait processus par processus. Quelqu’un peut-il travailler en mode dégradé ? Les dernières commandes sont-elles reconstituables ? Qui autorise la remise en service ? Sans ces réponses, acheter une sauvegarde « plus rapide » ne dit pas quel blocage elle résout.
Comment tester une restauration sans perturber la production ?
Commencez par un périmètre limité dans un environnement séparé. Le test doit aller jusqu’à un geste métier : ouvrir le dossier restauré avec le bon logiciel, retrouver une version attendue et vérifier que le bon utilisateur peut travailler, sans donner accès aux autres dossiers.
- Choisir un processus critique : par exemple préparer un devis à partir d’un dossier partagé.
- Définir le scénario : fichier supprimé, NAS indisponible ou accès administrateur compromis. Chaque scénario révèle des dépendances différentes.
- Restaurer une copie connue : relever sa date, le temps nécessaire et les éléments manquants, sans écraser les données en service.
- Faire valider par le métier : le document s’ouvre-t-il, les pièces jointes sont-elles présentes, les droits sont-ils corrects ?
- Consigner le résultat : objectif atteint ou non, responsable de la correction et date du prochain essai.
Restaurer les fichiers ne rétablit pas forcément l’application qui les exploite. L’ANSSI demande aussi de prévoir les configurations et les médias d’installation des applications métier. Si votre activité dépend d’un ERP, la reprise du système métier doit donc inclure ses dépendances, pas seulement ses exports.
Après une cyberattaque, le test courant ne suffit plus. Une sauvegarde peut contenir des éléments compromis. La restauration doit alors être coordonnée avec la réponse à incident, à partir de sources de confiance et après contrôles. Ne reconnectez pas précipitamment une copie au système attaqué.
Qui porte la preuve de reprise dans une petite équipe ?
Le prestataire peut surveiller les sauvegardes ; le responsable métier doit confirmer que le travail reprend. La direction accepte le délai et la perte résiduelle. Attribuer ces rôles évite qu’un rapport technique « réussi » soit pris pour une validation de continuité d’activité.
Gardez une fiche courte : processus couvert, emplacement des copies, accès de secours, dernier essai, délai mesuré et réserve éventuelle. Les alertes de sauvegarde alimentent cette fiche, mais elles ne remplacent pas l’essai. Réévaluez le dispositif après un changement important de logiciel, de volume ou d’organisation.
Le Say Digital Framework applique ici une discipline concrète : cadrer un processus, prototyper sa restauration, recueillir une preuve métier, puis étendre la solution. Les changements passent par des tests et une livraison contrôlée ; lorsque des composants logiciels sont concernés, la CI/CD soutient ces contrôles. La mesure porte sur la reprise obtenue, pas sur le nombre de tâches automatisées.
Les questions à trancher avant le prochain investissement
- Quel processus devient impossible si le NAS disparaît ?
- Quelle copie survit à la perte du site ou à la compromission du compte principal ?
- Peut-on retrouver une version antérieure à l’incident ?
- Les applications, configurations, droits et moyens d’accès sont-ils récupérables ?
- Un utilisateur métier a-t-il réellement validé la dernière restauration ?
Faire vérifier votre capacité de reprise. Say Digital peut cadrer un premier processus critique, examiner les dépendances et organiser une restauration testée avant d’étendre le dispositif. Parlons du travail qui doit pouvoir reprendre, puis des outils nécessaires pour respecter les objectifs convenus.
Sources
Sources consultées le 15 octobre 2026. Les recommandations de cadrage et les exemples de cet article sont une synthèse Say Digital, pas une certification de votre installation.
- Cybermalveillance.gouv.fr — Pourquoi et comment bien gérer ses sauvegardes ? Mise à jour : 14 septembre 2026.
- ANSSI — Sauvegarde des systèmes d’information, collection Les essentiels, version 1.1, décembre 2023.
