Sauvegarde informatique
La sauvegarde informatique (en anglais backup) désigne l'ensemble des opérations permettant de copier et de conserver des données numériques sur un support distinct du support d'origine, en vue de les restaurer en cas de perte, d'altération ou de destruction. Elle constitue un pilier fondamental de la cybersécurité et de la résilience des systèmes d'information, aussi bien pour les particuliers que pour les organisations. Face à la progression des ransomwares, aux pannes matérielles et aux erreurs humaines, une stratégie de sauvegarde structurée est une condition nécessaire à la continuité numérique.
Définition et principes fondamentaux
Une sauvegarde consiste à reproduire, à un instant donné, tout ou partie des données d'un système informatique sur un support ou un emplacement distinct du support d'origine. L'objectif est double : permettre la récupération des données après un incident (destruction, corruption, vol, chiffrement malveillant) et assurer la continuité de l'activité dans des délais acceptables.
Deux paramètres définissent toute stratégie de sauvegarde :
- l'Objectif de point de reprise (RPO, Recovery Point Objective) : la durée maximale de perte de données acceptable, c'est-à-dire l'ancienneté maximale de la dernière sauvegarde exploitable. Un RPO de 4 heures signifie qu'on tolère de perdre au plus 4 heures de travail.
- l'Objectif de temps de reprise (RTO, Recovery Time Objective) : le délai maximal acceptable entre l'incident et la reprise normale des opérations.
Ces deux indicateurs sont établis lors de l'Analyse d'impact sur l'activité (BIA, Business Impact Analysis) et guident le choix des solutions techniques. Un RPO nul nécessite une réplication synchrone en temps réel ; un RTO de quelques minutes impose un Site de repli informatique préchauffé.
Types de sauvegardes
Sauvegarde complète
La sauvegarde complète (full backup) copie l'intégralité des données sélectionnées à chaque exécution. Elle produit le jeu de données le plus simple à restaurer — une seule archive suffit — mais consomme le plus d'espace de stockage et mobilise le plus de temps machine. Elle sert de référence de base aux sauvegardes incrémentielle et différentielle.
Sauvegarde incrémentielle
La sauvegarde incrémentielle ne copie que les données modifiées ou créées depuis la dernière sauvegarde, qu'elle soit complète ou incrémentielle précédente. Elle minimise le volume transféré et la durée d'exécution, mais complique la restauration : celle-ci requiert la dernière sauvegarde complète et l'ensemble des sauvegardes incrémentielle intermédiaires, dans l'ordre chronologique.
Sauvegarde différentielle
La sauvegarde différentielle copie toutes les données modifiées depuis la dernière sauvegarde complète, quelle que soit la fréquence des sauvegardes intermédiaires. Elle est intermédiaire entre les deux approches : plus volumineuse qu'une incrémentielle (elle accumule les modifications depuis la complète), mais plus rapide à restaurer (seules deux archives sont nécessaires : la complète et la dernière différentielle).
Sauvegarde en miroir et réplication
La réplication maintient une copie synchronisée du système source, en mode synchrone (écriture confirmée seulement quand les deux sites ont enregistré la donnée) ou asynchrone (tolérance à un décalage temporel). Elle minimise le RPO jusqu'à quelques secondes, mais ne protège pas contre les suppressions accidentelles ou les corruptions logiques propagées instantanément vers la cible.
Sauvegarde à chaud et à froid
Une sauvegarde à chaud (hot backup) est réalisée pendant que le système est en fonctionnement, sans interruption de service, grâce à des mécanismes de snapshot ou de journalisation. Une sauvegarde à froid (cold backup) nécessite l'arrêt préalable du système. Les bases de données volumineuses privilégient la sauvegarde à chaud pour supprimer toute fenêtre d'indisponibilité.
Supports et médias de stockage
Disques durs et SSD
Les disques durs magnétiques (HDD) et les disques SSD (Solid State Drive) sont les supports les plus courants pour les sauvegardes locales. Les NAS (Network Attached Storage) centralisent les sauvegardes sur un équipement dédié accessible par le réseau local. Les SSD offrent des vitesses de lecture et d'écriture nettement supérieures aux HDD (jusqu'à 7 Go/s en NVMe contre 150 à 200 Mo/s en SATA HDD), mais à un coût au téraoctet deux à quatre fois supérieur.
Bandes magnétiques
Malgré leur ancienneté, les bandes magnétiques (technologie LTO — Linear Tape-Open) restent largement déployées en entreprise pour l'archivage à long terme et les volumes massifs. LTO-9, lancé en 2021, offre une capacité native de 18 To par cartouche, extensible à 45 To en compression. Le coût au téraoctet est de 3 à 10 fois inférieur au disque, et les cartouches peuvent être stockées hors site, loin des infrastructures primaires. La génération LTO-10 est prévue à 36 To natifs.
Stockage en nuage
Le stockage en nuage (cloud storage) externalise les sauvegardes vers des centres de données tiers géographiquement répartis. Amazon S3 (AWS), Azure Blob Storage (Microsoft) et Google Cloud Storage proposent des classes de stockage graduées selon la fréquence d'accès (Standard, Infrequent Access, Glacier pour les archives froides). Le stockage objet (object storage) est devenu le paradigme dominant pour les sauvegardes cloud, grâce à sa scalabilité et son modèle de facturation à la consommation. La sécurité des données sauvegardées dans le cloud implique un chiffrement systématique en transit (TLS 1.2 minimum) et au repos (AES-256).
Supports optiques
Les supports optiques (Blu-ray BD-R M-DISC) sont utilisés à la marge pour l'archivage à très long terme de petits volumes. Leur durée de vie théorique atteint 100 à 1 000 ans dans des conditions de conservation optimales (obscurité, température stable, faible hygrométrie), contre 10 à 30 ans pour les disques durs.
La règle 3-2-1
La Règle 3-2-1 est une stratégie recommandée par de nombreux experts et par l'ANSSI dans ses guides de bonnes pratiques :
- 3 copies des données (l'originale et 2 sauvegardes) ;
- 2 supports ou technologies différents (par exemple : disque local + NAS) ;
- 1 copie hors site (offsite), géographiquement distante ou dans le nuage.
Cette règle élimine les points uniques de défaillance : une catastrophe physique (incendie, inondation) ne peut pas simultanément détruire deux supports de natures différentes, dont l'un est distant. Une variante récente, la règle 3-2-1-1-0, ajoute :
- 1 copie immuable (immutable backup, technologie WORM — Write Once, Read Many, non modifiable même par un administrateur) ;
- 0 erreur vérifiée lors des tests de restauration réguliers.
L'immuabilité est désormais considérée comme une mesure essentielle contre les ransomwares, qui ciblent en priorité les sauvegardes accessibles sur le réseau avant de chiffrer les données primaires.
Stratégies et bonnes pratiques
Planification des sauvegardes
La fréquence et la durée de rétention des sauvegardes doivent être calées sur le RPO et les obligations légales. Un schéma courant en entreprise combine :
| Type | Fréquence typique | Rétention typique |
|---|---|---|
| Complète | Hebdomadaire (dimanche) | 4 à 8 semaines |
| Différentielle | Quotidienne | 1 à 2 semaines |
| Incrémentielle | Toutes les heures | 24 à 72 heures |
| Archivage mensuel | Mensuelle | 1 à 7 ans |
| Archivage annuel | Annuelle | 7 à 10 ans ou plus |
Tests de restauration
Une sauvegarde dont la restauration n'a jamais été testée n'offre aucune garantie opérationnelle. Les organisations planifient des exercices de restauration réguliers — mensuels ou trimestriels — pour vérifier l'intégrité des données, la cohérence des applications et le respect des objectifs RTO/RPO. Sans test, un taux d'échec à la restauration de 20 à 30 % est observé dans les audits sectoriels.
Air gap et isolation réseau
L'air gap désigne l'isolation physique ou logique d'une sauvegarde par rapport au réseau de production. Une sauvegarde sur bande stockée hors site constitue un air gap naturel. Cette isolation est la protection la plus robuste contre les ransomwares et les cyberattaques qui se propagent via le réseau. Les solutions modernes d'air gap logique (logical air gap) utilisent des barrières réseau à sens unique ou des règles de pare-feu restrictives sur le sous-réseau de sauvegarde.
Déduplication et compression
La Déduplication de données supprime les blocs de données identiques au sein d'un jeu de sauvegardes, réduisant l'espace de stockage consommé de 20 à 90 % selon la nature des données (les bases de données présentent peu de redondance, les systèmes de fichiers bureautiques beaucoup). Combinée à la compression (LZ4, Zstandard), elle réduit les coûts de stockage et les durées de transfert réseau. Les plateformes comme Veeam Backup & Replication ou Commvault intègrent ces mécanismes nativement.
Sauvegarde en entreprise
Intégration dans les plans de continuité
En entreprise, la sauvegarde s'inscrit dans le cadre du Plan de continuité d'activité (PCA) et du Plan de reprise d'activité informatique (PRA). Ces plans définissent les procédures à suivre en cas de sinistre majeur (incendie, inondation, ransomware généralisé) pour restaurer les systèmes critiques dans les délais fixés par le RTO. Certaines organisations disposent d'un Site de repli informatique maintenu en configuration miroir (hot standby) ou en configuration froide (cold standby, démarrage en quelques heures).
Architectures de sauvegarde d'entreprise
Les solutions d'entreprise reposent sur plusieurs architectures :
- Sauvegarde LAN : des agents installés sur chaque serveur transmettent les données au serveur de sauvegarde via le réseau local d'entreprise.
- Sauvegarde SAN (Storage Area Network) : les données transitent par un réseau de stockage dédié, sans impact sur le réseau de production.
- Sauvegarde sans agent (agentless) : utilisée dans les environnements virtualisés (VMware vSphere, Microsoft Hyper-V), elle exploite les API de l'hyperviseur pour capturer des snapshots cohérents des machines virtuelles.
- Sauvegarde en nuage hybride (hybrid cloud backup) : copie locale pour une restauration rapide, copie distante dans le cloud pour la protection hors site.
Sauvegarde des environnements cloud
La migration vers le cloud ne dispense pas de sauvegarder les données applicatives. Le Modèle de responsabilité partagée des fournisseurs cloud stipule que la protection des données métier reste à la charge du client, même si l'infrastructure sous-jacente est gérée par le fournisseur. Les services SaaS (Microsoft 365, Salesforce, Google Workspace) offrent généralement une rétention native limitée à 30 ou 93 jours selon les éditeurs, insuffisante pour les besoins d'archivage réglementaire ou de litiges.
Chiffrement et sécurité des sauvegardes
Le chiffrement des sauvegardes protège les données sensibles contre les accès non autorisés en cas de vol de support physique ou d'intrusion dans un environnement cloud. Les standards utilisés sont AES-256 pour le chiffrement symétrique des données et RSA-4096 ou des courbes elliptiques (ECDH-384) pour l'échange et la protection des clés.
La gestion des clés de chiffrement est critique : une clé perdue ou corrompue rend la sauvegarde définitivement irrécupérable. Les organisations recourent à des HSM (Hardware Security Module) ou à des services managés (AWS KMS, Azure Key Vault, HashiCorp Vault) pour sécuriser ces clés indépendamment des données sauvegardées.
Les accès aux consoles de sauvegarde doivent être soumis à une Gestion des identités et des accès stricte, avec une Authentification multifacteur obligatoire pour tout administrateur. L'ANSSI recommande l'application du principe de moindre privilège : les comptes de service utilisés par les agents de sauvegarde ne doivent avoir accès qu'aux données qu'ils sont chargés de sauvegarder.
Cadre réglementaire et normatif
Règlement général sur la protection des données
Le RGPD (Règlement (UE) 2016/679, applicable depuis le 25 mai 2018) impose aux responsables de traitement de garantir l'intégrité et la disponibilité des données personnelles (article 5, paragraphe 1, point f). Une perte de données imputable à l'absence de sauvegarde peut constituer une violation de données personnelles, notifiable à la CNIL dans un délai de 72 heures. Les durées de conservation des sauvegardes doivent être cohérentes avec les durées de conservation définies dans les registres de traitement : conserver des données personnelles au-delà des délais légaux dans des sauvegardes constitue lui-même une violation du principe de limitation de conservation.
Directive NIS2
La Directive NIS2 (directive (UE) 2022/2555, transposée en droit français par la loi du 1ᵉʳ octobre 2024) impose aux entités essentielles et aux entités importantes de mettre en œuvre des mesures de sécurité incluant explicitement des politiques de sauvegarde, de reprise d'activité et de gestion de crise (article 21). Les manquements sont passibles d'amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour les entités essentielles, et 7 millions d'euros ou 1,4 % du chiffre d'affaires pour les entités importantes.
Normes ISO
La norme ISO/IEC 27001 (système de management de la sécurité de l'information, révision 2022) encadre la sauvegarde dans son annexe A, contrôle A.8.13 (sauvegarde des informations), qui exige la définition et le test régulier de procédures de sauvegarde et de restauration. La norme ISO/IEC 27017 (2015), dédiée à la sécurité des services cloud, étend ces exigences aux environnements hébergés et précise les responsabilités respectives du fournisseur et du client.
Impact des ransomwares et menaces récentes
Les ransomwares constituent la principale menace opérationnelle contre laquelle les sauvegardes doivent protéger. Selon le rapport Veeam Data Protection Trends 2024, 76 % des organisations interrogées ont subi au moins une attaque par ransomware en 2023 ; 26 % n'ont pas pu récupérer l'intégralité de leurs données après paiement de la rançon. Les attaquants ciblent systématiquement les sauvegardes accessibles sur le réseau avant de déclencher le chiffrement des données primaires, en utilisant un délai de latence de 14 à 45 jours entre l'intrusion initiale et le déclenchement de l'attaque (selon les données Mandiant 2023) pour contaminer les sauvegardes les plus récentes.
Les mesures de protection spécifiques comprennent :
- l'immuabilité des sauvegardes (technologies WORM, Object Lock sur Amazon S3, Immutability dans Azure Blob) ;
- l'isolation réseau (air gap physique sur bande, air gap logique via VLAN dédié et règles de pare-feu unidirectionnelles) ;
- la détection d'anomalies sur les flux de sauvegarde (variation anormale du taux de déduplication, augmentation soudaine du volume modifié — indicateurs précoces d'un chiffrement en cours).
La Détection d'intrusion et les solutions basées sur l'Intelligence artificielle en cybersécurité sont de plus en plus intégrées aux plateformes de sauvegarde pour identifier des comportements suspects en amont de la compromission des copies de protection.
Spécificités des PME
Les petites et moyennes entreprises font face à des contraintes budgétaires et de ressources humaines qui limitent leur capacité à déployer des architectures de sauvegarde complexes. Selon l'ANSSI, 40 % des PME françaises n'effectuaient pas de sauvegarde hors site en 2022. La cybersécurité des PME intègre la sauvegarde comme priorité n°1, avant même la protection périmétrique, au motif qu'une sauvegarde saine permet de se relever d'une attaque même lorsque les autres défenses ont échoué.
Des offres cloud comme Microsoft Azure Backup, Acronis Cyber Protect Cloud ou Backblaze Business Backup proposent des solutions accessibles à partir de quelques euros par mois par serveur, avec une gestion simplifiée adaptée aux équipes sans administrateur dédié.
Métiers et formations
La conception et l'exploitation des architectures de sauvegarde relèvent de plusieurs profils :
- L'Ingénieur en cybersécurité définit les politiques RPO/RTO, intègre la sauvegarde dans l'architecture de sécurité globale et supervise la résilience du système d'information.
- L'administrateur systèmes configure et exploite les solutions de sauvegarde au quotidien, surveille les journaux d'exécution et gère les incidents de restauration.
- Le responsable de la sécurité des systèmes d'information (RSSI) arbitre entre les contraintes opérationnelles, budgétaires et réglementaires, et rend compte au comité de direction.
Des certifications éditeur existent : Veeam VMCE (Veeam Certified Engineer), Commvault Certified Professional, et Zerto Certified Associate. Les formations en cybersécurité incluent systématiquement des modules sur la continuité et la reprise d'activité informatique, souvent articulés autour des normes ISO 22301 (continuité d'activité) et ISO/IEC 27001.