Comment fonctionnent les sauvegardes automatiques pour une PME, et combien coûtent-elles ? Une sauvegarde automatique copie vos données selon un calendrier fixe (souvent toutes les heures ou tous les jours) vers au moins deux emplacements distincts, dont un hors site, en suivant la règle 3-2-1 : 3 copies de la donnée, sur 2 supports différents, dont 1 copie hors site. Pour une PME québécoise de 5 à 15 employés, le coût réaliste se situe entre 900 $ et 2 500 $ CAD à l'achat pour un NAS local, plus 8 $ à 25 $ CAD par téraoctet par mois pour un espace cloud complémentaire, ou entre 150 $ et 600 $ CAD par mois pour un forfait entièrement géré incluant surveillance et tests de restauration.
Ce guide s'adresse aux propriétaires et responsables TI de PME québécoises qui veulent comprendre — sans jargon inutile — comment une vraie stratégie de sauvegarde fonctionne, quels types de solutions existent, ce qu'elles coûtent réellement en dollars canadiens, et pourquoi la moitié du travail se joue non pas au moment de sauvegarder, mais au moment de restaurer. Nous couvrons la règle 3-2-1 expliquée simplement, le fonctionnement technique des sauvegardes complètes, incrémentielles et différentielles, les concepts de RTO et RPO avec un exemple concret, un comparatif détaillé des solutions locales, cloud et hybrides, des fourchettes de prix réalistes selon la taille de votre PME, une checklist d'audit en 12 points, deux études de cas fictives mais représentatives de PME québécoises, et les ressources gouvernementales pertinentes pour financer ou encadrer votre stratégie. Nos techniciens certifiés déploient et gèrent ce type de solution au quotidien pour des clients PME à Montréal et partout au Québec.
Le vrai test d'une sauvegarde n'est jamais la sauvegarde elle-même
Retenez ceci dès maintenant, avant même de lire le reste de ce guide : une sauvegarde qui n'a jamais été restaurée avec succès n'est qu'une hypothèse. La majorité des PME qui perdent des données de façon irréversible avaient techniquement « une sauvegarde » — simplement jamais testée. Nous y revenons en détail plus bas.
La règle 3-2-1 expliquée simplement
La règle 3-2-1 est le principe fondateur derrière presque toute stratégie de sauvegarde sérieuse, qu'elle soit conçue pour une multinationale ou pour une PME de dix employés à Trois-Rivières. Elle se résume en une phrase : conserver 3 copies de chaque donnée importante, sur 2 supports différents, dont 1 copie hors site. Trois chiffres simples, mais chacun répond à un scénario de perte précis, et c'est en comprenant ce que chaque chiffre empêche qu'on comprend pourquoi la règle fonctionne.
3 copies : ne jamais dépendre d'un seul exemplaire
Le premier chiffre signifie qu'à tout moment, il existe la donnée de production (celle que vos employés utilisent au quotidien) plus deux copies additionnelles — jamais une seule copie de secours. Pourquoi trois et pas deux ? Parce qu'une seule copie de sauvegarde peut elle-même échouer, être corrompue, ou être détruite en même temps que l'original si les deux se trouvent au même endroit. Avec trois copies réparties intelligemment, la probabilité qu'un seul événement détruise l'ensemble des trois simultanément devient extrêmement faible. C'est le principe de redondance appliqué simplement : plus il existe de copies indépendantes, plus la probabilité de tout perdre en même temps diminue de façon exponentielle plutôt que linéaire.
2 supports différents : éviter le point de défaillance commun
Le deuxième chiffre impose que les copies ne reposent pas toutes sur le même type de support physique ou logique. Concrètement, cela signifie par exemple un disque dur ou un NAS sur place, combiné à un espace de stockage cloud, plutôt que trois copies sur trois disques durs identiques dans la même armoire réseau. La raison est simple : un type de support donné (un modèle de disque dur en particulier, un lot de production défectueux, une faille propre à un système d'exploitation) peut échouer de façon systémique. Si les trois copies utilisent exactement la même technologie, elles partagent aussi les mêmes vulnérabilités techniques. Diversifier les supports élimine ce point de défaillance commun.
1 copie hors site : la protection contre le sinistre physique et le ransomware
Le troisième chiffre, souvent le plus négligé par les petites entreprises, exige qu'au moins une copie se trouve physiquement ou logiquement séparée du site principal. C'est la protection la plus critique et celle qui distingue une vraie stratégie de sauvegarde d'un simple disque externe branché à l'ordinateur du bureau. Un incendie, un dégât d'eau, un vol, ou une inondation détruit potentiellement tout ce qui se trouve dans le même bâtiment — ordinateurs, serveur, NAS local et disques de sauvegarde compris, s'ils sont tous rangés dans la même pièce ou le même immeuble.
Mais au-delà des sinistres physiques classiques, cette exigence est devenue absolument centrale face au ransomware moderne. Les groupes de rançongiciels les plus sophistiqués ne se contentent plus de chiffrer les fichiers de production : ils cherchent activement, avant même de déclencher le chiffrement final, tout dispositif de sauvegarde accessible depuis le réseau compromis — NAS partagé, lecteur réseau mappé, service cloud connecté avec des identifiants réutilisés — pour le détruire ou le chiffrer également. L'objectif de l'attaquant est simple : si la victime ne peut techniquement pas restaurer ses données autrement qu'en payant la rançon, la pression pour payer devient énorme. C'est exactement ce que la copie hors site, combinée à deux concepts complémentaires, neutralise :
- La sauvegarde immuable — une copie qui, une fois écrite, ne peut être ni modifiée ni supprimée pendant une période fixée à l'avance (souvent 14 à 90 jours selon la politique), même par un compte administrateur légitime dont les identifiants auraient été volés. Le ransomware peut chiffrer la production, mais ne peut pas toucher à la copie immuable protégée par cette politique de rétention verrouillée.
- La sauvegarde air-gapped (isolée du réseau) — une copie qui n'est physiquement ou logiquement connectée au réseau de production que pendant la courte fenêtre nécessaire au transfert des données, puis déconnectée. Sans connexion réseau active en dehors de cette fenêtre, un maliciel présent sur le réseau ne peut tout simplement pas l'atteindre, peu importe ses privilèges.
Une PME qui applique la règle 3-2-1 avec une copie hors site réellement immuable ou air-gapped se retrouve, en cas de ransomware, dans une position radicalement différente d'une PME qui n'a que des copies locales accessibles depuis le réseau : elle peut restaurer ses systèmes sans jamais avoir à considérer l'option de payer une rançon.
Comment ça marche techniquement
Une fois la règle 3-2-1 comprise conceptuellement, il reste à comprendre comment une sauvegarde fonctionne concrètement au niveau technique — quel type de copie s'exécute, à quelle fréquence, et comment on mesure objectivement si une stratégie de sauvegarde répond réellement aux besoins de l'entreprise.
Sauvegarde complète, incrémentielle et différentielle
Trois méthodes de copie existent, et la plupart des logiciels de sauvegarde professionnels combinent les trois selon un calendrier optimisé plutôt que d'en utiliser une seule exclusivement.
La sauvegarde complète copie l'intégralité des données sélectionnées à chaque exécution, sans exception. C'est la méthode la plus simple à comprendre et la plus rapide à restaurer, puisqu'une seule copie contient tout — mais aussi la plus lente à exécuter et la plus gourmande en espace de stockage, car elle recopie même les fichiers qui n'ont pas changé depuis la dernière sauvegarde. En pratique, une sauvegarde complète s'exécute généralement une fois par semaine ou une fois par mois, servant de point de référence solide.
La sauvegarde incrémentielle ne copie que les données modifiées depuis la dernière sauvegarde, peu importe son type. C'est la méthode la plus rapide à exécuter et la plus économe en espace, puisque chaque exécution ne traite qu'un petit volume de changements. Son inconvénient apparaît au moment de la restauration : il faut reconstituer les données en appliquant la sauvegarde complète initiale, puis chaque incrément dans l'ordre chronologique exact, ce qui allonge le temps de restauration et introduit un risque si l'un des maillons de la chaîne est corrompu.
La sauvegarde différentielle occupe un compromis intermédiaire : elle copie tout ce qui a changé depuis la dernière sauvegarde complète (pas depuis la dernière sauvegarde tout court). Chaque exécution différentielle grossit donc progressivement jusqu'à la prochaine sauvegarde complète, mais la restauration ne nécessite que deux éléments — la dernière complète et la dernière différentielle — plutôt qu'une longue chaîne d'incréments.
En pratique, une politique typique de PME combine une sauvegarde complète hebdomadaire, des sauvegardes différentielles ou incrémentielles quotidiennes, et pour les systèmes les plus critiques, des copies toutes les heures ou en continu (souvent appelées « CDP », pour continuous data protection).
Quelle fréquence de sauvegarde selon le type de données
La fréquence idéale n'est pas universelle : elle dépend directement de la vitesse à laquelle une catégorie de données change et de la tolérance de l'entreprise à en perdre une partie.
| Type de données | Fréquence recommandée | Justification |
|---|---|---|
| Bases de données transactionnelles (facturation, CRM, point de vente) | Toutes les heures, ou en continu | Chaque transaction perdue a un coût direct et immédiat |
| Serveurs de fichiers partagés | Quotidienne | Volume de changements modéré, tolérance d'une journée généralement acceptable |
| Courriels et Microsoft 365 / Google Workspace | Quotidienne, souvent incluse dans un service cloud dédié | Nombreux échanges par jour, historique légal à conserver |
| Postes de travail individuels | Quotidienne ou hebdomadaire | Dépend du volume de fichiers créés localement par l'employé |
| Serveurs de configuration système / images complètes | Hebdomadaire ou après chaque changement majeur | Change rarement, mais critique pour une reconstruction rapide |
RTO et RPO : les deux mesures qui définissent vraiment une stratégie de sauvegarde
Deux notions techniques permettent de transformer une intuition vague (« on devrait sauvegarder plus souvent ») en objectif mesurable et budgétable. Ce sont, avec la règle 3-2-1, les concepts les plus importants à maîtriser dans ce guide.
Le RPO (Recovery Point Objective, ou objectif de point de récupération) représente la quantité maximale de données que votre entreprise accepte de perdre, mesurée en temps écoulé depuis la dernière sauvegarde réussie. Un RPO d'une heure signifie qu'en cas de sinistre, vous acceptez de perdre au maximum une heure de travail — parce que vos sauvegardes s'exécutent toutes les heures. Un RPO de 24 heures signifie que vous acceptez, au pire, de perdre une journée complète.
Le RTO (Recovery Time Objective, ou objectif de temps de récupération) représente le temps maximal acceptable entre le moment où un sinistre survient et le moment où les systèmes sont pleinement restaurés et opérationnels à nouveau. Un RTO de quatre heures signifie que votre entreprise ne peut tolérer plus de quatre heures d'arrêt avant d'être de retour en fonction.
Un exemple concret pour bien saisir la différence
Imaginons une PME de services professionnels dont le serveur de fichiers est sauvegardé toutes les heures (RPO d'une heure) et dont le fournisseur garantit une restauration complète en quatre heures maximum (RTO de quatre heures). Une panne de disque dur survient à 14h. Grâce au RPO d'une heure, la dernière sauvegarde utilisable date de 13h — la perte maximale de données se limite donc à l'heure de travail entre 13h et 14h. Grâce au RTO de quatre heures, l'entreprise doit être de retour en fonction au plus tard vers 18h. Sans objectifs RTO/RPO définis à l'avance, cette même entreprise aurait pu se retrouver avec des sauvegardes datant de plusieurs jours et un délai de restauration de plusieurs jours supplémentaires — une différence qui, multipliée par le chiffre d'affaires quotidien perdu, se traduit directement en dollars.
Plus le RPO et le RTO souhaités sont courts, plus la solution de sauvegarde nécessaire devient sophistiquée — et coûteuse. Une PME devrait définir ces deux objectifs séparément pour chaque catégorie de systèmes, plutôt que d'appliquer la même exigence à l'ensemble de son infrastructure : le système de facturation mérite probablement un RPO et un RTO plus serrés que les fichiers d'archives rarement consultés.
Vous ne connaissez pas le RTO/RPO réel de votre entreprise ?
Nos techniciens certifiés IT Cares évaluent votre stratégie de sauvegarde actuelle, définissent des objectifs RTO/RPO réalistes par système, et déploient une solution 3-2-1 adaptée à la taille et au budget de votre PME.
Types de solutions : locale, cloud pur ou hybride
Une fois la théorie comprise, la question devient pratique : quel type de solution déployer ? Trois grandes familles existent, chacune avec des avantages et des compromis réels — aucune n'est universellement supérieure, le bon choix dépend du profil de risque, du budget et des habitudes de travail de votre PME.
Sauvegarde locale (NAS)
Un NAS (Network Attached Storage, ou boîtier de stockage en réseau) est un appareil dédié, généralement de la taille d'un petit boîtier, équipé de plusieurs baies de disques durs configurés en redondance (RAID), branché directement sur le réseau de l'entreprise. Les marques les plus répandues chez les PME québécoises sont Synology et QNAP, appréciées pour leurs interfaces de gestion relativement conviviales même sans équipe TI dédiée à temps plein.
Avantages : vitesse de sauvegarde et surtout de restauration très rapide, puisque les données transitent uniquement sur le réseau local sans dépendre de la vitesse de la connexion Internet ; coût récurrent faible une fois l'appareil acheté ; contrôle complet sur l'emplacement physique des données, un facteur parfois pertinent pour certaines obligations de conformité sectorielle.
Inconvénients : reste vulnérable à tout sinistre touchant le bâtiment lui-même (incendie, dégât d'eau, vol) à moins d'être combiné à une copie hors site ; nécessite un investissement initial en matériel ; demande un minimum d'entretien (mises à jour du micrologiciel, surveillance de la santé des disques) souvent négligé faute de ressource TI interne.
Sauvegarde cloud pur
Dans ce modèle, l'ensemble des sauvegardes est transféré directement vers un fournisseur de stockage infonuagique, sans passer par un appareil physique sur place. Les fournisseurs de stockage objet à grande échelle comme Backblaze B2, Wasabi, Microsoft Azure Blob Storage ou Amazon S3 offrent ce type de capacité brute à des tarifs au téraoctet, tandis que des solutions dédiées à la sauvegarde d'entreprise comme Veeam Backup ou Acronis Cyber Protect orchestrent le processus complet (planification, chiffrement, gestion des versions) par-dessus cette infrastructure.
Avantages : protection intrinsèque contre tout sinistre physique touchant les locaux de l'entreprise, puisque les données ne quittent jamais un centre de données externe sécurisé ; aucun matériel à entretenir sur place ; accès aux données possible depuis n'importe quel emplacement avec une connexion Internet, un atout en contexte de télétravail ou de succursales multiples.
Inconvénients : la vitesse de restauration dépend directement de la bande passante Internet disponible — restaurer plusieurs téraoctets sur une connexion d'affaires standard peut prendre des heures, voire des jours dans les cas extrêmes ; le coût récurrent s'accumule mois après mois et croît avec le volume de données ; certains fournisseurs facturent des frais de sortie de données (« egress ») substantiels au moment même où l'entreprise a le plus besoin de récupérer rapidement ses fichiers.
Sauvegarde hybride (locale + cloud)
L'approche hybride combine un NAS local pour la vitesse de restauration quotidienne avec une réplication automatique d'une copie vers le cloud pour la protection hors site. C'est, dans les faits, l'application la plus naturelle et la plus répandue de la règle 3-2-1 pour une PME : la copie de production plus la copie locale sur NAS couvrent deux des trois copies exigées et deux supports différents, et la réplication cloud automatique fournit la troisième copie hors site sans intervention manuelle.
Avantages : restauration rapide pour les incidents courants (fichier supprimé par erreur, panne de disque isolée) grâce à la copie locale, tout en conservant une protection complète contre les sinistres majeurs et le ransomware grâce à la copie cloud ; répartition du coût entre un investissement matériel ponctuel et un abonnement cloud proportionnellement plus modeste, puisque seule une fraction du volume total nécessite une rétention cloud complète.
Inconvénients : complexité de gestion légèrement supérieure, puisque deux systèmes distincts doivent être configurés, surveillés et mis à jour de façon cohérente ; nécessite une bande passante Internet suffisante pour la réplication initiale et les synchronisations quotidiennes sans ralentir les opérations normales de l'entreprise.
| Critère | Locale (NAS) | Cloud pur | Hybride |
|---|---|---|---|
| Coût initial | Élevé (matériel) | Faible ou nul | Modéré (matériel + abonnement) |
| Coût récurrent | Faible | Élevé, croît avec le volume | Modéré |
| Vitesse de restauration | Très rapide (réseau local) | Dépend de la connexion Internet | Rapide pour l'usage courant |
| Protection contre sinistre physique | Faible seule | Élevée | Élevée |
| Protection contre ransomware | Moyenne (si isolée du réseau) | Élevée (si immuable) | Élevée |
| Complexité de gestion | Faible à modérée | Faible (géré par le fournisseur) | Modérée |
Fourchettes de prix réalistes en dollars canadiens
Les prix ci-dessous sont des ordres de grandeur observés sur le marché québécois et canadien en 2026, avant taxes (TPS et TVQ s'appliquent en sus sur la quasi-totalité de ces achats et abonnements). Les prix réels varient selon le fournisseur, le volume négocié et les particularités de chaque entreprise — ils servent à budgéter une conversation avec un fournisseur, pas à remplacer un devis formel.
Matériel NAS local selon la taille de la PME
| Profil de PME | Équipement typique | Coût estimé (matériel + disques) |
|---|---|---|
| 1 à 4 employés | NAS 2 baies (ex. Synology DS223, QNAP TS-233) | 500 $ à 900 $ CAD |
| 5 à 15 employés | NAS 4 baies (ex. Synology DS923+, QNAP TS-464) | 900 $ à 2 500 $ CAD |
| 15 à 40 employés | NAS 6 à 8 baies avec redondance renforcée | 2 500 $ à 6 000 $ CAD |
| 40 employés et plus | Serveur de sauvegarde dédié ou baie SAN | 6 000 $ CAD et plus, selon architecture |
Ces montants couvrent l'appareil et les disques durs de qualité entreprise (NAS-rated), mais pas l'installation, la configuration initiale ni la formation de l'équipe — des services généralement facturés séparément par un fournisseur TI local.
Stockage cloud complémentaire
| Catégorie de fournisseur | Exemples | Coût approximatif |
|---|---|---|
| Stockage objet à grande échelle | Backblaze B2, Wasabi | 8 $ à 12 $ CAD par To par mois |
| Cloud public généraliste | Microsoft Azure Blob, Amazon S3 | 15 $ à 25 $ CAD par To par mois, plus frais de sortie de données |
| Solutions dédiées à la sauvegarde d'entreprise | Veeam Backup, Acronis Cyber Protect, Datto BCDR | 70 $ à 150 $ CAD par poste par année, ou 300 $ à 900 $ CAD par mois pour un appareil géré incluant le cloud |
Forfaits gérés incluant sauvegarde et surveillance
De nombreuses PME québécoises préfèrent confier l'ensemble de la stratégie à un fournisseur de services infogérés plutôt que de gérer elles-mêmes le matériel et les abonnements. Un forfait de ce type inclut généralement la sauvegarde automatisée, la surveillance continue du bon déroulement des copies, l'application des correctifs de sécurité et, idéalement, des tests de restauration périodiques déjà intégrés au contrat.
| Profil de PME | Fourchette mensuelle typique |
|---|---|
| 1 à 4 employés, volume de données modeste | 150 $ à 300 $ CAD/mois |
| 5 à 15 employés | 300 $ à 600 $ CAD/mois |
| 15 à 40 employés ou infrastructure critique | 600 $ à 1 500 $ CAD/mois |
Ces forfaits gérés coûtent généralement plus cher qu'une solution auto-gérée équivalente sur papier, mais éliminent le risque le plus fréquent chez les PME sans équipe TI dédiée : une sauvegarde configurée correctement au départ, puis progressivement négligée faute de surveillance active, jusqu'au jour où elle échoue silencieusement depuis des mois sans que personne ne s'en aperçoive.
Checklist : auditez votre stratégie de sauvegarde actuelle
Utilisez cette liste pour évaluer honnêtement où se situe votre entreprise aujourd'hui. La plupart des PME cochent la moitié de ces cases sans même s'en rendre compte — l'objectif est d'identifier précisément lesquelles restent à cocher.
- ☐ Nous avons identifié précisément quelles données sont critiques et lesquelles sont secondaires
- ☐ Nos sauvegardes respectent la règle 3-2-1 (3 copies, 2 supports, 1 hors site)
- ☐ Au moins une copie de nos sauvegardes est immuable ou physiquement isolée du réseau (air-gapped)
- ☐ Nous avons défini un RPO (perte de données maximale acceptable) pour chaque catégorie de système
- ☐ Nous avons défini un RTO (temps de restauration maximal acceptable) pour chaque catégorie de système
- ☐ Nos sauvegardes s'exécutent réellement selon le calendrier prévu, sans intervention manuelle oubliée
- ☐ Nous recevons une alerte automatique en cas d'échec d'une sauvegarde
- ☐ Nous avons testé une restauration complète (pas seulement d'un fichier isolé) au cours des trois derniers mois
- ☐ Nos sauvegardes sont chiffrées, autant en transit que sur le support de stockage final
- ☐ Microsoft 365 ou Google Workspace font partie de notre stratégie de sauvegarde (et pas seulement supposés « couverts » par le fournisseur cloud lui-même)
- ☐ Une politique écrite de conservation et de destruction des données encadre nos sauvegardes, conforme à la Loi 25
- ☐ Au moins une personne autre que l'administrateur habituel sait où et comment déclencher une restauration en cas d'urgence
Deux études de cas de PME québécoises
Les deux scénarios suivants sont fictifs, mais construits à partir de situations représentatives fréquemment rencontrées par des PME québécoises de taille comparable. Ils illustrent, en dollars concrets, la différence entre une sauvegarde qui fonctionne réellement et une sauvegarde qui n'existe que sur papier.
Cas n°1 : le cabinet d'architecture de Sherbrooke qui a évité le pire
Un cabinet d'architecture de 12 employés établi à Sherbrooke avait, deux ans plus tôt, fait remplacer son ancien disque externe unique par une solution hybride : un NAS 4 baies sur place pour les fichiers de projets en cours, répliqué automatiquement chaque nuit vers une copie cloud immuable conservée 30 jours. Un matin de mars, l'équipe a découvert que l'ensemble des fichiers de projets sur le serveur principal avaient été chiffrés par un rançongiciel, avec une demande de rançon affichée à 45 000 $ CAD en cryptomonnaie.
Parce que la copie cloud était immuable et n'avait pas été accessible en écriture depuis le poste compromis, elle est restée totalement intacte. Le fournisseur TI du cabinet a isolé les postes touchés, reconstruit le serveur principal à partir d'une image propre, puis restauré l'ensemble des fichiers de projets depuis la copie cloud de la nuit précédente. La restauration complète a pris un peu moins de 6 heures, entraînant une seule journée de ralentissement partiel plutôt qu'un arrêt complet. Le coût total de l'incident — temps de technicien, journée de productivité réduite, communication aux clients concernés — s'est élevé à environ 8 500 $ CAD, sans jamais avoir à considérer le paiement de la rançon.
Cas n°2 : le concessionnaire automobile de Trois-Rivières et la sauvegarde jamais testée
Un concessionnaire automobile de 22 employés à Trois-Rivières utilisait depuis des années un logiciel de sauvegarde configuré par un ancien employé parti sans documentation détaillée. Le tableau de bord du logiciel affichait des exécutions « réussies » chaque nuit, et personne n'avait de raison de douter du système en place. Lorsqu'une attaque par rançongiciel a chiffré le serveur contenant l'historique complet des dossiers clients, des contrats de financement et des données du service après-vente, l'équipe TI a tenté de restaurer à partir des sauvegardes existantes — pour découvrir que l'espace de stockage cloud était saturé depuis huit mois, provoquant l'échec silencieux d'une partie critique des sauvegardes bien avant l'incident, sans qu'aucune alerte n'ait jamais été configurée pour le signaler.
Une partie seulement des données a pu être reconstituée à partir de copies partielles et d'exports manuels retrouvés dans divers postes de travail individuels. Près de trois ans de dossiers clients et d'historiques de service se sont révélés définitivement irrécupérables. Entre la reconstruction manuelle des données disponibles, les semaines de fonctionnement ralenti, la perte de dossiers clients ayant directement affecté des ventes et des suivis de garantie, et l'atteinte à la réputation auprès d'une clientèle locale fidèle depuis longtemps, le coût final estimé de l'incident a dépassé 120 000 $ CAD — sans compter l'impact impossible à chiffrer sur la confiance des clients dont les dossiers ont été perdus.
La différence entre les deux cas n'était pas le budget
Les deux entreprises avaient investi dans une solution de sauvegarde. La différence déterminante n'était ni la taille de l'entreprise ni le montant dépensé, mais un seul facteur : l'une avait vérifié, par un test réel, que sa restauration fonctionnait ; l'autre s'était fiée à un indicateur « réussi » affiché à l'écran, jamais validé concrètement.
Erreur fréquente : ne jamais tester la restauration
C'est, de loin, l'erreur la plus coûteuse et la plus répandue chez les PME qui pensent être protégées. Un logiciel de sauvegarde peut afficher « succès » pour de nombreuses raisons qui n'ont rien à voir avec la capacité réelle de restaurer les données : un fichier corrompu silencieusement pendant le transfert, un chemin d'accès mal configuré qui sauvegarde un dossier vide plutôt que le bon répertoire, un espace de stockage cloud saturé qui interrompt les sauvegardes récentes sans faire échouer visiblement la tâche planifiée, ou une clé de chiffrement perdue qui rend les données illisibles au moment critique.
Un test de restauration consiste à restaurer réellement un échantillon de données — idéalement l'ensemble d'un système critique — vers un environnement séparé, puis à vérifier que les fichiers s'ouvrent correctement, que les bases de données sont cohérentes et que rien ne manque. Ce test devrait être effectué au minimum une fois par trimestre pour les systèmes critiques, et documenté formellement : qui l'a exécuté, quand, quel a été le temps de restauration réel observé (à comparer avec le RTO visé), et quels problèmes ont été identifiés et corrigés.
Les entreprises qui confient leur sauvegarde à un fournisseur de services gérés devraient exiger que ces tests de restauration fassent explicitement partie du contrat, avec un rapport régulier — et non simplement présumer qu'ils sont effectués parce que le service est « géré ».
Ressources gouvernementales pertinentes
Plusieurs organismes publics offrent du financement ou encadrent les obligations légales qui touchent directement la stratégie de sauvegarde d'une PME québécoise.
Financement de la Banque de développement du Canada (BDC)
La BDC propose des prêts destinés spécifiquement à la modernisation technologique des PME, incluant l'acquisition d'infrastructure informatique et de cybersécurité — une catégorie qui couvre généralement le matériel de sauvegarde, les licences logicielles et les services professionnels associés à leur déploiement. Ces prêts s'adressent particulièrement aux entreprises qui souhaitent passer d'une solution de sauvegarde artisanale à une infrastructure professionnelle sans mobiliser tout leur capital de roulement en une seule fois.
Programmes d'Investissement Québec
Investissement Québec offre divers programmes d'accompagnement à la transformation numérique des PME québécoises, incluant parfois du financement ou des services-conseils applicables à la modernisation de l'infrastructure TI. Les critères d'admissibilité et les montants disponibles varient selon les programmes actifs à un moment donné ; une vérification directe auprès de l'organisme ou d'un conseiller en transformation numérique reste la meilleure façon de confirmer l'admissibilité actuelle d'un projet donné.
Obligations de la Commission d'accès à l'information du Québec (Loi 25)
La Commission d'accès à l'information du Québec encadre, via la Loi 25, les obligations des entreprises concernant la protection des renseignements personnels qu'elles détiennent — une réalité qui touche directement la stratégie de sauvegarde. Une PME qui conserve des renseignements personnels de clients ou d'employés doit non seulement s'assurer que ces données sont protégées contre la perte (ce que la sauvegarde accomplit), mais aussi qu'elles ne sont pas conservées indéfiniment au-delà des fins pour lesquelles elles ont été recueillies, et que les copies de sauvegarde elles-mêmes bénéficient de mesures de sécurité proportionnelles à la sensibilité des renseignements qu'elles contiennent — chiffrement, contrôle d'accès et suivi des versions conservées inclus. Une politique de rétention claire, cohérente avec la durée de conservation des sauvegardes elles-mêmes, fait partie des éléments qu'une évaluation de conformité à la Loi 25 devrait couvrir.
Une stratégie de sauvegarde professionnelle, sans la complexité de la gérer vous-même
IT Cares conçoit, déploie et surveille des solutions de sauvegarde 3-2-1 pour PME québécoises — NAS local, réplication cloud immuable, tests de restauration réguliers et rapports clairs. Nos techniciens certifiés évaluent votre situation actuelle et proposent une solution adaptée à votre budget réel, sans vous vendre plus que ce dont votre entreprise a besoin.
Questions fréquentes — Sauvegardes automatiques pour PME
La règle 3-2-1 recommande de conserver au moins 3 copies de chaque donnée importante, sur 2 supports différents (par exemple un disque local et le cloud), dont 1 copie hors site, physiquement ou logiquement séparée du réseau principal de l'entreprise. Cette structure garantit qu'une seule panne, un seul vol ou une seule attaque ne peut jamais détruire l'ensemble des copies en même temps.
Pour une PME de 5 à 15 employés, un NAS 2 à 4 baies avec disques coûte généralement entre 900 $ et 2 500 $ CAD à l'achat, plus l'abonnement cloud complémentaire entre 8 $ et 25 $ CAD par To par mois selon le fournisseur. Un forfait géré par un fournisseur de services infogérés incluant sauvegarde, surveillance et tests de restauration se situe habituellement entre 150 $ et 600 $ CAD par mois selon le volume de données et le nombre de postes couverts.
Le NAS local offre une restauration rapide et un coût récurrent faible, mais reste vulnérable si le sinistre touche le bâtiment lui-même. Le cloud pur protège contre les sinistres physiques et facilite l'accès à distance, mais coûte plus cher à long terme et dépend de la vitesse de la connexion Internet pour la restauration. La majorité des PME québécoises optent pour une solution hybride qui combine les deux, respectant ainsi naturellement la règle 3-2-1.
Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant une période définie, même par un compte administrateur compromis. C'est une protection essentielle contre les ransomwares modernes, qui ciblent activement les sauvegardes accessibles sur le réseau avant de chiffrer les données de production, précisément pour empêcher toute restauration sans paiement de la rançon.
Le RPO (Recovery Point Objective) représente la quantité maximale de données qu'une entreprise accepte de perdre, mesurée en temps depuis la dernière sauvegarde réussie. Le RTO (Recovery Time Objective) représente le temps maximal acceptable pour restaurer les systèmes et redevenir opérationnel après un sinistre. Une PME qui sauvegarde toutes les heures a un RPO d'une heure ; si la restauration complète prend quatre heures, son RTO est de quatre heures.
La fréquence dépend de la criticité des données. Les bases de données transactionnelles et les systèmes de facturation méritent une sauvegarde toutes les heures ou en continu, les fichiers partagés une sauvegarde quotidienne, et les postes de travail individuels une sauvegarde quotidienne ou hebdomadaire selon le volume de changements. Plus le RPO acceptable est court, plus la fréquence de sauvegarde doit être élevée.
Oui, c'est l'étape la plus souvent négligée et la plus coûteuse à ignorer. Une sauvegarde qui n'a jamais été restaurée n'est qu'une hypothèse de sauvegarde. Des fichiers corrompus, un espace de stockage insuffisant ou une tâche silencieusement interrompue peuvent rendre une sauvegarde inutilisable sans que personne ne le sache avant le moment où elle est réellement nécessaire. Un test de restauration complet devrait être effectué au minimum une fois par trimestre.
La sauvegarde automatique est une mesure de sécurité nécessaire mais pas suffisante à elle seule pour la conformité complète à la Loi 25. Elle doit s'accompagner de mesures de protection des renseignements personnels (chiffrement, contrôle d'accès), d'une politique de conservation et de destruction des données conforme, et d'une évaluation des facteurs relatifs à la vie privée lorsque requise. Une stratégie de sauvegarde bien conçue soutient toutefois directement les obligations de disponibilité et d'intégrité des données prévues par la loi.
Commentaires (3)
On avait un disque externe branché en permanence et on pensait être protégés. Après avoir lu la section sur l'immuabilité, je réalise que ce disque aurait été chiffré en même temps que le reste en cas de ransomware. On a demandé un devis pour une solution hybride cette semaine.
Le cas du concessionnaire automobile m'a servi d'électrochoc. On a exactement le même genre de configuration « ça a toujours marché, on n'a jamais vérifié ». On planifie un test de restauration complet le mois prochain.
Bonne explication du RTO et du RPO, c'est la première fois qu'on m'explique ça sans jargon incompréhensible. Les fourchettes de prix aident aussi à préparer une vraie conversation avec notre fournisseur au lieu de se faire vendre n'importe quoi.
Laisser un commentaire