Sauvegarde informatique

Faut-il externaliser ses sauvegardes ?

Oui, si la disparition du local ou la compromission du réseau interne doit laisser au moins une copie restaurable. L’externalisation n’interdit pas une copie locale : elle évite que toutes les copies partagent le même sort que la production.

Mis à jour en octobre 20263 min de lecture5 sources citées

L’essentiel

Externalisez la copie de secours et l’historique ; gardez en local une copie récente pour les petites restaurations.
Exigez par écrit : pays des copies, copie non supprimable, délai de restauration constaté, sortie du contrat.
L’agence française de cybersécurité (ANSSI) recommande de chiffrer avant l’envoi et de vérifier la localisation des données. À Maurice, un stockage hors du pays est un transfert encadré par la section 36 du Data Protection Act 2017.
Le prestataire est un processor au sens du Data Protection Act 2017 : un contrat écrit doit prévoir la suppression ou le renvoi des données en fin de prestation.
Ne confiez pas la clé de chiffrement au même coffre que les données.

Quand l’externalisation change le résultat

Incendie, dégât des eaux, vol du matériel : le NAS de sauvegarde dans la même pièce part avec les serveurs.
Ransomware entré par un compte administrateur : il chiffre les partages montés, y compris « Backup » sur le réseau.
Absence du seul salarié qui changeait les disques : la rotation s’arrête sans que la direction le sache.
Obligation de placer les données dans un pays ou une zone précise, sans exploiter soi-même un second site.

Une entreprise qui a déjà deux bâtiments distants, une équipe, et une copie immuable réellement hors ligne peut externaliser moins. C’est rare dans une PME.

Ce que l’on externalise, et ce que l’on garde

Externaliser la copie de secours et l’historique. Garder en local, si le débit le permet, une copie récente pour restaurer un fichier sans attendre le téléchargement de plusieurs téraoctets. Externaliser aussi la messagerie cloud vers un autre responsable que l’éditeur de la messagerie : rester dans le même tenant, c’est rester exposé aux mêmes comptes administrateurs. Voir Faut-il sauvegarder Microsoft 365 ?.

On n’externalise pas la clé de chiffrement dans le même coffre logique que les données, ni le seul mot de passe d’administration chez le prestataire sans procédure écrite.

Ce que recommande l’ANSSI pour une sauvegarde externalisée

Le guide de l’agence française de cybersécurité (ANSSI) sur la sauvegarde consacre un tableau aux sauvegardes hors site, chez un hébergeur cloud ou un sous-traitant. Les points d’attention :

Point d’attention	Ce qu’il faut vérifier
Sensibilité des données	Chiffrement avant l’envoi chez le prestataire
Localisation	Pays de stockage connu et écrit au contrat ; hors de Maurice, transfert encadré par la section 36 du Data Protection Act 2017
Durée de restauration	Compatible avec la durée maximale d’interruption admissible, y compris la priorité de restauration prévue au contrat
Résistance à l’effacement	Une solution WORM (non modifiable) est envisageable, avec des comptes d’administration séparés
Copie hors ligne	Reste considérée comme plus robuste ; un compromis acceptable associe des copies WORM régulières et des copies hors ligne moins fréquentes

À Maurice, le Data Protection Act 2017 (section 31) impose des mesures de sécurité appropriées contre la perte ou la destruction des données : chiffrez les canaux de transmission lorsque les sauvegardes sortent de l’organisme, et protégez-les au même niveau que les serveurs de production. Le CERT-MU recommande aussi une copie hors site et des tests de restauration réguliers.

Les limites, dites clairement

Le débit. La première sauvegarde d’un gros volume prend du temps. Les suivantes n’envoient que les changements, si le logiciel est incrémental. Un lien trop juste allonge aussi la restauration complète.
La dépendance. Le jour de l’incident, vous dépendez des heures d’ouverture, du contrat et de la capacité du prestataire à relire ses copies. Le NIST cite l’accessibilité (délai de récupération et horaires) parmi les critères de choix d’un stockage hors site. Un essai de restauration avant le sinistre est le seul test honnête.
Le coût récurrent. On paie le volume conservé chaque mois. Une rétention de cinq ans sur tout le serveur coûte le prix d’un archivage mal ciblé.
La responsabilité des données. Le contrat doit dire où sont les données, qui peut y accéder, et comment elles sont effacées en fin de contrat. Au sens du Data Protection Act 2017, le prestataire est un processor : il agit sur instruction, est lié par les obligations de sécurité de la section 31 et doit être enregistré auprès du Data Protection Office. Un contrat écrit doit prévoir la suppression ou le renvoi des données au terme de la prestation. Le chiffrement dont vous détenez la clé réduit ce que le prestataire peut lire ; il ne supprime pas vos obligations.

Comment choisir

Demandez quatre choses, par écrit : le pays des copies, la possibilité d’une copie non supprimable, le délai constaté pour restaurer un volume comme le vôtre, et ce qui se passe si vous partez. Le discours sur la « haute sécurité » sans ces quatre réponses ne permet pas de décider.

Si l’objectif est de redémarrer le service, pas seulement de récupérer les données, lisez aussi PRA externalisé : avantages et limites.

Chez WeDoBack

L’externalisation est le service de base : les copies quittent le réseau du client, sont chiffrées sur la machine avant de partir, et sont redondées sur plusieurs sites distincts, ou dans la zone imposée par la législation du client. Les centres d’hébergement et les solutions utilisés sont certifiés ISO 27001 (et HDS pour les données de santé). SMART laisse l’exploitation au client, l’assistance étant facturée à l’intervention. INTEGRAL inclut deux heures d’assistance par mois. L’assistance se joint au +33 9 72 50 78 28 ou à [email protected], de 9 h à 13 h et de 14 h à 17 h 30 (heure de Paris), soit de 11 h à 15 h et de 16 h à 19 h 30 heure de Maurice pendant l’été européen, de 12 h à 16 h et de 17 h à 20 h 30 en hiver européen. L’immuable, le PRA et le PCA sont des options quand la copie restaurable ne suffit pas à l’objectif (preuve longue, ou reprise du service).

Voir les offres et tarifs Demander un devis

Questions fréquentes

Mes données sont-elles lisibles par le prestataire ?

Pas si elles sont chiffrées sur votre machine avant l’envoi, avec une clé que vous seul détenez. Le prestataire stocke alors des blocs illisibles. En contrepartie, la perte de la clé rend la restauration impossible : elle doit être conservée en plusieurs endroits sûrs.

Combien de temps prend une restauration depuis l’extérieur ?

Cela dépend du volume, du débit de votre lien et de la méthode. Restaurer un fichier prend quelques minutes ; restaurer plusieurs téraoctets par Internet peut prendre des jours. L’agence française de cybersécurité (ANSSI) demande de vérifier que la durée de restauration est compatible avec la durée d’interruption admissible. D’où l’intérêt d’une copie locale ou d’un redémarrage sur une instance de secours.

Que deviennent mes sauvegardes si je change de prestataire ?

Le contrat doit le dire. À Maurice, le prestataire est un processor au sens du Data Protection Act 2017 : prévoyez par écrit qu’au terme de la prestation, il supprime ou renvoie les données personnelles, selon le choix du responsable de traitement. Prévoyez une période de recouvrement : gardez l’ancien historique tant que le nouveau n’a pas atteint la durée voulue.

Pour aller plus loin

Sources

Documents consultés en octobre 2026.

Sauvegarde des systèmes d’information – Les fondamentaux (ANSSI-BP-100, v1.1, 27 novembre 2025) — ANSSI, agence française de cybersécurité
Data Protection Act 2017 (sections 31 et 36) — Data Protection Office (Maurice)
SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
Guideline on devising a personal backup plan (CMSGu2017-03) — CERT-MU
Offres et tarifs — WeDoBack

Un projet de sauvegarde, de PRA ou de PCA ?

Plus de 20 ans d’expérience dans la protection des données des entreprises.

Demander un devis 09 72 50 78 28

Protégez vos données avec WeDoBack

Sauvegarde chiffrée hors site, stockage immuable, PRA et PCA : décrivez-nous vos serveurs, nous vous proposons la bonne combinaison.

Demander un devis Voir les offres et tarifs