Sauvegardes cloud : règle 3-2-1, RPO et RTO expliqués simplement

Une bonne stratégie de sauvegarde répond à deux questions : combien de données êtes-vous prêt à perdre (le RPO, objectif de point de reprise) et combien de temps pouvez-vous rester hors service (le RTO, objectif de durée de reprise) ? À partir de ces deux valeurs, appliquez la règle 3-2-1 : trois copies de vos données, sur deux supports différents, dont une hors site. Ajoutez un test de restauration régulier, car une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une garantie. Le snapshot de votre hébergeur est utile, mais il ne remplace pas une sauvegarde indépendante.

RPO et RTO : fixer ses objectifs

Le RPO se mesure en temps : un RPO de 24 heures signifie qu'en cas de sinistre, vous acceptez de perdre au maximum les données des dernières 24 heures. Il détermine la fréquence des sauvegardes. Le RTO exprime la durée maximale d'interruption acceptable : un RTO de 4 heures signifie que le service doit être rétabli en moins de quatre heures. Il détermine le type de solution de reprise et l'entraînement de l'équipe.

Ces valeurs sont des repères d'exemple : définissez les vôtres en demandant à votre direction ou à vos clients combien coûte une heure d'arrêt et quelle perte de données est supportable.

La règle 3-2-1 expliquée

• 3 copies des données : l'original en production et deux sauvegardes.
• 2 supports ou environnements différents : par exemple, le disque du serveur et un stockage objet, ou deux fournisseurs distincts.
• 1 copie hors site, c'est-à-dire dans un autre lieu géographique et, idéalement, chez un autre fournisseur ou sous un autre compte.

Depuis quelques années, de nombreux experts recommandent une variante, souvent notée 3-2-1-1-0 : une copie immuable ou hors ligne (impossible à modifier ou supprimer pendant une durée définie, ce qui protège contre les rançongiciels) et zéro erreur après vérification des sauvegardes.

Que sauvegarder exactement

1. Les bases de données, avec un export cohérent (dump) ou un mécanisme de sauvegarde transactionnelle ; copier simplement les fichiers d'une base en fonctionnement peut produire une sauvegarde inutilisable.
2. Les fichiers téléversés : médias, documents, pièces jointes.
3. Les configurations : fichiers de configuration du serveur, secrets (dans un coffre chiffré), certificats, scripts de déploiement.
4. Le code source, déjà versionné dans un dépôt, mais vérifiez que le dépôt lui-même est sauvegardé.
5. Les e-mails et la messagerie, si vous les hébergez.
6. Les paramètres DNS, que l'on oublie souvent d'exporter.

Fréquence et rétention : un exemple

Un schéma classique de rétention combine plusieurs générations de sauvegardes : par exemple 7 sauvegardes quotidiennes, 4 hebdomadaires et 6 mensuelles. Cela protège contre une erreur découverte tardivement, par exemple une suppression passée inaperçue pendant trois semaines.

Estimation de volume (illustrative) : base de données et fichiers de 100 Go, avec 3 % de changement par jour. Sauvegarde complète hebdomadaire de 100 Go et incrémentales quotidiennes de 3 Go. Pour 4 semaines : 4 × 100 + 24 × 3 = 472 Go environ avant compression. À 0,01 € par Go et par mois (valeur fictive), cela représente environ 4,72 € par mois. Ajoutez vos propres montants dans l'estimateur de budget à la case des frais annexes. Le coût du stockage est souvent faible par rapport à celui d'une perte de données. Consultez aussi notre guide sur le stockage objet pour la facturation des copies hors site.

Tester la restauration

Planifiez un test de restauration complet au moins une fois par an, et un test partiel (restaurer une base ou quelques fichiers) chaque trimestre. Mesurez le temps réellement nécessaire : c'est votre RTO réel, souvent bien supérieur à celui que l'on suppose. Documentez la procédure pour que n'importe quel membre de l'équipe puisse l'appliquer, y compris en l'absence de la personne qui administre habituellement le serveur. Vérifiez que les clés de chiffrement des sauvegardes sont conservées séparément : une sauvegarde chiffrée dont la clé est perdue est inutilisable.

Erreurs fréquentes

1. Stocker les sauvegardes sur le serveur qu'elles protègent.
2. Ne jamais tester la restauration.
3. Ne pas surveiller l'exécution des sauvegardes : une tâche qui échoue en silence depuis des mois est un classique. Activez des alertes en cas d'échec ou d'absence de sauvegarde récente.
4. Oublier la confidentialité : une sauvegarde contient les mêmes données sensibles que la production. Chiffrez-la et limitez les accès.
5. Conserver indéfiniment des données personnelles dans les sauvegardes sans politique de durée : le RGPD impose de ne pas conserver les données plus longtemps que nécessaire, ce qui s'applique aussi aux sauvegardes, avec une durée de rétention justifiée.
6. Ignorer le cas du compte compromis : séparez les droits d'accès entre production et sauvegarde.

Quand demander de l'aide

Si vous hébergez des données de santé ou des données sensibles, ou si votre RTO est inférieur à une heure, consultez un professionnel de la continuité d'activité. Pour les organisations concernées par NIS 2 ou par des exigences sectorielles, la continuité d'activité est une obligation documentée ; vérifiez les textes applicables auprès de l'ANSSI.

FAQ

Un snapshot est-il une sauvegarde ?

Il constitue une protection rapide contre une erreur de configuration, mais pas une sauvegarde indépendante, car il reste lié au même fournisseur et au même compte.

À quelle fréquence sauvegarder une base de données ?

Selon votre RPO. Pour une boutique, toutes les heures voire en continu avec une réplication ; pour un blog, une fois par jour suffit.

La sauvegarde chiffrée est-elle obligatoire ?

Pas explicitement dans tous les cas, mais le RGPD exige des mesures de sécurité adaptées au risque ; le chiffrement des sauvegardes contenant des données personnelles est une mesure largement recommandée.

Sources

• ANSSI – Cyber.gouv.fr — guides sur les sauvegardes et la lutte contre les rançongiciels
• CNIL — sécurité des données personnelles et durées de conservation
• Cybermalveillance.gouv.fr — assistance et prévention pour les entreprises et particuliers