L’ANSSI a traité 128 compromissions par rançongiciel en 2025, et près de la moitié visaient des structures de petite ou moyenne taille. Le coût moyen d’une attaque de ce type pour une PME française se situe entre 130 000 et 250 000 euros, interruption d’activité comprise. Face à ces chiffres, la sauvegarde n’est plus une tâche d’informaticien consciencieux : c’est une assurance-vie pour votre entreprise.
Or, dans beaucoup de TPE, la stratégie de sauvegarde se résume à un disque dur externe branché en permanence sur le poste du dirigeant. Autant dire rien, puisqu’un ransomware chiffrera ce disque en même temps que le reste. Voici comment faire mieux, sans y passer vos week-ends ni exploser votre budget.
Pourquoi le disque externe ne suffit plus
Un disque branché sur le poste qu’il sauvegarde partage tous ses risques : vol, incendie, surtension, et surtout chiffrement par un rançongiciel. Les attaquants modernes cherchent systématiquement les sauvegardes accessibles depuis le réseau avant de déclencher le chiffrement. Une sauvegarde que votre ordinateur peut écraser, un pirate peut la détruire aussi.
La référence en la matière reste la règle 3-2-1 : trois copies de vos données, sur deux supports différents, dont une hors site. Concrètement pour une TPE, cela donne les fichiers de travail sur le poste, une copie sur un NAS ou un disque local, et une copie dans le cloud. C’est cette troisième copie, distante et déconnectée de votre réseau, qui vous sauve le jour où tout brûle, au sens propre comme au figuré.
Le cloud coche naturellement la case “hors site”. Il ajoute deux atouts précieux : l’automatisation (la sauvegarde tourne toute seule, chaque jour) et le versioning, c’est-à-dire la conservation des versions antérieures de chaque fichier. Si un ransomware chiffre vos documents un mardi, vous restaurez la version du lundi.
Synchronisation n’est pas sauvegarde
Première confusion à dissiper : Google Drive, Dropbox ou OneDrive ne sont pas des solutions de sauvegarde. Ce sont des outils de synchronisation. Si vous supprimez un fichier par erreur, la suppression se propage partout. Si un ransomware chiffre vos documents, les versions chiffrées écrasent les saines sur tous vos appareils en quelques minutes.
Ces services conservent certes une corbeille et un historique de versions, souvent limité à 30 jours. C’est un filet de secours, pas une stratégie. Une vraie sauvegarde est un flux à sens unique, avec une rétention longue et une copie que personne ne peut modifier depuis votre poste. La nuance paraît technique, elle fait toute la différence le jour de l’incident.
Quelle solution selon votre profil
Le marché est vaste, mais pour une petite structure, trois familles couvrent l’essentiel des besoins.
Pour l’indépendant ou la TPE de 2-3 postes : Backblaze. La formule Computer Backup sauvegarde un poste en illimité pour environ 99 dollars par an. Aucun réglage, tout est automatique, la restauration se fait en ligne ou par envoi d’un disque physique. La limite : la solution sauvegarde les fichiers, pas le système complet, et fonctionne poste par poste. Pour un consultant ou un cabinet de deux personnes, c’est dans notre expérience le meilleur rapport simplicité-prix du marché.
Pour la TPE équipée de plusieurs postes et d’un serveur : IDrive ou Acronis. IDrive propose un espace mutualisé entre tous vos appareils (postes, serveurs, mobiles) à partir d’une centaine d’euros par an pour plusieurs téraoctets. Acronis Cyber Protect joue dans la catégorie supérieure : image disque complète, protection contre les ransomwares intégrée, console d’administration centralisée et hébergement possible dans des datacenters européens. Comptez un budget plus élevé, justifié dès que vous avez un serveur métier dont l’arrêt coûte cher.
Pour ceux qui privilégient l’hébergement français ou européen. Les questions de souveraineté et de RGPD poussent certaines entreprises vers des acteurs comme OVHcloud, Infomaniak (Swiss Backup) ou des prestataires régionaux. Les tarifs restent comparables, et l’argument commercial vis-à-vis de vos propres clients n’est pas négligeable, notamment si vous manipulez des données sensibles.
| Solution | Budget indicatif | Profil idéal |
|---|---|---|
| Backblaze | ~99 $/poste/an | Indépendant, TPE 1-3 postes |
| IDrive | ~100-200 €/an | TPE multi-appareils |
| Acronis Cyber Protect | Sur devis, dès ~85 €/poste/an | TPE avec serveur, besoin sécurité |
| OVHcloud / Infomaniak | Variable | Exigence hébergement UE |
N’oubliez pas vos données Microsoft 365 et Google Workspace
Voilà l’angle mort le plus répandu. Vos emails, vos fichiers SharePoint, vos agendas vivent chez Microsoft ou Google, donc vous les croyez protégés. C’est en partie faux : ces éditeurs garantissent la disponibilité de leur service, pas la restauration de vos données. Un compte compromis, une suppression malveillante par un salarié sur le départ, une erreur de manipulation au-delà du délai de rétention, et les données sont perdues. Microsoft recommande d’ailleurs lui-même{:target="_blank"} de recourir à une sauvegarde tierce dans son modèle de responsabilité partagée.
Des solutions dédiées (Acronis, Veeam, Dropsuite, entre autres) sauvegardent quotidiennement vos boîtes mail et vos espaces de stockage cloud pour quelques euros par utilisateur et par mois. Si votre activité repose sur votre messagerie, cette ligne budgétaire se discute à peine.
Les bonnes pratiques qui changent tout
Une sauvegarde mal configurée donne une fausse tranquillité, ce qui est pire que pas de sauvegarde du tout. Quatre réflexes à ancrer :
- Testez la restauration. Une fois par trimestre, restaurez réellement quelques fichiers, et chronométrez. Une sauvegarde jamais testée est une hypothèse, pas une protection. On constate souvent que le test révèle des dossiers exclus par erreur ou des mots de passe perdus.
- Activez le chiffrement avec votre propre clé. La plupart des solutions le proposent. Notez cette clé hors ligne : sans elle, vos données sont irrécupérables, y compris par l’éditeur.
- Vérifiez la rétention. Trente jours de versions, c’est le minimum. Certains ransomwares restent dormants plusieurs semaines avant de se déclencher, une rétention courte peut ne conserver que des versions déjà contaminées.
- Surveillez les rapports. Toutes les solutions sérieuses envoient un compte rendu par email. Lisez-le, ou au moins configurez une alerte en cas d’échec. Une sauvegarde qui échoue en silence pendant six mois, c’est un classique des post-mortems.
La sauvegarde s’inscrit dans une hygiène numérique plus large : mots de passe robustes, double authentification, mises à jour. Nous avons détaillé ces fondamentaux dans notre article sur les gestes simples qui évitent 90 % des attaques. Et si la corvée de vérification vous rebute, des outils d’automatisation gratuits peuvent centraliser les alertes de vos différents services dans un seul canal.
Combien de temps pour tout mettre en place
Moins que vous ne le pensez. Pour une TPE de cinq postes sans serveur : une demi-journée pour choisir la solution et créer les comptes, une heure par poste pour installer l’agent, une nuit pour la première sauvegarde complète (comptez plus si votre connexion est lente, la première passe envoie tout). Ensuite, le système vit sa vie, avec un point trimestriel de dix minutes pour le test de restauration.
Rapporté au coût d’une seule journée d’activité perdue, l’investissement se rembourse dès le premier incident évité. Les 60 % de PME qui ferment dans les 18 mois suivant une attaque majeure n’avaient, pour la plupart, pas de copie hors site exploitable. Ne les rejoignez pas.