Sauvegardes en PME ou en mairie : qui doit prouver qu'une restauration fonctionnera vraiment ?

Dans une PME ou une petite collectivité, une sauvegarde restaurable ne se résume pas à un voyant vert. Le vrai sujet, plus discret, tient au test de restauration, au PRA pour PME et à la personne qui doit vérifier, preuve à l'appui, que l'activité pourra repartir.

Une sauvegarde qui tourne n'est pas encore une reprise possible

Beaucoup de structures lisent des rapports rassurants : tâche exécutée, volume sauvegardé, stockage disponible. C'est utile, bien sûr. Mais cela ne répond pas à la seule question qui compte quand un serveur tombe ou qu'un ransomware chiffre un partage : combien de temps faut-il pour restaurer, avec quelles priorités, et qui pilote l'opération ?

Une supervision de sauvegarde informatique sérieuse ne contrôle pas seulement l'exécution des jobs. Elle vérifie aussi la cohérence des jeux de données, la présence des journaux, les alertes silencieuses, les exclusions involontaires et la capacité réelle à relancer une application métier. C'est là que l'illusion se fissure un peu.

Dans une mairie sans DSI, comme dans une PME de 30 postes, le risque est identique : tout le monde pense que quelqu'un maîtrise la restauration. Or, souvent, personne n'a reçu de mission explicite, et personne n'a validé de procédure écrite.

Le rôle de chacun doit être attribué avant l'incident

La direction décide du niveau de risque acceptable

La direction générale, le secrétaire de mairie ou le dirigeant n'a pas à restaurer des fichiers. En revanche, c'est bien à ce niveau que se décide ce qui doit redémarrer en premier : comptabilité, état civil, dossiers clients, messagerie, serveur de fichiers, logiciel métier. Sans cet arbitrage, le prestataire travaille à l'aveugle et le référent interne improvise.

Autrement dit, la gouvernance de la sauvegarde ne relève pas seulement de la technique. Elle relève de la continuité d'activité. C'est ce que nous cadrons souvent lors d'un dispositif de sauvegarde externalisée ou d'une mission d'infogérance : définir ce qui vaut la peine d'être restauré vite, et ce qui peut attendre quelques heures.

Le prestataire exécute, teste et documente

Le prestataire IT doit assumer une part très concrète : réaliser les tests convenus, remonter les écarts, documenter les temps observés et signaler les dépendances oubliées. Une sauvegarde déclarée conforme sans test de restauration n'est, au fond, qu'une promesse technique.

Le référent interne, lui, joue un rôle moins visible mais décisif : confirmer que les données restaurées sont exploitables pour le métier. Un serveur remis en route n'a pas grande valeur si le logiciel de gestion, les droits utilisateurs ou le partage documentaire restent inutilisables.

Le jour où le NAS était intact, mais le logiciel métier inutilisable

Dans une PME de services en Seine-et-Marne, le stockage semblait sain. Les sauvegardes nocturnes passaient, les alertes aussi, tout paraissait calme. Puis une base applicative a été corrompue après une mauvaise manipulation. La restauration de fichiers a bien démarré, mais personne n'avait vérifié la compatibilité entre la base restaurée, la machine hôte et la version du logiciel.

Nous avons repris la situation à partir des éléments disponibles, avec un point d'appui sur la documentation et les journaux conservés dans le cadre de l'accompagnement récurrent. La remise en service a été possible, mais plus lente qu'attendu, parce que le test utile n'était pas le test du stockage : c'était celui de l'application complète.

Ce genre d'écart ne fait pas de bruit avant l'incident. Ensuite, il prend toute la pièce.

Cinq preuves minimales à exiger dans un rapport de sauvegarde

Pour savoir si une sauvegarde d'entreprise est réellement restaurable, il faut demander un rapport plus exigeant que le simple statut OK. Voici les cinq points minimaux que nous conseillons d'obtenir.

1. Le périmètre exact sauvegardé : serveurs, postes critiques, messagerie, Microsoft 365, bases métiers, NAS, droits associés.
2. La date du dernier test de restauration : pas seulement la date de la dernière sauvegarde réussie.
3. Le type de test réalisé : fichier isolé, machine virtuelle, base applicative, restauration complète sur environnement distinct.
4. Le temps de remise à disposition observé : durée réelle, pas estimation commerciale.
5. Les écarts ou limites connus : dépendance réseau, bande passante, espace de reprise, version logicielle, validation métier manquante.

Si l'un de ces points manque, vous n'avez pas une preuve de restaurabilité. Vous avez, au mieux, une indication partielle. Les recommandations de l'ANSSI vont d'ailleurs dans ce sens : la sauvegarde n'a de valeur qu'adossée à une capacité de restauration vérifiée.

Quand demander un test partiel, et quand exiger un test complet

Le test partiel suffit dans trois cas fréquents

Un test de restauration en PME peut rester ciblé si l'environnement change peu, si l'on veut valider un fichier sensible ou si l'on vérifie une boîte mail, un dossier RH ou un partage comptable. C'est le niveau minimal, à répéter régulièrement. Il rassure sur le geste de récupération, pas sur toute la chaîne de reprise.

Le test complet devient nécessaire dès qu'un maillon est critique

En revanche, il faut un test plus large après un changement de serveur, une migration Microsoft 365, un nouveau logiciel métier, un renouvellement de pare-feu, ou dès qu'une structure dépend d'une seule machine. Pour une petite collectivité, c'est souvent le cas. Pour une PME sans DSI, presque toujours.

Un PRA pour PME n'a pas besoin d'être lourd pour être utile. Il doit surtout décrire l'ordre de reprise, les responsabilités, les moyens d'accès, les comptes d'administration, les délais réalistes et la preuve que l'exercice a déjà été mené. Les ressources de France Num sont utiles pour cadrer cette démarche, surtout côté décision.

En Île-de-France, où beaucoup de structures mixtes combinent bureaux, télétravail et applications hébergées, la sauvegarde externalisée prend tout son sens si elle s'accompagne d'une validation humaine régulière, sur site ou à distance. Sinon, on conserve des copies sans certitude. Ce n'est pas rien, mais ce n'est pas assez non plus.

Mettre une preuve au bon endroit, avant qu'il ne soit trop tard

Le bon réflexe n'est pas de demander plus de sauvegardes, mais de demander une preuve simple, lisible et périodique de restaurabilité. Qui valide le périmètre, qui teste, qui constate le résultat, qui alerte si un point dérive : voilà le vrai sujet. Si vous voulez remettre à plat cette responsabilité, nous pouvons vous aider à cadrer la sauvegarde, la supervision et le scénario de reprise dans un format adapté à votre structure. Vous pouvez aussi consulter nos autres articles experts, notre zone d'intervention ou nous contacter via notre point de contact pour faire le point.