Sauvegarde cloud en entreprise : comment sécuriser ses données et choisir une solution souveraine

Les scénarios de perte de données ne relèvent pas de la fiction pour les entreprises : un incendie dans un data center, une attaque par ransomware, la défaillance d’un disque dur, une suppression accidentelle.

Pour une entreprise, des pertes de données peuvent se traduire par des jours d’arrêt d’activité, des pénalités RGPD et, dans les cas les plus graves, lorsque les pertes financières sont trop conséquentes, une cessation d’activité. La sauvegarde cloud s’est imposée comme le socle technique pour s’en prémunir à condition d’en maîtriser les règles et les pièges.

Ce guide détaille ce qu’est réellement une sauvegarde cloud professionnelle, comment elle se distingue du stockage et de l’archivage, quels critères de sécurité exiger, et pourquoi la question du cloud souverain est devenue indissociable du sujet pour les entreprises françaises.

Sauvegarde cloud en entreprise : définition et enjeux

Qu'est-ce que la sauvegarde cloud ?

La sauvegarde cloud (ou cloud backup) consiste à copier régulièrement les données d’une entreprise vers une infrastructure de stockage distante, opérée par un prestataire tiers et accessible via internet. L’objectif n’est pas l’usage quotidien des fichiers, mais la restauration : retrouver une version intègre des données en cas d’incident.

Contrairement à une sauvegarde sur disque externe ou sur serveur local, la sauvegarde cloud présente trois caractéristiques structurantes : l’externalisation physique (les copies sont éloignées géographiquement du site principal), l’automatisation (planification, rétention, versioning), et l’élasticité (la capacité s’ajuste aux volumes réels sans investissement matériel préalable).

Sauvegarde, stockage et archivage : trois fonctions distinctes

Ces trois termes sont souvent employés indifféremment, ce qui conduit à des stratégies bancales. Ils répondent pourtant à des besoins différents.

• Le stockage désigne l’espace où les données vivent au quotidien : serveurs de fichiers, espaces collaboratifs, bases de données en production. C’est la donnée active, lue et modifiée.
• La sauvegarde est une copie de sécurité de ces données, destinée à être restaurée en cas de perte. Elle est rejouable et porte sur une période courte à moyenne (quelques jours à quelques mois selon la politique de rétention).
• L’archivage vise la conservation longue durée de données qui n’évoluent plus, pour répondre à des obligations légales ou métiers (factures, contrats, dossiers patients). L’archivage à valeur probante ajoute une dimension juridique : garantir l’intégrité, l’horodatage et la traçabilité de la donnée pour qu’elle soit recevable en cas de contentieux.

Une stratégie complète articule les trois : on stocke pour travailler, on sauvegarde pour restaurer, on archive pour prouver.

Quelles données sauvegarder en priorité ?

Toutes les données d’une entreprise n’ont pas la même criticité. La hiérarchisation est la première étape d’une politique de sauvegarde efficace. Quatre familles méritent une attention prioritaire :

1. Les données métier critiques : fichiers clients, comptabilité, ERP, CRM, propriété intellectuelle, contrats. Leur perte affecte directement l’activité.
2. Les applications et serveurs : les sauvegardes de type image ou bare-metal permettent de restaurer un système entier, et pas seulement des fichiers, en cas de défaillance majeure.
3. Les données collaboratives SaaS : Microsoft 365, Google Workspace, plateformes CRM. Contrairement à une idée largement répandue, les éditeurs SaaS ne sauvegardent pas vos données au sens où vous l’entendez : leur responsabilité couvre la disponibilité de la plateforme, pas la récupération de vos contenus en cas de suppression accidentelle ou de chiffrement par ransomware.
4. Les données réglementées et de conformité : registres RGPD, journaux d’audit, données de santé, pièces comptables soumises à durée de conservation légale.

Pourquoi une sauvegarde cloud est-elle si stratégique pour une entreprise ?

Ransomware, erreurs humaines, sinistres : les vrais scénarios de perte

La perte de données provient rarement d’une catastrophe spectaculaire.

Selon le Baromètre Hiscox 2024 sur la cybersécurité, 53 % des entreprises françaises ont été touchées par au moins une cyberattaque en un an, et le ransomware reste l’incident le plus coûteux.

À cela s’ajoutent des causes plus prosaïques mais tout aussi destructrices : suppression accidentelle d’un dossier partagé, panne matérielle, corruption logicielle, départ d’un collaborateur, incendie ou dégât des eaux dans un local technique (on ne présente plus le cas de l’incident du datacenter d’OVHcloud à Strasbourg en mars 2021).

Le coût d'une interruption d'activité pour une PME

Au-delà de la perte de données elle-même, c’est l’arrêt d’activité qui pèse le plus lourd.

Selon une étude Asterès / CRiP de 2023, le coût moyen d’une cyberattaque pour une entreprise française est estimé à plus de 58 000 euros, avec des durées d’indisponibilité qui se mesurent en jours pour une PME mal préparée. Pour des secteurs à forte intensité opérationnelle (industrie, e-commerce, santé), chaque heure d’arrêt se chiffre rapidement en milliers d’euros.

RGPD, durées de conservation, traçabilité : ce que la loi impose

Le RGPD n’impose pas explicitement de réaliser des sauvegardes, mais il exige des mesures techniques et organisationnelles « appropriées » pour garantir la sécurité, l’intégrité et la disponibilité des données personnelles (article 32). En pratique, l’absence de stratégie de sauvegarde est régulièrement relevée par la CNIL comme un manquement aggravant en cas de fuite ou de perte de données.

À cela s’ajoutent des obligations sectorielles : la directive NIS 2 pour les entités essentielles et importantes, DORA pour le secteur financier, ou la certification HDS pour les hébergeurs de données de santé.

À noter sur les Données de santé (HDS) : Les établissements de santé et leurs sous-traitants doivent héberger les données de santé à caractère personnel chez un prestataire certifié HDS (Hébergeur de Données de Santé). Cette certification, délivrée par un organisme accrédité, couvre à la fois l’hébergement et la sauvegarde externalisée de ces données. Aucune dérogation n’est tolérée par la CNIL.

Les types de sauvegarde cloud : complète, incrémentielle, différentielle

Trois méthodes coexistent et se combinent dans la plupart des politiques de sauvegarde professionnelles. 

En pratique, la plupart des stratégies professionnelles combinent une sauvegarde complète hebdomadaire ou mensuelle avec des incrémentielles quotidiennes, ce qui offre le meilleur équilibre entre volume, fenêtre d’exécution et complexité de restauration. 

Cloud public, privé, hybride : quel modèle choisir ?

Cloud public

Les services sont opérés par un fournisseur (hyperscaler ou acteur spécialisé) et mutualisés entre plusieurs clients. C’est le modèle le plus économique, le plus élastique, et celui qui demande le moins d’expertise interne pour démarrer. Il convient à la majorité des données NON sensibles d’une PME.

Cloud privé

L’infrastructure est dédiée à une seule organisation, soit hébergée en interne (on-premise), soit chez un prestataire qui la lui réserve. Le contrôle est maximal, la sécurité plus simple à auditer, mais le coût et la complexité opérationnelle augmentent. Pertinent pour les données stratégiques ou soumises à des contraintes réglementaires fortes.

Cloud hybride

Combinaison des deux : les données les plus sensibles restent sur un cloud privé ou en interne, tandis que les charges plus génériques (collaboration, sauvegarde de second niveau, environnements de test) basculent sur du cloud public. C’est aujourd’hui le modèle le plus répandu dans les PME et ETI françaises, parce qu’il offre une transition progressive et une maîtrise fine des risques.

Cloud souverain et hébergement en France : un enjeu stratégique

Qu'est-ce que le cloud souverain (France et Europe) ?

Un cloud souverain est une infrastructure dont l’opérateur, les data centers, les sous-traitants et le personnel d’exploitation relèvent exclusivement de la juridiction française ou européenne. L’enjeu : garantir que les données ne pourront pas être soumises à une législation extraterritoriale.

Le problème ne se limite pas à la localisation physique des serveurs. 

Le Cloud Act américain autorise les autorités américaines à exiger l’accès aux données détenues par une entreprise américaine, y compris lorsque ces données sont hébergées en Europe. AWS, Microsoft Azure et Google Cloud, qui captent entre 70 et 80 % du marché européen, sont concernés. Pour une entreprise française qui traite des données sensibles, l’hébergement « en France » d’un hyperscaler américain ne suffit donc pas à garantir la souveraineté.

Le label SecNumCloud de l'ANSSI

SecNumCloud est le visa de sécurité délivré par l’ANSSI aux prestataires de services cloud qui répondent à un cahier des charges exigeant : sécurité technique, gouvernance, immunité aux législations extraterritoriales. C’est aujourd’hui la référence française pour qualifier un cloud comme réellement souverain.

Plusieurs acteurs sont qualifiés ou en cours de qualification : OVHcloud, 3DS Outscale, Numspot, Cloud Temple, entre autres. Pour les administrations et les opérateurs d’importance vitale, SecNumCloud est devenu une exigence de fait pour les données les plus sensibles.

À noter : Cloud de confiance ≠ cloud souverain 

Le terme “cloud de confiance” est un dispositif qui permet à un hyperscaler américain de proposer une offre opérée par un partenaire français (cas de Bleu, coentreprise Capgemini-Orange-Microsoft, ou de S3NS, coentreprise Thales-Google). Ces offres visent SecNumCloud, mais leur immunité réelle au Cloud Act fait l’objet de débats. Pour les usages les plus sensibles, un cloud 100 % français reste la voie la plus sûre.

Les critères d'une sauvegarde cloud sécurisée

Chiffrement des données au repos et en transit

Le chiffrement est la première ligne de défense. Trois niveaux à distinguer :

• Les données en transit : les données sont chiffrées (TLS 1.2 minimum, idéalement 1.3) pendant leur transfert entre votre infrastructure et le cloud du prestataire.
• Les données “au repos” : les données stockées sur les serveurs du prestataire sont chiffrées (AES-256 standard).
• Sécurité de bout en bout : la clé de chiffrement est détenue par le client et non par le prestataire. C’est la seule configuration où le prestataire ne peut techniquement pas accéder à vos données en clair.

Règle 3-2-1 et son évolution 3-2-1-1-0

La règle 3-2-1 est le standard historique de la sauvegarde : 3 copies de la donnée, sur 2 supports différents, dont 1 hors site. 

Face à la sophistication des cyberattaques (notamment les ransomwares), elle a évolué vers la 3-2-1-1-0 : on ajoute 1 copie immuable ou hors ligne, et 0 erreur lors des tests de restauration.

Immutabilité et protection anti-ransomware

Une sauvegarde immuable ne peut être ni modifiée, ni supprimée pendant une durée définie, même par un administrateur disposant des droits les plus élevés. C’est la parade la plus efficace contre les ransomwares modernes, qui ciblent désormais explicitement les sauvegardes pour rendre la restauration impossible et forcer le paiement de la rançon.

Authentification forte et gestion des accès

L’authentification multifacteur (MFA) doit être imposée sur tous les comptes ayant accès à la console de sauvegarde. La gestion des droits doit suivre le principe du moindre privilège : un administrateur de sauvegarde ne devrait pas pouvoir modifier les politiques de rétention sans validation, et la suppression de sauvegardes devrait nécessiter une double authentification.

Tests de restauration : la sauvegarde non testée n'existe pas

Une sauvegarde qui n’a jamais été restaurée avec succès est une hypothèse, pas une protection. Les tests doivent être planifiés (a minima trimestriels pour les données critiques), documentés, et porter à la fois sur la restauration partielle (un fichier, un dossier) et complète (une application, un serveur entier).

Comment choisir son prestataire de sauvegarde cloud ?

Certifications à exiger

• ISO/IEC 27001 : norme de référence pour la sécurité de l’information. C’est le minimum attendu pour tout prestataire sérieux.
• HDS : obligatoire dès qu’il y a hébergement ou sauvegarde de données de santé.
• SecNumCloud : indispensable pour les opérateurs d’importance vitale, fortement recommandé pour toute donnée stratégique.
• ISO 27017 et 27018 : extensions de l’ISO 27001 spécifiques aux services cloud et à la protection des données personnelles.

Localisation des données et clauses de souveraineté

​Le contrat avec votre prestataire doit préciser sans ambiguïté la localisation des data centers principaux et de sauvegarde, l’identité des sous-traitants, et la juridiction applicable. 

Les clauses de transfert de données hors UE doivent être examinées avec attention : un transfert vers les États-Unis reste juridiquement fragile, malgré le Data Privacy Framework adopté en 2023.

SLA : disponibilité, délais de restauration, pénalités

Un bon accord SLA (Service Level Agreement) couvre trois dimensions : 

• la disponibilité de la plateforme (99,9 % au minimum)
• les délais de restauration engagés
• et les pénalités en cas de manquement. Méfiez-vous des SLA qui ne prévoient que des avoirs commerciaux en cas de perte de données,  ils ne sont pas un engagement réel.

Réversibilité et portabilité : éviter le vendor lock-in

Le contrat doit garantir la possibilité de récupérer vos données dans un format exploitable et dans un délai raisonnable en cas de rupture. La réversibilité n’est pas une option : c’est une condition de votre liberté stratégique. Cette question est d’autant plus critique dans un secteur cloud en consolidation, où les rachats et fermetures de services sont fréquents.

Sauvegarde, archivage à valeur probante et GED : une approche globale de la donnée

La sauvegarde cloud protège contre la perte de données, mais elle ne couvre ni la conservation légale longue durée, ni l’organisation quotidienne de l’information dans l’entreprise. Une stratégie complète articule trois briques complémentaires :

• La sauvegarde assure la restauration en cas d’incident.
• L’archivage à valeur probante garantit la conservation intègre et opposable des documents soumis à obligation légale (factures électroniques, contrats, bulletins de paie, dossiers patients) sur des durées qui peuvent atteindre dix ans, voire plus.
• La GED (Gestion Électronique des Documents) organise, classe et rend accessibles les documents au quotidien, avec des règles de cycle de vie qui pilotent leur passage en archivage.

Considérer la sauvegarde isolément, c’est s’exposer à des failles de conformité : une facture électronique sauvegardée n’est pas pour autant archivée à valeur probante, et un document archivé n’est pas pour autant accessible dans le workflow métier.

Konica Minolta n’est pas un hyperscaler, mais un intégrateur et opérateur de services cloud pour les entreprises françaises. 

Notre rôle : vous accompagner dans le choix d’une infrastructure adaptée à vos enjeux de souveraineté, de conformité et de continuité, en articulant les briques sauvegarde, hébergement cloud, sécurité informatique et logiciel GED dans une approche cohérente.

Voir nos solutions cloud

Réversibilité et portabilité : éviter la dépendance fournisseur

Le contrat doit garantir la possibilité de récupérer vos données dans un format exploitable et dans un délai raisonnable en cas de rupture. La réversibilité n’est pas une option : c’est une condition de votre liberté stratégique. Cette question est d’autant plus critique dans un secteur cloud en consolidation, où les rachats et fermetures de services sont fréquents.