Concept de sauvegarde pour les PME suisses : conservation, tests et preuves

Pourquoi « avoir une sauvegarde » ne constitue pas encore un concept

Dans une PME, les données sont plus que de simples fichiers : commandes, factures, plans techniques, historiques de conversations, savoir-faire. Si elles sont perdues ou restent indisponibles pendant plusieurs jours, l’entreprise est à l’arrêt. Un service de sauvegarde efficace ne répond donc pas seulement à la question de savoir si les données sont sécurisées, mais aussi à celle de la rapidité et de l’exhaustivité avec lesquelles la capacité de travail est rétablie après un incident.

De nombreuses entreprises effectuent des sauvegardes, mais sans objectifs clairs. Les éléments décisifs sont le Recovery Time Objective (RTO) – le temps d’indisponibilité maximal toléré pour un système – et le Recovery Point Objective (RPO) – la perte de données acceptable, exprimée en minutes ou en heures. Un concept s’aligne sur ces valeurs, et non sur des calendriers génériques.

Selon l’Étude Cyber 2024, 68 % des prestataires de services informatiques interrogés estiment que le risque de cyberattaques contre les PME suisses est élevé ou très élevé. Celui qui sauvegarde ses données sans régir ni la reprise d’activité, ni la conservation, ni la suppression n’apporte pas de réponse à ce risque, mais propose seulement une solution technique isolée.

Clarifier d’abord : qu’est-ce qui doit revenir en premier ?

Tout commence par un inventaire des éléments critiques pour l’activité : infrastructures serveur classiques et virtualisation, bases de données, services de fichiers, applications spécifiques au secteur, services Microsoft 365 tels que les boîtes aux lettres, OneDrive, SharePoint et Teams, ainsi que les fichiers traités localement sur les ordinateurs portables et les postes de travail. Les systèmes NAS et les supports de stockage d’archives en font également partie. Cela permet d’établir un ordre de priorité : quels systèmes doivent être remis en marche en premier lieu si plusieurs tombent en panne simultanément ?

Cet ordre est associé, pour chaque système, à un RTO et un RPO. L’application qui gère la saisie des commandes a des temps d’indisponibilité et des pertes de données tolérés différents de ceux d’un serveur d’archives. Ces valeurs sont des indicateurs de direction : elles déterminent la technologie et l’effort requis, et non l’inverse.

La protection inclut aussi les postes de travail de remplacement. La restauration la plus rapide des données est inutile si personne ne peut travailler après une panne. Il convient donc de définir où des postes de secours sont nécessaires et quel chemin de reprise fonctionne réellement sous pression – et non celui qui semble seulement cohérent lors d’une planification à tête reposée.

Les délais de conservation comme cadre pour la sauvegarde

L’art. 958f CO exige la conservation pendant dix ans des livres de commerce, des pièces comptables, du rapport annuel et du rapport de révision. Le délai commence à la fin de l’exercice commercial. Le rapport annuel et le rapport de révision doivent être conservés sous forme écrite et signée.

Les livres de commerce et les pièces comptables peuvent être conservés sur papier, sous forme électronique ou d’une manière comparable, à condition que la concordance avec les opérations commerciales et les faits sous-jacents soit garantie et qu’ils puissent être rendus lisibles à tout moment. Les détails sont réglés par le Conseil fédéral dans l’Ordonnance sur les livres de commerce (OLC).

Sont tenus à la comptabilité les entreprises individuelles, les sociétés de personnes, les personnes morales ainsi que les associations et fondations (art. 957 CO). Outre le CO, d’autres dispositions s’appliquent, notamment en droit pénal, dans la loi sur la taxe sur la valeur ajoutée et son ordonnance, dans la loi sur les douanes, dans les lois fiscales, dans la loi sur la protection des données, dans l’ordonnance sur le registre du commerce et auprès des assurances sociales ; des règles supplémentaires s’appliquent aux assurances, aux banques et aux caisses de pension.

Selon une vue d’ensemble des PME, les livres de caisse, les inventaires et les listes de salaires ainsi que la correspondance et les contrats doivent également être conservés pendant dix ans ; le délai commence à la fin de l’exercice commercial au cours duquel le document a été créé.

L’obligation subsiste même après une liquidation : les livres de commerce d’une société radiée doivent être conservés pendant dix ans dans un lieu sûr. Ce lieu est désigné par les liquidateurs ; s’ils ne parviennent pas à se mettre d’accord, c’est l’office du registre du commerce qui tranche (art. 747 CO).

Pour la sauvegarde, cela signifie que la conservation n’est pas la même chose que la sauvegarde technique. La sauvegarde des données sert à la restauration après un incident, tandis que la conservation vise la traçabilité sur dix ans. Le concept de sauvegarde doit maintenir des versions sur de longues périodes, garantir la concordance avec les opérations commerciales et permettre une suppression ordonnée à l’expiration du délai. Les systèmes de conservation électronique doivent protéger les données contre la perte, la destruction et l’accès non autorisé ; une sauvegarde régulière des données est indispensable à cet effet.

Délais de conservation selon la loi suisse : comparaison des types de documents

Intégrer la protection des données et la logique de suppression dans la sauvegarde

La Loi fédérale sur la protection des données (LPD) révisée est entrée en vigueur le 1er septembre 2023. Elle protège les données personnelles des personnes physiques, telles que celles des clientes et clients, des collaboratrices et collaborateurs, des candidats et des interlocuteurs chez les partenaires commerciaux ; les données des personnes morales n’en relèvent plus. Pratiquement chaque PME traite quotidiennement ce type de données personnelles.

Le principe de « Privacy by Design and Default » exige d’intégrer la protection des données dès le choix et la configuration des systèmes : minimisation des données, gestion des droits, journalisation, paramètres par défaut sécurisés ainsi qu’une logique de suppression et de conservation. S’y ajoutent les obligations d’information et les droits des personnes concernées : les processus permettant l’accès aux informations, la rectification et la suppression doivent être en place avant l’arrivée de la première demande. Les violations de la protection des données doivent être notifiées.

Le conflit pratique réside dans la gestion des versions. Si un jeu de données est supprimé dans le système productif, il ne disparaît pas automatiquement des copies de sauvegarde ; un stockage immuable rend la suppression ultérieure encore plus difficile. Les PME doivent donc définir comment elles pondèrent les obligations de conservation et les demandes de suppression, qui effectue cette pondération et comment une suppression est documentée de manière traçable sur toutes les copies, y compris les copies d’archive.

Copies multiples, stockages immuables et séparation

La règle bien connue 3-2-1 est complétée dans la pratique par deux éléments pour devenir 3-2-1-1-0. Les informations critiques pour l’entreprise existent en au moins trois exemplaires, sur deux systèmes de stockage différents, avec une copie hors site. Le second « 1 » représente une sauvegarde immuable (immutable) avec une caractéristique d’Air-Gap, séparée logiquement ou physiquement, afin que les attaquants ou des erreurs de configuration ne puissent pas la manipuler a posteriori. Le zéro est un objectif qualité : zéro erreur lors des derniers tests de restauration.

Les référentiels immuables empêchent les ransomwares d’emporter les sauvegardes avec eux. Ils ne remplacent toutefois pas la protection de l’infrastructure de sauvegarde elle-même. Celle-ci fait partie des infrastructures critiques : le transfert vers la cible de sauvegarde et le stockage sont chiffrés, les accès se font selon le principe du moindre privilège et sont journalisés.

L’étendue découle de l’inventaire priorisé : on sauvegarde ce qui y est considéré comme critique pour l’activité – y compris les services nécessitant la restauration d’éléments individuels ou de boîtes aux lettres. Les systèmes présentant des particularités doivent être pris en compte sans créer de voies spéciales ; l’objectif reste une logique de restauration uniforme et traçable.

Avantages et défis des sauvegardes immuables (Immutable Backups)

S’entraîner à restaurer plutôt que de se contenter de sauvegarder

Un plan de test définit quels systèmes et jeux de données sont testés, à quelle fréquence, avec quels critères de succès et qui valide le résultat. On ne teste pas seulement la restauration complète de serveurs, mais aussi la restauration granulaire de boîtes aux lettres individuelles, de fichiers ou de contenus SharePoint et Teams – justement cette restauration est souvent demandée en cas de sinistre.

Un test échoué est un résultat exploitable : il montre quel document, quelle dépendance ou quelle autorisation manque. L’essentiel est que la correction des erreurs soit consignée par écrit et que le test soit répété.

Des preuves qui résistent à un audit

Un dossier de preuves destiné à un contrôle fiscal, à une révision ou à une demande client contient le plan de sauvegarde avec les systèmes recensés et les RTO et RPO définis par système. S’y ajoutent les protocoles de test avec date, jeux de données contrôlés, résultat et validation, les corrections d’erreurs documentées, les responsabilités ainsi que les règles de conservation et de suppression.

Dans la mesure où les documents relèvent des obligations légales de conservation – en particulier les livres de commerce et les pièces comptables –, ils doivent être conservés pendant dix ans à compter de la fin de l’exercice commercial. Les documents soumis à l’obligation de conservation doivent être protégés contre la perte, la destruction et l’accès non autorisé, dans des locaux d’archives propres ou chez un prestataire de services d’archivage spécialisé.

Le non-respect des obligations de conservation peut entraîner des amendes, des problèmes lors des contrôles fiscaux, des rappels d’impôts et des conséquences pénales. Les preuves ne devraient donc pas se limiter à une documentation informatique chez l’administrateur, mais être tenues de manière traçable et versionnée.

Liste de contrôle : Preuves pour le contrôle fiscal ou la révision

Responsabilité, maintenance et limites du concept

Le concept nécessite des noms : qui lance la sauvegarde, qui vérifie les journaux, qui effectue les tests de restauration, qui les valide, qui décide des suppressions. Pour les documents soumis à l’obligation de conservation, la délégation prend fin : l’organisation et la conception de la comptabilité restent, selon l’art. 716a al. 1 ch. 3 CO, une tâche inaliénable du conseil d’administration.

Le concept doit rester vivant. De nouveaux systèmes, un site supplémentaire, une application externalisée ou le changement d’un service cloud modifient les besoins de protection et les chemins de reprise. Chaque modification de ce type doit être reportée dans le plan de sauvegarde, les RTO et RPO ainsi que le plan de test, sinon la documentation décrit un environnement qui n’existe plus.

Une PME atteint ses limites lorsque la diversité des systèmes, les volumes de données et les obligations de preuve dépassent ses propres ressources, ou lorsque, en cas de sinistre, personne n’est disponible pour effectuer réellement la restauration. Les prestataires comblent cette lacune, entre autres, par des évaluations – telles que des évaluations de sauvegarde ou de reprise après sinistre (Disaster Recovery) – ainsi que par des services de sauvegarde gérés (Managed Backup). La décision reste une question de concept : un prestataire peut fournir l’exploitation et les preuves, mais ne peut pas déterminer quels systèmes doivent revenir en premier ni combien de temps une indisponibilité est tolérable.

Étapes pour élaborer un concept de sauvegarde efficace pour les PME suisses