Sauvegarde hors site : pourquoi vos backups ne doivent jamais être au même endroit que vos données

Par l’équipe Guardis, hébergeur-opérateur souverain certifié ISO 27001 et HDS.

En 30 secondes
Une sauvegarde stockée au même endroit que vos données ne protège pas d’un sinistre majeur : incendie, inondation, vol, rançongiciel, erreur humaine. La règle de référence est la 3-2-1, désormais étendue en 3-2-1-1-0 : 3 copies, sur 2 supports, dont 1 hors site, dont 1 hors ligne (immuable), avec 0 erreur vérifiée par des tests de restauration. Pour des données sensibles ou de santé, une sauvegarde sérieuse ajoute une séparation géographique réelle et des objectifs RPO/RTO contractuels. Guardis conçoit, opère et teste ces sauvegardes pour vous, répliquées sur des sites distants de plus de 400 km, avec des copies hors ligne.

La vraie question n’est pas de savoir si vous faites des sauvegardes. C’est de savoir où elles sont, et si elles survivraient à la disparition de votre site principal. Une copie de secours rangée dans le même bâtiment que le serveur d’origine s’envole avec lui. C’est tout l’enjeu de la sauvegarde hors site : garantir qu’aucun événement unique ne puisse emporter à la fois vos données et leur filet de sécurité.

Cet article explique la règle qui structure une stratégie de sauvegarde fiable, les risques réels contre lesquels elle vous protège, les garanties à exiger, et la façon dont nous mettons tout cela en oeuvre pour vous.

La règle 3-2-1, et son évolution 3-2-1-1-0

La bonne pratique reconnue tient d’abord en trois chiffres :

• 3 copies de vos données : l’originale et deux sauvegardes. Cela couvre la corruption d’un fichier ou la défaillance d’une copie.
• 2 supports de nature différente, par exemple un stockage disque et une bande. Un même type de support partage les mêmes modes de panne ; en diversifier protège contre une défaillance générale.
• 1 copie hors site, dans un lieu géographiquement distinct. C’est elle qui vous sauve d’un sinistre qui détruit le site principal.

Le premier réflexe public recommandé en France, sur le site officiel cybermalveillance.gouv.fr, va dans ce sens : conserver une sauvegarde dans un lieu différent de vos données, et déconnecter le support après usage.

Face à l’explosion des rançongiciels, la règle a été étendue en 3-2-1-1-0 :

• +1 copie hors ligne ou immuable : une sauvegarde déconnectée du réseau, ou non modifiable, que les rançongiciels ne peuvent ni chiffrer ni supprimer. C’est aujourd’hui le point décisif, et c’est l’objet d’une approche dédiée que nous détaillons dans notre page sur la sauvegarde immuable.
• 0 erreur : une sauvegarde n’a de valeur que restaurable. Le « 0 » impose des tests de restauration réguliers, faute de quoi vous découvrez le problème le jour de l’incident.

Le maillon faible, dans la pratique, c’est presque toujours le premier « 1 », la copie hors site. Beaucoup d’organisations possèdent plusieurs sauvegardes, mais toutes au même endroit. Le jour d’un sinistre, elles disparaissent ensemble.

Quel support pour quelle sauvegarde

Le « 2 supports » de la règle mérite une précision : chaque support a un rôle différent, et c’est leur combinaison qui fait la robustesse.

• Disque rapide (SAN/NAS, flash). Restauration rapide, donc adapté à un RTO court pour les applications critiques. Inconvénient : connecté en permanence, donc exposé au chiffrement par rançongiciel s’il n’est pas isolé.
• Stockage objet répliqué. Conçu pour les gros volumes, avec réplication automatique sur plusieurs noeuds. Bon compromis capacité et résilience.
• Bande (LTO). Plus lente, mais déconnectable et peu coûteuse au téraoctet. C’est l’une des formes les plus fiables d’air gap pour l’archivage et la copie de dernier recours.
• Stockage immuable (WORM). Verrouille les copies pendant une durée définie : ni modification, ni suppression possibles, même par un administrateur compromis.

Une stratégie sérieuse mêle un support rapide pour la reprise courante et un support hors ligne ou immuable pour le pire scénario. Attention enfin à une confusion fréquente : un disque en RAID protège d’une panne matérielle, mais ce n’est pas une sauvegarde. Une suppression ou un chiffrement se propage à tous les disques de la grappe.

Contre quoi une sauvegarde hors site vous protège vraiment

On réduit souvent la sauvegarde à la panne de disque. La réalité est plus large : une stratégie hors site répond à une série de risques qui peuvent toucher un site entier d’un coup.

Le sinistre physique

Incendie, inondation, dégât électrique : un événement matériel peut détruire l’intégralité d’un bâtiment. En mars 2021, l’incendie du datacenter SBG2 d’OVHcloud à Strasbourg a détruit le site, et des clients dont les sauvegardes étaient hébergées dans le même bâtiment que leurs serveurs les ont perdues définitivement. Le sinistre a fait l’objet d’un rapport d’enquête officiel de l’IGEDD. La leçon ne vise pas un fournisseur en particulier : elle vaut pour tous. Une sauvegarde qui partage le sort du site principal n’est pas une sauvegarde.

Le rançongiciel

Les attaques par rançongiciel ciblent en priorité les sauvegardes accessibles en ligne, justement pour vous priver de toute option de restauration et vous forcer à payer. Une copie hors ligne (air gap) ou immuable casse ce scénario : même si le réseau est compromis, cette copie reste intacte. C’est aussi le terrain de la cybersécurité opérée, que nous abordons via notre SOC managé.

L’erreur humaine et la malveillance interne

Suppression accidentelle, mauvaise manipulation, action d’un compte compromis : une part importante des pertes de données vient de l’intérieur. L’immuabilité et une rétention suffisante permettent de revenir à un état antérieur sain.

La défaillance d’un fournisseur

Panne prolongée, faillite, litige : dépendre d’un seul prestataire sans copie récupérable ailleurs est un risque. La réversibilité et une copie que vous pouvez récupérer comptent autant que la sauvegarde elle-même.

Les garanties d’une sauvegarde souveraine sérieuse

Au-delà des chiffres de la règle, une sauvegarde digne de données sensibles repose sur cinq garanties concrètes.

Une séparation géographique réelle

Une copie « hors site » à quelques kilomètres reste exposée au même risque régional, qu’il soit climatique ou électrique. La distance compte. Visez des sites véritablement éloignés, capables de survivre à un événement local majeur.

Une copie hors ligne (air gap)

Une sauvegarde déconnectée du réseau échappe au chiffrement par rançongiciel. La sauvegarde sur bande, sortie du circuit en ligne, est l’une des formes les plus robustes de cet « air gap ».

L’immuabilité

Des copies non modifiables et non supprimables pendant une durée définie protègent contre l’altération, accidentelle ou malveillante. C’est le complément logique de l’air gap.

Des objectifs RPO et RTO tenus

Deux indicateurs structurent votre résilience :

• le RPO (Recovery Point Objective) : la quantité de données que vous acceptez de perdre, exprimée en temps. Un RPO de 24 h signifie que vous pourriez perdre jusqu’à une journée de données ; un RPO de 1 h réduit fortement cette perte, au prix de sauvegardes plus fréquentes.
• le RTO (Recovery Time Objective) : le délai maximal acceptable avant le retour en service.

Ces deux cibles se définissent en fonction de la criticité de chaque application, puis se traduisent dans le dimensionnement des sauvegardes et du plan de reprise.

Des tests de restauration

Une sauvegarde non testée n’est qu’une hypothèse. Les tests réguliers de restauration, idéalement dans le cadre d’un plan de reprise d’activité, sont ce qui transforme une promesse en garantie. C’est précisément l’objet d’un plan de reprise d’activité (PRA) structuré.

Sauvegarde et conformité : le cas des données de santé

Pour des données de santé, ces exigences ne relèvent pas du confort, mais du cadre réglementaire. La CNIL range les données de santé parmi les données sensibles, soumises à des garanties renforcées. La certification HDS, dont nous détaillons les obligations dans notre guide pour choisir un hébergeur HDS, repose notamment sur la disponibilité et l’intégrité des données : deux propriétés qu’une stratégie de sauvegarde hors site sert directement. Un hébergement HDS sérieux intègre donc, par construction, la sauvegarde géo-séparée et la reprise d’activité.

Sauvegarde locale, même datacenter ou hors site managé

Trois approches coexistent, avec des niveaux de protection très différents :

Critère	Sauvegarde locale (sur place)	Sauvegarde dans le même datacenter	Hors site géo-séparé, opéré
Survit à une panne de disque	Oui	Oui	Oui
Survit à un sinistre du bâtiment	Non	Non	Oui
Résiste à un rançongiciel	Seulement si déconnectée	Rarement	Oui (air gap, immuabilité)
RPO/RTO garantis	À votre charge	Variable	Contractuels
Tests de restauration	Rarement faits	Variable	Intégrés
Charge d’exploitation	Vous	Vous ou partagée	Opérée pour vous

Les deux premières lignes suffisent à comprendre l’enjeu : seule la troisième approche protège d’un événement qui touche un site entier. C’est elle qui correspond aux attentes d’un acteur manipulant des données sensibles.

Les erreurs fréquentes

• Tout stocker au même endroit. Plusieurs copies au même endroit ne valent qu’une seule face à un sinistre.
• Ne jamais tester les restaurations. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie.
• Laisser les sauvegardes connectées en permanence. Sans copie hors ligne ou immuable, un rançongiciel les emporte avec le reste.
• Sous-dimensionner la rétention. Une corruption peut être ancienne ; si la rétention est trop courte, toutes les copies sont déjà infectées quand vous vous en apercevez.
• Confondre RAID et sauvegarde. La redondance matérielle ne protège ni de la suppression, ni du chiffrement, ni du sinistre.

Comment choisir : la check-list

Avant de confier vos sauvegardes à un prestataire, posez ces questions :

• Où sont physiquement stockées les copies, et à quelle distance du site principal ?
• Existe-t-il une copie hors ligne ou immuable, hors d’atteinte d’un rançongiciel ?
• Quels RPO et RTO sont contractuellement garantis, et pour quelles applications ?
• Les restaurations sont-elles testées, et à quelle fréquence ?
• Quelle est la durée de rétention des sauvegardes ?
• En cas de départ, sous quelle forme et dans quel délai récupérez-vous vos données ?
• Le prestataire est-il soumis au seul droit français, hors lois extraterritoriales ?

Si une seule réponse manque, le risque reste chez vous.

Comment Guardis l’applique, opéré pour vous

Chez Guardis, vous ne gérez pas ces contraintes : nous les opérons. Nos sauvegardes sont conçues pour survivre à la perte d’un site entier.

• Réplication sur des sites distants de plus de 400 km. Nos implantations (région parisienne, Lyon, Toulon) garantissent une séparation géographique réelle, pas symbolique.
• Copies hors ligne (air gap) et sauvegarde sur bande, pour résister aux rançongiciels.
• Intégrité vérifiée en continu : stockage distribué répliqué sur plusieurs noeuds physiques distincts et contrôle d’intégrité permanent, pour détecter et corriger la corruption silencieuse avant qu’elle ne se propage aux sauvegardes.
• Offres Sauvegarde et PRA, en version standard ou avancée, avec RPO/RTO contractuels et test de reprise annuel.
• Supervision par nos équipes, dans le cadre de notre cybersécurité managée.

Le tout dans des datacenters français certifiés ISO 27001 et HDS, opéré par une société et une infrastructure de droit français, hors d’atteinte des lois extraterritoriales comme le Cloud Act. Cette approche s’inscrit dans notre offre plus large de cloud souverain.

Questions fréquentes

Conclusion

Une sauvegarde n’a de sens que si elle survit au pire. Séparation géographique, copie hors ligne, immuabilité, RPO/RTO et tests de restauration : ce sont ces garanties, pas le simple fait de « faire des sauvegardes », qui font la différence le jour d’un incident. Pour des données sensibles ou de santé, elles ne sont pas négociables.

Vous voulez sécuriser vos sauvegardes et votre reprise d’activité ? Demandez un audit gratuit.