Sauvegarde des données d’un cabinet : les trois erreurs les plus fréquentes

La sauvegarde des données d’un cabinet ressemble à une assurance : personne ne la regarde tant que rien ne casse. Pourtant, un disque qui lâche, un ordinateur volé ou un rançongiciel suffisent à effacer des années de dossiers clients. Dans les petites structures, trois défaillances reviennent avec une régularité frappante. Aucune ne relève de la technique avancée. Toutes relèvent de l’organisation, et chacune se repère sans outil particulier.

Ce que recouvre la sauvegarde des données d’un cabinet

Une sauvegarde est une copie des données, conservée séparément des originaux, destinée à les rétablir après une perte. Elle se distingue de la synchronisation, qui reproduit en temps réel l’état d’un dossier sur plusieurs appareils. La nuance paraît subtile. Elle décide pourtant du sort du cabinet un jour d’incident. Un dossier synchronisé sur un service cloud reflète immédiatement ce qui arrive aux fichiers d’origine. Si un fichier est effacé par erreur, la suppression se propage aux autres appareils. Ces services conservent certes une corbeille et un historique de versions, ce qui dépanne sur une erreur isolée. Mais cette rétention dure un temps limité, variable selon l’offre souscrite, et elle suppose de détecter le problème à temps. Autrement dit, la synchronisation rend service au quotidien. Elle ne remplace pas une copie indépendante. Le périmètre à couvrir dépasse souvent ce que l’on imagine. Un cabinet libéral manipule des dossiers clients ou patients, une comptabilité et une messagerie professionnelle. Il dépend aussi de la base de son logiciel métier, de ses modèles de documents et de son agenda. Cette base constitue le point aveugle le plus fréquent. Elle reste ouverte pendant les heures d’ouverture, donc elle échappe à de nombreux outils de copie.

Erreur n° 1 : une seule copie, rangée au même endroit que les données

Le cas typique se rencontre partout. Un disque externe repose à côté de l’ordinateur, ou un boîtier de stockage réseau occupe le même bureau. La copie existe, elle fonctionne, elle est même récente. Mais un dégât des eaux, un incendie ou un cambriolage emporte l’original et la sauvegarde d’un seul mouvement. La CNIL range explicitement cette pratique parmi les erreurs à éviter. Son guide de la sécurité des données personnelles, mis à jour le 14 mars 2024, demande de ne pas « stocker les sauvegardes au même endroit que les données originales ». L’ANSSI formule la règle correspondante dans ses fondamentaux sur la sauvegarde des systèmes d’information, version 1.1 du 27 novembre 2025. Sa recommandation R11 préconise « la règle 3 – 2 – 1 : 3 copies distinctes des données, c’est-à-dire les données en production et 2 sauvegardes stockées sur des supports différents, dont 1 hors ligne ». Concrètement, un cabinet atteint ce niveau sans budget d’entreprise. Les données de production vivent sur les postes et le serveur. Une première sauvegarde tourne chaque nuit sur un support local. Elle permet de restaurer vite un fichier supprimé la veille. Une seconde part vers un espace distant, ou sur un disque conservé hors des murs du cabinet. Attention toutefois à une confusion répandue. Un espace cloud professionnel constitue bien une copie hors site. Il ne devient une copie hors ligne que si son contenu échappe aux droits d’écriture du poste sauvegardé. Sans cette isolation, une attaque disposant des identifiants du poste atteint aussi l’espace distant.

Erreur n° 2 : ne jamais tester la restauration

La deuxième erreur coûte plus cher que la première. Elle donne en effet l’illusion de la sécurité. Le logiciel affiche des voyants verts, le rapport quotidien arrive par mail, personne ne s’inquiète. Puis vient le jour de la restauration, et l’archive se révèle incomplète, corrompue ou illisible. Les causes se répètent d’un cabinet à l’autre. La tâche planifiée échoue silencieusement depuis des semaines, souvent après une mise à jour. Le périmètre n’a jamais été revu depuis l’installation. Le dossier de travail créé l’an dernier n’y figure donc pas. La base du logiciel métier est copiée pendant son utilisation, ce qui donne souvent un fichier inexploitable. Enfin, la clé de chiffrement se perd parfois avec le départ de la personne qui l’avait choisie. L’ANSSI répond par sa recommandation R22 : « Les sauvegardes doivent être testées régulièrement. Une procédure de restauration du SI doit être rédigée et régulièrement mise en œuvre. » La CNIL demande de son côté de « tester régulièrement l’intégrité des sauvegardes ». Elle classe aussi parmi les erreurs le fait de ne vérifier une sauvegarde qu’au moment d’en avoir besoin. Un rythme réaliste tient en deux gestes. Chaque trimestre, restaurez un fichier réel choisi au hasard, puis ouvrez-le pour vérifier son contenu. Chaque année, restaurez la base complète du logiciel métier sur un poste de test. Chronométrez l’opération, car ce chiffre indique combien de temps le cabinet resterait à l’arrêt. La recommandation R23 de l’ANSSI va dans ce sens. Elle demande de définir un ordre de restauration selon la criticité des applications et la durée admissible. Cette durée conditionne directement votre continuité de service en cas d’incident.

Erreur n° 3 : laisser la sauvegarde connectée en permanence

Un rançongiciel ne se contente pas de chiffrer les postes de travail. Il cherche méthodiquement les partages réseau, les disques branchés et les espaces cloud accessibles. Puis il chiffre les sauvegardes en priorité. Une copie connectée en permanence disparaît donc en même temps que l’original. La menace reste bien réelle pour les petites organisations. Selon Cybermalveillance.gouv.fr, le rançongiciel figure au quatrième rang des cybermalveillances signalées par les entreprises et les associations en 2025. Il représente 8,1 % des demandes d’assistance, en hausse de 9 % sur un an. Le dispositif public conseille par ailleurs de déconnecter les solutions de sauvegarde une fois la copie terminée. L’ANSSI va dans le même sens avec sa recommandation R12 : « Il est indispensable de mettre en place une sauvegarde hors ligne (ou au moins hors site en ligne sous certaines conditions) même si celle-ci est moins fréquente que les sauvegardes locales régulières en ligne. » Sa recommandation R24 ajoute une consigne utile en cas d’incident. Elle demande d’isoler immédiatement l’infrastructure de sauvegarde du reste du système. Trois montages tiennent cette exigence dans un cabinet. Le plus simple repose sur deux disques externes en rotation. L’un reste branché le temps de la copie, l’autre attend hors du cabinet. Une deuxième option s’appuie sur une offre de sauvegarde en ligne proposant des versions verrouillées. Le poste sauvegardé ne peut alors ni les modifier ni les supprimer. Le troisième montage combine les deux approches, ce qui reste préférable dès que l’activité dépend entièrement de l’outil informatique.

Récapitulatif des trois erreurs et de leur correction

Ce qu’un cabinet doit sauvegarder en priorité

Une sauvegarde utile commence par un inventaire, pas par un logiciel. Classez d’abord les données selon ce que leur perte provoquerait. Vérifiez ensuite que chaque catégorie figure bien au périmètre.

• Dossiers clients ou patients : le cœur de l’activité, souvent soumis à une obligation de conservation propre à la profession.
• Base du logiciel métier : à copier logiciel fermé, ou via sa fonction d’export. Une copie prise pendant l’utilisation donne souvent un fichier inexploitable.
• Comptabilité et pièces justificatives : l’article L123-22 du Code de commerce impose une conservation de dix ans.
• Messagerie professionnelle : une boîte hébergée chez un fournisseur n’est pas sauvegardée pour autant. Passé le délai de rétention, la suppression devient définitive.
• Modèles, courriers types et paramétrages : leur reconstitution représente des semaines de travail invisible.

Le cadre juridique renforce cette discipline. L’article 32 du règlement général sur la protection des données impose de pouvoir rétablir la disponibilité des données personnelles en cas d’incident physique ou technique. Il impose également de tester régulièrement l’efficacité des mesures en place. Une sauvegarde jamais restaurée ne satisfait donc pas cette exigence. Quand un prestataire externe accède à ces données, les vérifications RGPD à mener sur un prestataire complètent utilement cette revue, et nos engagements de confidentialité et de sécurité des données précisent notre propre cadre.

Six points à vérifier sur la sauvegarde des données d’un cabinet

Les contrôles suivants ne demandent aucune compétence d’administrateur. Menez-les vous-même, ou posez ces six questions à la personne qui s’occupe de votre informatique.

1. Quelle est la date de la dernière exécution réussie, et non simplement de la dernière exécution ?
2. La liste des dossiers sauvegardés correspond-elle encore à l’arborescence réelle du serveur ou du poste principal ?
3. Où se trouve physiquement chaque copie, et l’une d’elles se situe-t-elle hors du cabinet ?
4. Le support local une fois débranché, la copie distante reste-t-elle inaccessible en écriture depuis le poste ?
5. Un fichier réel restauré dans un dossier de test s’ouvre-t-il correctement, et en combien de temps ?
6. Existe-t-il une page écrite indiquant qui restaure, avec quels identifiants et dans quel ordre ?

Ce dernier point compte autant que les autres. Une procédure conservée uniquement sur le serveur chiffré devient illisible le jour précis où elle sert. Une version imprimée, rangée avec les documents importants du cabinet, résout le problème pour un coût nul. Beaucoup de ces contrôles se traitent d’ailleurs sans déplacement, comme le montre notre article sur le support informatique à distance pour cabinet libéral.

Faire de la sauvegarde des données d’un cabinet une routine vérifiable

Ces trois erreurs partagent une même racine. La sauvegarde est installée une fois, puis oubliée. Une copie unique, jamais testée et toujours connectée offre une protection théorique. Celle-ci s’effondre au premier incident sérieux. À l’inverse, une vérification trimestrielle, notée quelque part, change la nature du risque. Notre équipe intervient sur ce terrain à travers le support informatique à distance, dans un périmètre volontairement précis. Elle configure les sauvegardes automatiques, contrôle leur bonne exécution, surveille les espaces de stockage et accompagne une restauration quand elle devient nécessaire. Nous n’assurons ni l’infogérance de votre système, ni un audit de sécurité, ni un conseil juridique sur vos obligations de conservation. Le stockage de vos données reste par ailleurs sous votre responsabilité contractuelle. Un cabinet bien protégé n’est pas celui qui sauvegarde le plus souvent, mais celui qui sait exactement combien de temps il lui faudrait pour redémarrer.

Questions fréquentes sur la sauvegarde des données d’un cabinet

À quelle fréquence sauvegarder les données d’un cabinet ?

Une sauvegarde quotidienne automatique convient à la majorité des cabinets. Une copie hors site hebdomadaire la complète utilement. La bonne question consiste à déterminer combien d’heures de travail vous acceptez de perdre. Un cabinet qui saisit des dossiers toute la journée gagne à programmer une seconde copie en milieu de journée.

Un espace cloud comme Drive ou OneDrive suffit-il comme sauvegarde ?

Pas à lui seul. Ces services synchronisent les fichiers, donc ils propagent aussi les suppressions et les chiffrements malveillants. Leur corbeille et leur historique de versions permettent de revenir en arrière, mais pendant une durée limitée qui dépend de l’offre. Une copie indépendante, hors ligne ou verrouillée en écriture, reste donc nécessaire.

Quelle différence entre une sauvegarde et un archivage ?

La sauvegarde sert à revenir en arrière après un incident, l’archivage à conserver des documents dont vous n’avez plus l’usage courant. La première se renouvelle en permanence et écrase les versions anciennes. Le second se consulte rarement, mais il doit rester lisible pendant toute la durée légale de conservation.

Faut-il chiffrer ses sauvegardes ?

Oui, dès que la copie contient des données personnelles et qu’elle quitte le cabinet. La CNIL demande de protéger les données sauvegardées au même niveau que celles des serveurs d’exploitation. Conservez la clé ailleurs que sur le système sauvegardé, sinon la protection se retourne contre vous.

Combien de temps conserver les sauvegardes ?

La durée dépend de vos obligations professionnelles et comptables, pas d’une règle informatique. L’article L123-22 du Code de commerce impose par exemple dix ans pour les documents comptables et les pièces justificatives. Conservez donc plusieurs générations de copies, et vérifiez que les plus anciennes restent lisibles sur le matériel dont vous disposez aujourd’hui.

Une sauvegarde suffit-elle à satisfaire le RGPD ?

Non, elle en constitue une pièce parmi d’autres. L’article 32 impose de pouvoir rétablir la disponibilité des données et de tester régulièrement l’efficacité des mesures. La gestion des accès, la traçabilité et l’encadrement des sous-traitants relèvent du même article, et une sauvegarde exemplaire ne les remplace pas.

Que faire immédiatement après un rançongiciel ?

Isolez les postes touchés du réseau, puis débranchez les supports de sauvegarde avant toute autre action. Vous préservez ainsi les copies saines. Cybermalveillance.gouv.fr recommande également de déposer plainte et de ne pas payer la rançon. Faites analyser l’incident avant de restaurer, car une restauration précipitée sur un système encore compromis se solde souvent par un second chiffrement.

Qui doit s’occuper de la sauvegarde dans un petit cabinet ?

Une personne nommément désignée, même à temps très partiel, plutôt qu’une responsabilité diffuse. Son rôle consiste à contrôler les rapports, à faire tourner les supports et à déclencher les tests. L’exécution technique peut être déléguée, mais le suivi calendaire reste interne.