Un cabinet de conseil de Saint-Julien-en-Genevois a perdu trois ans d'historique commercial en une après-midi. Un collaborateur chargé de faire du tri dans le logiciel de relation client en ligne a lancé une suppression en masse sur ce qu'il croyait être des doublons. L'opération a retiré des doublons, et avec eux les fiches d'origine, leurs échanges et les propositions commerciales associées. La découverte a eu lieu trois semaines plus tard, quand un commercial a cherché l'historique d'un client avant un rendez-vous. Le support de l'éditeur a été courtois et parfaitement clair : la corbeille avait été vidée automatiquement, aucune restauration ponctuelle n'était prévue par le contrat, et l'export le plus récent en possession du cabinet datait de la mise en service de l'outil.
Ce cas ne concerne pas une messagerie ni un serveur. Il concerne des données métier confiées à un éditeur, dans un service en ligne facturé par abonnement. C'est une catégorie que les entreprises protègent beaucoup moins que leurs fichiers, parce qu'elles supposent que l'abonnement inclut la sauvegarde. Cette supposition est raisonnable et elle est fausse.
Ce que l'éditeur garantit, et ce qu'il vous laisse
Le contrat d'un service en ligne porte principalement sur la disponibilité de la plateforme. L'éditeur s'engage à faire fonctionner son service, à répliquer son infrastructure sur plusieurs sites et à résister à la panne d'un serveur. Cette réplication est réelle et elle vous protège d'une défaillance matérielle chez lui.
Elle ne vous protège pas de vos propres actions, et c'est là toute la différence entre une réplication et une sauvegarde. Quand un utilisateur supprime des données, la suppression est répliquée sur tous les sites du fournisseur, exactement comme le reste : le mécanisme propage fidèlement ce que vous lui demandez. Le même raisonnement vaut pour le stockage d'infrastructure, comme nous l'expliquons dans notre article sur le fait qu'un stockage objet n'est pas une sauvegarde.
Il faut donc distinguer les sinistres qui relèvent du fournisseur, couverts par votre abonnement, de ceux qui relèvent de vous : ces derniers ne le sont que dans la limite précise du contrat, presque toujours plus courte que ce que le dirigeant imagine.
Les quatre pertes de données qu'aucune réplication n'empêche
Nous rencontrons quatre chemins, tous sans rapport avec une panne.
- La suppression volontaire mais erronée. Une opération de nettoyage, une fusion de fiches, une importation qui écrase des champs existants : l'utilisateur avait les droits, l'action est légitime du point de vue du système, et le résultat est une perte.
- Le chiffrement malveillant propagé par une synchronisation. Quand un poste est compromis et que ses fichiers sont chiffrés, un dossier synchronisé vers un service en ligne transmet la version chiffrée, remplaçant la version saine dans le service. La sauvegarde apparente devient le vecteur de la perte.
- Le départ d'un collaborateur. Les données rattachées à son compte, ses notes, ses documents personnels de travail et parfois des dossiers entiers disparaissent avec la suppression de son identité, souvent sans que personne ait vérifié au préalable ce qu'ils contenaient.
- L'interruption de la relation commerciale. Une fin d'abonnement, un impayé, un litige ou l'arrêt d'un service par son éditeur suspendent votre accès. Vos données ne sont pas détruites, mais elles ne sont plus consultables au moment où vous en avez besoin, ce qui produit le même effet pratique.
À ces quatre cas s'ajoute une obligation propre à certains métiers : conserver des pièces pendant une durée légale qui dépasse celle de votre abonnement. Un cabinet comptable ou une entreprise de construction ne peuvent pas confier à un contrat résiliable une conservation de plusieurs années.
Ce qu'il faut lire dans le contrat avant de compter sur la corbeille
Chaque service en ligne dispose d'un mécanisme de rattrapage, généralement une corbeille et parfois une conservation d'éléments supprimés à un second niveau. Ces mécanismes sont utiles et ils sauvent des situations quotidiennes. Ils ne sont pas une sauvegarde, pour trois raisons.
Leur durée est limitée et elle varie selon l'éditeur, la formule d'abonnement et le type de donnée. Nous ne citons volontairement aucune durée ici, parce que ces valeurs changent et qu'un chiffre annoncé de mémoire vous exposerait à une mauvaise surprise. La seule source valable est la documentation contractuelle de votre éditeur, pour votre formule, à la date du jour.
Leur portée est partielle. Une corbeille restitue en général un élément supprimé, mais pas l'état complet d'un ensemble de données à une date donnée, avec les liens entre les objets. Récupérer une fiche client sans les échanges et les documents rattachés ne vous rend pas votre dossier.
Enfin, elles se vident, et le délai court à partir de la suppression et non du moment où vous découvrez le problème. Or l'écart entre les deux se compte souvent en semaines, comme dans le cas d'ouverture de cet article. La question n'est donc pas de savoir si une corbeille existe, mais jusqu'où vous pouvez remonter et si cette profondeur dépasse votre délai réaliste de détection.
Un export périodique n'est pas encore une sauvegarde
Beaucoup d'entreprises téléchargent un export mensuel qu'elles rangent dans un dossier. C'est mieux que rien et cela reste insuffisant : une sauvegarde exploitable réunit quatre propriétés que l'export seul n'apporte pas.
- Une copie réellement séparée. La copie doit se trouver en dehors du service d'origine, sous un contrat et avec des identifiants distincts. Un export stocké dans un espace de documents du même fournisseur, avec les mêmes comptes d'accès, disparaît avec le problème qu'il devait couvrir.
- Une conservation de plusieurs versions, sur une profondeur suffisante. Il faut pouvoir revenir avant l'incident, et non seulement à la dernière copie. Si votre seule copie a été prise après la suppression erronée, elle contient fidèlement l'erreur.
- Un verrouillage empêchant la suppression. La copie doit être protégée contre l'effacement pendant une durée définie, y compris par un compte d'administration compromis. Sans elle, un attaquant qui obtient vos accès efface la sauvegarde avant de chiffrer le reste.
- Une restauration effectivement testée. Un export au format tableur ne dit rien de votre capacité à recharger ces données dans l'outil, à retrouver les liens entre les objets et les pièces jointes, et à le faire dans un délai acceptable. Nous développons ce point dans notre article expliquant pourquoi faire des sauvegardes ne suffit pas.
Ces quatre propriétés se traduisent par deux valeurs à décider avec la direction. Le RPO, ou perte de données acceptable, indique jusqu'où vous tolérez de perdre de la saisie : une journée, une heure, rien du tout. Le RTO, ou temps de reprise visé, indique en combien de temps le service doit être exploitable à nouveau. Ces deux valeurs déterminent la solution et son coût, et elles se posent exactement comme dans un plan de sauvegarde et de reprise d'activité classique.
Comment nous plaçons une copie hors de l'éditeur
Nous commençons par un inventaire des services en ligne réellement utilisés, y compris ceux qu'une équipe a souscrits sans en informer personne. Pour chacun, nous notons la nature des données, leur criticité, l'existence d'une interface de programmation permettant une extraction automatisée, la profondeur de rattrapage prévue au contrat et l'éventuelle obligation légale de conservation. Cet inventaire hiérarchise le travail, car tous vos outils ne méritent pas le même dispositif.
Nous distinguons ensuite trois situations. Certains services disposent de solutions de sauvegarde tierces éprouvées, notamment les suites collaboratives, et le travail consiste à choisir, configurer et vérifier, comme nous l'expliquons pour le cas de Microsoft 365, qui n'est pas une sauvegarde. D'autres exposent une interface de programmation, et nous construisons une extraction planifiée vers un stockage que vous contrôlez, avec versions et verrouillage. D'autres enfin ne proposent qu'un export manuel : nous le disons clairement, nous mettons en place la procédure la moins mauvaise, et cette limite pèse dans le prochain arbitrage sur l'outil. Un service dont on ne peut pas sortir les données est un risque de dépendance autant qu'un risque de sauvegarde.
Nous terminons toujours par un test de restauration documenté, avec une date et un résultat, puis nous replanifions cet exercice. Ces missions relèvent de notre expertise cloud à 1000 HT / jour, avec le même montant hors taxes en euros et en francs, à distance dans toute la France et en Suisse.
Si vous ne savez pas jusqu'à quelle date vous pourriez revenir en arrière dans votre logiciel de gestion commerciale, indiquez-nous lequel vous utilisez. Nous vous dirons quelle profondeur votre contrat vous offre réellement, et ce qu'il faut ajouter pour que trois ans d'historique ne dépendent plus d'une seule opération de nettoyage.