Plan de relève informatique : le guide complet pour votre PME

La plupart des PME que nous rencontrons ont des sauvegardes. Beaucoup moins ont un plan de relève informatique, et la différence saute aux yeux le pire matin de l'année. Une sauvegarde est une copie de vos données. Un plan de relève informatique pour votre PME, c'est la réponse documentée et testée aux questions plus dures : serveur mort, note de rançon ou bureau inondé, qui fait quoi, dans quel ordre, et combien de temps avant de retravailler?

C'est dans cet écart que les entreprises perdent de l'argent. D'après nos observations, celles qui se relèvent vite ont rarement les outils les plus chers. Elles ont décidé d'avance ce qui compte, l'ont écrit et l'ont répété. Ce guide couvre la règle de sauvegarde 3-2-1-1-0, les RTO et RPO, les tests de restauration, les rôles et la place d'une sauvegarde SaaS comme Dropsuite.

Points clés à retenir

• Un plan de relève documente qui fait quoi et en combien de temps, pas seulement où logent les sauvegardes.
• Règle 3-2-1-1-0 : trois copies, deux supports, une hors site, une hors ligne ou immuable, zéro erreur.
• Le RTO mesure la durée d'arrêt tolérable. Le RPO mesure la perte de données acceptable.
• Une sauvegarde jamais testée est une hypothèse. Testez chaque mois, répétez une relève complète chaque année.
• Les données Microsoft 365 exigent leur propre sauvegarde. La rétention native n'est pas un plan de relève.

Pourquoi votre PME a besoin d'un plan de relève informatique

Les sauvegardes répondent à une question : avons-nous une copie? La relève soulève toutes les autres. Quel système remonte en premier? Qui peut autoriser des dépenses d'urgence? Que dire aux clients le premier jour?

Un plan fonctionnel de PME tient en cinq à dix pages et exige six éléments :

• Un inventaire des systèmes, classés selon l'urgence de leur retour
• Des cibles RTO et RPO par palier, approuvées par la direction
• Des procédures de restauration pas à pas, propres à vos outils
• Des rôles nommés avec remplaçants, plus une chaîne d'appels
• Un plan de communication pour le personnel, les clients et les autorités
• Un calendrier de tests avec dates et responsables

Au Québec, la Loi 25 pèse sur le volet communication : un incident touchant des renseignements personnels déclenche des obligations de notification, mieux vaut avoir prévu l'étape que l'improviser à minuit.

La règle de sauvegarde 3-2-1-1-0, expliquée

De 3-2-1 à 3-2-1-1-0

La règle de sauvegarde 3-2-1 classique dit de garder trois copies de vos données, sur deux types de supports, dont une hors site. Elle reste la bonne fondation, mais les rançongiciels chiffrent ou suppriment d'abord les sauvegardes, puis lancent l'attaque principale. La version moderne ajoute deux chiffres :

• 3 copies de vos données (la production plus deux sauvegardes)
• 2 supports ou plateformes différents (un appareil local et le nuage, par exemple)
• 1 copie hors site (sauvegarde infonuagique, ou un disque conservé ailleurs)
• 1 copie hors ligne ou immuable, impossible à modifier ou supprimer, même pour un administrateur
• 0 erreur : tâches surveillées, alertes lues, tests qui confirment que les copies s'ouvrent

Pour une PME typique : production sur le serveur, appareil local pour les restaurations rapides, nuage hors site avec immuabilité activée, vérification quotidienne des résultats.

RTO et RPO expliqués en termes d'affaires

Deux acronymes portent le poids dans tout plan de relève informatique :

• RTO (objectif de temps de reprise) : la durée de panne tolérable, entre « problème déclaré » et « les gens retravaillent ».
• RPO (objectif de point de reprise) : les données que vous acceptez de perdre, mesurées en temps. Dernière sauvegarde à 23 h, panne à 15 h : 16 heures perdues.

Rien de technique là-dedans : ce sont des décisions d'affaires qui déterminent ensuite les outils requis.

Exemple concret : un cabinet comptable perd son serveur de fichiers

Imaginez un cabinet comptable de 20 personnes. Un mardi d'avril, en pleine période des impôts, le contrôleur de stockage du serveur de fichiers lâche à 9 h et corrompt le volume. Tous les dossiers clients y vivent. Le cabinet sauvegarde chaque nuit à 23 h vers le nuage.

• La réalité du RPO : la dernière bonne copie date d'hier 23 h. Tout ce qui a été enregistré depuis devra être refait. À 9 h, c'est gérable; à 16 h, c'était une journée complète de 20 personnes, au pire moment de l'année.
• La réalité du RTO : trouver du matériel, reconstruire le serveur, puis redescendre environ 2 To du nuage. Sur un lien de 100 Mbps, c'est environ deux jours de transfert continu; avec la reconstruction, la panne réaliste dure de trois à quatre jours.

Supposez que chacun des 20 employés produit 100 $ l'heure en travail facturable : trois jours d'arrêt font environ 48 000 $ de capacité perdue, avant les échéances manquées et les heures supplémentaires.

Comparez avec la solution. Un appareil local qui démarre le serveur en machine virtuelle temporaire ramène le RTO à moins d'une heure; des instantanés aux heures ramènent le RPO à une heure. Ces options coûtent de l'argent : c'est pourquoi la direction doit fixer les RTO et RPO devant de tels chiffres, pas les laisser à qui a installé le logiciel.

La plupart des PME adoptent des paliers :

• Palier 1 (serveur de fichiers, applications métier) : RTO 4 heures, RPO 1 heure
• Palier 2 (courriel et collaboration Microsoft 365) : RTO 8 heures, RPO 24 heures
• Palier 3 (archives, données de référence) : RTO quelques jours, RPO 24 heures

La place de la sauvegarde SaaS : Microsoft 365 et Dropsuite

Angle mort fréquent : le plan couvre le serveur dans le placard, mais pas les données dans Microsoft 365. Microsoft garde le service en marche; protéger vos données contre suppression, rançongiciel synchronisé par OneDrive ou compte compromis reste votre responsabilité. La rétention et les corbeilles ne sont pas une copie indépendante qui survit à un attaquant muni de droits d'administrateur.

La sauvegarde SaaS mérite donc sa propre ligne dans le plan. Un outil comme Dropsuite prend des copies indépendantes et datées d'Exchange, SharePoint, OneDrive et Teams, hors de votre tenant, ce qui règle le chiffre « hors site » du 3-2-1-1-0 pour vos données infonuagiques. Nous avons comparé les options dans notre analyse Sauvegarde Microsoft 365 vs Dropsuite, et notre service de sauvegarde et de relève regroupe licences, surveillance et tests de restauration.

Tests de restauration : le calendrier qui garde vos sauvegardes honnêtes

Une sauvegarde jamais restaurée est une hypothèse, pas une protection. Les tâches échouent en silence : agents arrêtés, identifiants expirés, dossier exclu pendant un ménage. Le remède est ennuyant et efficace : mettez les tests au calendrier et consignez les résultats.

• Chaque jour : vérification automatisée, avec un humain qui lit les alertes (le « 0 » du 3-2-1-1-0)
• Chaque mois : un fichier au hasard et un élément de courriel restaurés; notez la durée
• Chaque trimestre : serveur ou VM complète restaurée en environnement isolé, mesurée contre votre RTO
• Chaque année : relève complète du palier 1 répétée, avec du personnel qui utilise vraiment les copies

Chaque test renforce la confiance ou révèle une lacune pendant qu'elle coûte peu à corriger. Si personne n'a le temps de s'en charger, c'est un livrable standard d'une entente de services TI gérés.

Rôles, chaîne d'appels et exercices sur table

Ce ne sont pas les outils qui exécutent une relève; ce sont des gens, souvent stressés, parfois à 3 h du matin. Votre plan devrait nommer :

• Un responsable d'incident qui déclare le sinistre, fixe les priorités et autorise les dépenses
• Un responsable technique qui exécute la restauration, à l'interne ou chez votre fournisseur TI
• Un responsable des communications qui informe le personnel, les clients, l'assureur et, au besoin, les autorités
• Des remplaçants pour chaque rôle, parce que les sinistres ignorent les calendriers de vacances

Imprimez la chaîne d'appels et gardez des copies à la maison : ligne d'urgence de votre fournisseur TI, fournisseur Internet, assureur, éditeurs clés, numéros après les heures. Une liste conservée uniquement sur le serveur à sauver est une blague qui s'écrit toute seule.

Ensuite, répétez avec des exercices sur table : deux fois par année, 90 minutes, un scénario. Vendredi, 7 h, une note de rançon sur tous les écrans. Personne ne touche à la production; on discute des décisions dans l'ordre. Qui confirme que c'est réel? Coupe-t-on le réseau? Qui appelle l'assureur? Ces exercices ne coûtent rien et révèlent des contacts périmés, une autorité floue et des mots de passe introuvables. Si la détection vous inquiète, notre article sur un SOC de PME avec Sentinel et Defender for Business explique comment repérer l'attaque tôt.

FAQ

Quelle est la différence entre une sauvegarde et un plan de relève informatique?

Une sauvegarde est une copie de vos données. Un plan de relève informatique est le processus documenté pour les utiliser et remettre l'entreprise en marche : priorités, objectifs, procédures, personnes nommées. Sans plan, la reprise sera lente et improvisée.

La règle de sauvegarde 3-2-1 suffit-elle encore en 2026?

La fondation tient : trois copies, deux supports, une hors site. Mais les rançongiciels ciblent maintenant les sauvegardes; ajoutez une copie hors ligne ou immuable et une vérification quotidienne visant zéro erreur. C'est la copie qu'un attaquant aux identifiants volés ne peut pas toucher.

Quels RTO et RPO viser pour une PME?

Aucun chiffre universel; tout dépend du coût de l'arrêt. Modèle courant en PME : RTO de 4 heures et RPO de 1 heure pour les systèmes critiques, protection nocturne pour le reste. Calculez ce que coûterait une heure d'arrêt pendant votre semaine la plus occupée.

À quelle fréquence tester ses sauvegardes?

Vérifiez les résultats chaque jour, restaurez un fichier chaque mois, un système complet chaque trimestre, une relève complète chaque année. Consignez la date et la durée. Les sauvegardes non testées échouent au pire moment, le seul où quelqu'un les essaie.

Faut-il vraiment sauvegarder Microsoft 365?

Oui. Microsoft protège l'infrastructure, mais les suppressions, les rançongiciels synchronisés et les comptes compromis relèvent de vous. La rétention n'est pas une copie indépendante hors du tenant; un outil comme Dropsuite comble cette lacune avec des restaurations datées.

Pour une entreprise de 20 personnes, le plan n'a pas besoin d'être un cartable; dix pages testées battent cent pages jamais testées. Pour un deuxième regard sur votre posture de sauvegarde et de relève, notre évaluation TI gratuite comprend exactement cela; nous vous dirons franchement quel chiffre du 3-2-1-1-0 vous manque.