Sauvegarde infonuagique pour une PME : disponibilité, souveraineté et Loi 25
Votre serveur tombe un mardi matin, ou un rançongiciel chiffre vos fichiers pendant la nuit. La vraie question n’est pas « avez-vous une sauvegarde » : c’est « pouvez-vous restaurer, en combien de temps, et où se trouvent réellement vos copies ». Pour une PME québécoise, la sauvegarde infonuagique répond à la première partie — mais mal configurée, elle crée un angle mort sur les deux autres. Ce guide passe en revue ce qu’une sauvegarde infonuagique PME doit garantir avant tout le reste.
La réponse courte
Une sauvegarde infonuagique utile pour une PME repose sur trois exigences, dans cet ordre : elle doit être restaurable (testée, pas seulement planifiée), résistante au rançongiciel (une copie que même un administrateur compromis ne peut effacer) et localisée en connaissance de cause (vous savez dans quel pays résident vos données et sous quelle juridiction elles tombent). Si l’un des trois manque, vous avez une fausse assurance, pas une sauvegarde.
Une sauvegarde ne vaut que par sa restauration
Le piège le plus courant n’est pas l’absence de sauvegarde : c’est la sauvegarde qu’on n’a jamais restaurée. Une tâche qui « réussit » chaque nuit peut copier des fichiers corrompus, ignorer une base de données ouverte, ou s’arrêter silencieusement depuis des semaines.
Deux repères concrets valent mieux qu’un plan sur papier :
- Le RPO (point de reprise) : quelle quantité de travail acceptez-vous de perdre? Une heure? Une journée?
- Le RTO (délai de reprise) : combien de temps pouvez-vous fonctionner sans le système avant que ça fasse mal?
Ces deux repères, vous les fixez selon votre activité, pas selon l’offre du fournisseur. Ils déterminent ensuite la fréquence des copies et le type de service à retenir. Un test de restauration réel — reprendre un fichier, une boîte de courriel, un serveur complet — est le seul moyen de savoir qu’ils tiennent.
Où résident vos sauvegardes? La question de la souveraineté
Envoyer ses données « dans l’infonuagique » (cloud), c’est les confier à un centre de données bien réel, situé dans un pays précis, soumis aux lois de ce pays. Pour une PME d’ici, cette localisation n’est pas un détail technique.
Un fournisseur soumis à la juridiction américaine peut se voir demander l’accès à des données qu’il détient, y compris lorsque ces données sont hébergées à l’extérieur des États-Unis. C’est le mécanisme du CLOUD Act. Concrètement, héberger sa sauvegarde chez un géant américain — même sur des serveurs présentés comme canadiens — n’offre pas les mêmes garanties de souveraineté qu’un hébergement chez un fournisseur québécois soumis uniquement au droit canadien et québécois.
[À VÉRIFIER : portée exacte du CLOUD Act sur des données hébergées au Canada par la filiale d’un fournisseur américain — citer une source primaire avant publication.]
Ce compromis a un coût, et il faut l’assumer honnêtement : les fournisseurs souverains offrent parfois moins de fonctionnalités que les grandes plateformes mondiales. La question n’est pas « lequel est meilleur » dans l’absolu, mais « quelle exposition juridique êtes-vous prêt à accepter pour vos données les plus sensibles ». Nous avons développé cet arbitrage dans notre article sur où vont vraiment vos données avec l’IA locale.
Vos sauvegardes sont aussi des renseignements personnels
Une copie de sauvegarde qui contient des dossiers d’employés, des courriels de clients ou des fiches de patients contient des renseignements personnels — au même titre que le système d’origine. La Loi 25 ne s’arrête pas à la porte de votre serveur de production.
Deux conséquences pratiques, sans conseil juridique : d’abord, un accès non autorisé à vos sauvegardes peut constituer un incident de confidentialité, à consigner et à traiter comme tel; ensuite, confier ces copies à un tiers (votre fournisseur infonuagique) suppose d’encadrer cette communication. Pour la tenue du registre exigé par la Loi 25, voyez notre guide sur le registre des incidents de confidentialité, et la checklist de conformité Loi 25 pour la vue d’ensemble.
Résister au rançongiciel : la copie qu’on ne peut pas effacer
Les rançongiciels (ransomware) récents ne se contentent plus de chiffrer vos fichiers : ils cherchent d’abord vos sauvegardes pour les détruire, afin de vous forcer à payer. Une sauvegarde connectée en permanence, accessible avec les mêmes identifiants que le reste du réseau, tombe avec le reste.
La parade tient en une règle de métier largement reconnue, la règle 3-2-1 : trois copies de vos données, sur deux types de supports différents, dont une hors site. On lui ajoute aujourd’hui une exigence : au moins une copie immuable ou hors ligne, c’est-à-dire qu’un attaquant ayant pris le contrôle de vos comptes ne peut ni modifier ni supprimer pendant une période définie. Le Centre canadien pour la cybersécurité recommande de conserver des sauvegardes hors ligne et de les tester régulièrement. Aucune mesure ne rend une organisation impossible à attaquer — mais une copie immuable transforme un sinistre potentiellement fatal en simple interruption. Le calcul se comprend mieux à la lumière de ce que coûte réellement une cyberattaque à une PME québécoise.
Où H4I intervient
H4I accompagne les PME, organisations publiques et municipalités québécoises sur la résilience et la souveraineté de leurs données. [À VÉRIFIER : H4I offre-t-il un service de sauvegarde infonuagique hébergé au Québec, et avec quelles caractéristiques (immuabilité, RPO/RTO, localisation)? Ne rien affirmer tant que ce n’est pas confirmé par l’équipe.]
Une bonne sauvegarde infonuagique PME n’est pas la plus grosse ni la plus vendue : c’est celle que vous avez restaurée vous-même, dont vous connaissez l’emplacement, et qu’un attaquant ne peut pas effacer. Le reste n’est qu’une promesse.