En brefUne sauvegarde qui affiche « réussie » ne prouve pas qu’elle se restaure. Tant que personne n’a récupéré un fichier pour vrai, tu as une promesse, pas une protection. Une vérification de 30 minutes par mois suffit pour voir les écarts entre ce que tes outils rapportent et ta réalité d’affaires.
« Mes sauvegardes sont au vert depuis des mois. Pourquoi je m’inquiéterais? »
Vendredi matin, le rapport de sauvegarde est au vert. En après-midi, un serveur flanche et l’équipe doit récupérer un dossier de soumissions. Le fichier apparaît bien dans la console. La restauration échoue.
Le travail s’arrête, et la reprise dépend maintenant d’une intervention d’urgence. Le rapport n’avait pas menti : la tâche s’était bel et bien exécutée. Personne n’avait vérifié ce qui en sortait.
La règle Ékivo : une sauvegarde n’existe pas tant qu’elle n’a pas été restaurée
Le standard de l’industrie, c’est la règle 3-2-1. On y ajoute une quatrième condition, celle qui fait la différence le jour de l’incident.
Trois copies
Tes données, plus deux sauvegardes. Une seule copie de secours, c’est un point de défaillance unique.
Deux supports
Deux technologies différentes. Un rançongiciel qui atteint ton serveur ne devrait pas atteindre la deuxième copie.
Une copie hors site
Hors de tes murs, et protégée contre la modification ou la suppression, même par un compte administrateur.
La quatrième condition : une restauration testée. Le Centre canadien pour la cybersécurité le dit clairement : il faut s’assurer régulièrement que les mécanismes de restauration fonctionnent comme prévu. Une sauvegarde jamais restaurée est une hypothèse, pas un plan.
En pratique, ça demande deux tests différents. Le test de fichier, chaque mois : tu récupères un petit fichier et tu confirmes qu’il s’ouvre. Le test de relève, une ou deux fois par année : on repart les serveurs pour vrai, au complet ou presque.
C’est la recommandation d’Ékivo, et elle valide deux choses à la fois. Que tes systèmes redémarrent réellement, avec leurs dépendances et leurs délais réels. Et que ton équipe TI maîtrise la manœuvre sous pression, sans improviser le jour où ça compte.
La vérification mensuelle de 30 minutes
Le principe : tu notes ce que tu trouves, tu répares après. Cette vérification ne remplace pas la surveillance quotidienne de tes systèmes. Elle attrape ce que les outils ne comprennent pas : un départ, un nouvel appareil, un abonnement oublié, un fichier devenu critique.
1. Les sauvegardes et la restauration
- Date de la dernière restauration réelle, pas du dernier rapport vert
- Présence d’une copie hors site
- Protection contre la modification et la suppression
- Test de restauration d’un petit fichier non critique
- Liste des données à restaurer en premier en cas d’arrêt
2. Les mises à jour
Ce n’est plus un détail technique. Selon le 2026 Data Breach Investigations Report de Verizon, l’exploitation d’une vulnérabilité connue est devenue le premier point d’entrée des violations de données, devant le vol de mots de passe, avec 31 % des cas. Le délai médian pour corriger complètement une vulnérabilité connue et activement exploitée est passé de 32 à 43 jours.
- Postes en attente de redémarrage
- Windows, macOS et navigateurs
- Applications d’affaires et logiciel comptable
- Appareils mobiles qui accèdent aux données de l’entreprise
3. Qui a accès
- Employés partis dont le compte existe encore
- Fournisseurs dont le mandat est terminé
- Comptes administrateurs et comptes partagés
- Accès qui ne correspondent plus aux responsabilités
4. L’authentification multifacteur
La MFA (authentification multifacteur, ou AMF en français) demande une preuve supplémentaire après le mot de passe. Microsoft indique qu’elle bloque plus de 99,2 % des compromissions de comptes. C’est le meilleur rapport effort-résultat de ta liste.
- Tous les utilisateurs, pas seulement la direction
- Comptes administrateurs
- Accès aux services financiers
- Accès à distance et applications sensibles
5. Les appareils
- Ordinateurs et téléphones qui se connectent à tes systèmes
- Appareils d’anciens employés encore inscrits
- Chiffrement des portables, verrouillage des téléphones
- Appareils inconnus ou inactifs depuis longtemps
Chez Ékivo, les cellulaires personnels sont permis s’ils respectent certaines exigences. Les ordinateurs personnels, jamais. C’est expliqué en détail dans notre article sur la règle BYOD en PME.
6. Les abonnements et les licences
- Licences payées pour d’anciens employés
- Outils qui font double emploi
- Essais gratuits devenus payants
- Services souscrits sans approbation
Bon à savoir : la Loi 25 t’oblige à protéger les renseignements personnels avec des mesures adaptées à tes risques. Une sauvegarde testée, des accès révisés et la MFA activée, ça se démontre. Les mêmes preuves servent au renouvellement de ta cyber assurance. Si tu veux que ce soit surveillé en continu plutôt qu’une fois par mois, c’est le travail qu’on fait avec Ékivo Fortify, notre service de cybersécurité gérée pour PME.
Ce que tu notes, et ce que ça ne remplace pas
Garde trois choses : la date de la vérification, les écarts observés et ce qui doit être corrigé. Transmets sans attendre les quatre signaux sérieux : une restauration impossible, un compte inattendu, un appareil inconnu et une mise à jour qui échoue à répétition.
Cette liste est un point de départ, pas une stratégie. Elle ne remplace pas la surveillance quotidienne des postes, des serveurs, des identités et des sauvegardes, ni un vrai plan de continuité. Elle te dit simplement si tu es aussi protégé que tu le penses.
Questions fréquentes
Une sauvegarde « réussie » est-elle quand même utile?
Oui. Elle confirme que la tâche s’est exécutée. Elle ne dit rien sur la qualité des données copiées ni sur ta capacité à les remettre en service. Seul un test de restauration répond à cette question.
À quelle fréquence tester une restauration?
Deux rythmes. Un petit fichier chaque mois, ça prend cinq minutes. Un test de relève complet ou quasi complet, semestriellement ou annuellement, et après tout changement important à ton infrastructure. C’est le seul moyen de savoir combien de temps ça prend vraiment et si ton équipe sait quoi faire.
Qui devrait faire la vérification mensuelle?
Toi, ou quelqu’un qui connaît tes employés, tes appareils et tes abonnements. Les corrections techniques peuvent ensuite aller à ton équipe interne ou à ton fournisseur TI. C’est un exercice de gestion avant d’être un exercice technique.
Et si tu ne sais pas où trouver ces informations?
Demande une rencontre de transfert de connaissances à ton fournisseur TI. Savoir où consulter tes propres rapports n’est pas un privilège, c’est la base.
Ta dernière restauration réussie remonte à quand?
Si la réponse ne te vient pas tout de suite, commence par le test du petit fichier. Tu peux le faire cette semaine avec la liste ci-dessus.
Si tu préfères aller plus vite, parlons-en. En 30 minutes, on regarde ce que ton environnement couvre réellement et tu repars avec tes prochaines étapes.
Sources
- Centre canadien pour la cybersécurité : Sauvegarde et chiffrement des données
- Centre canadien pour la cybersécurité : Sauvegarder et récupérer vos données (ITSAP.40.002)
- Verizon : 2026 Data Breach Investigations Report
- Microsoft Learn : authentification multifacteur obligatoire pour les comptes Azure et administrateurs
- Commission d’accès à l’information : Incidents de confidentialité et mesures de sécurité (entreprises)
Article adapté avec la permission de The Technology Press.