30 % des TPE qui subissent une perte de données majeure ferment dans les 12 mois, chiffre Insee 2024. Et pourtant, la majorité des PME montpelliéraines ont une stratégie de sauvegarde qui ressemble à "un disque dur USB dans le tiroir du bureau".
Wesud met en place pour les TPE/PME de Montpellier, Vendargues, Castries et de l'Hérault une vraie infrastructure cloud et de sauvegarde : hébergement français souverain, sauvegardes chiffrées et immuables selon la règle 3-2-1, restauration testée trimestriellement.
Le risque concret : data loss
Les causes principales de perte de données pour une PME :
- •Ransomware (chiffrement malveillant des fichiers), 31 % des cas
- •Panne matérielle (disque dur, NAS), 24 %
- •Erreur humaine (suppression accidentelle), 22 %
- •Sinistre physique (incendie, dégât des eaux, vol), 13 %
- •Corruption logicielle, 10 %
Une sauvegarde locale sur un disque externe couvre seulement les pannes simples. Pour les ransomwares et sinistres physiques, il faut une sauvegarde déportée et chiffrée.
Pourquoi une sauvegarde qui n'est jamais restaurée ne vaut rien
Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde, c'est une hypothèse. Tant que personne n'a remonté un fichier, vous savez seulement qu'un logiciel affiche un voyant vert. Ce que nous trouvons chez une PME qui croyait être sauvegardée :
- •Le périmètre a dérivé : un serveur ajouté depuis, jamais intégré au job.
- •La clé de chiffrement vit sur le serveur sauvegardé, et tombe avec lui.
- •La base est copiée à chaud : les fichiers existent, l'application refuse de les rouvrir.
- •Le support est resté branché : le ransomware chiffre la copie avec le reste.
- •Le délai de remontée n'a jamais été mesuré : on le découvre le jour de l'incident.
Le test de restauration est donc le cœur du service : c'est la seule preuve qu'une sauvegarde d'entreprise à Montpellier est exploitable.
La règle 3-2-1 expliquée
La règle d'or de la sauvegarde, recommandée par l'ANSSI :
- •3 copies de chaque donnée importante
- •2 supports différents (par exemple disque local + cloud)
- •1 copie hors site (cloud distant ou site secondaire)
Et idéalement : 1 copie hors ligne ("air-gapped") qu'aucun ransomware ne peut atteindre, et 0 erreur testée par restauration régulière.
La règle 3-2-1 appliquée concrètement à une PME
Pour une PME de quinze personnes avec un serveur, un NAS et Microsoft 365, la sauvegarde 3-2-1 se traduit ainsi :
- •Copie 1, la production : serveur de fichiers, logiciel métier, boîtes mail, documents des postes.
- •Copie 2, locale, sur un support distinct de la production : la copie rapide, celle du fichier écrasé à 11 h.
- •Copie 3, hors site, chiffrée et immuable en datacenter français : celle qui reste debout quand les locaux brûlent ou que le ransomware a traversé le réseau.
Deux précisions font la différence. Deux disques dans le même boîtier ne font pas deux supports : un vol les emporte ensemble. Et une synchronisation permanente n'est pas une sauvegarde : la suppression s'y propage en quelques secondes. Angles morts fréquents : les portables, Microsoft 365, et le NAS sauvegardé sur lui-même.
Notre offre cloud
Hébergement souverain français
Nous hébergeons sur OVHcloud (datacenters Roubaix, Strasbourg, Gravelines) ou autres acteurs européens certifiés. Vos données restent en France ou en Europe, sous protection RGPD pleine. Pas de soumission au CLOUD Act américain.
Sauvegardes chiffrées immuables
Chaque sauvegarde est chiffrée AES-256 avec une clé que vous seul détenez. Les sauvegardes sont "immuables" : pendant la période de rétention configurée, NI un administrateur, NI un ransomware ne peut les modifier ou les supprimer.
Restauration garantie et testée
Test trimestriel de restauration d'un échantillon de données, c'est la seule façon de s'assurer que les sauvegardes fonctionnent. En cas d'incident réel : restauration priorisée sur les données critiques, testée chaque trimestre.
Cloud souverain : ce que ça change juridiquement
Le cloud souverain pour une PME n'est pas un argument marketing, c'est une question de droit applicable. AWS/Azure/GCP sont soumis au CLOUD Act US qui permet aux autorités américaines d'accéder à vos données. Le cloud souverain français (OVH, Scaleway, Outscale) reste sous juridiction française et européenne.
La question n'est pas seulement de savoir où sont les serveurs, mais de quel droit relève l'entreprise qui les exploite. Ce que nous retenons pour nos clients : juridiction européenne et protection RGPD, sans soumission au CLOUD Act américain. À demander à tout hébergeur, nous compris :
- •Le pays d'établissement de l'entreprise qui exploite les serveurs, pas la ville du datacenter
- •La localisation des données et de leurs copies, et le contrat de sous-traitance RGPD
- •Qui détient les clés de chiffrement, et ce que l'hébergeur peut lire
- •La réversibilité : comment récupérer vos données, et sous quel format
Conformité RGPD et souveraineté
L'hébergement et la sauvegarde de données personnelles imposent :
- •Localisation dans l'UE (ou pays avec décision d'adéquation)
- •Chiffrement au repos et en transit
- •Traçabilité des accès et journalisation
- •Plan de continuité d'activité (PCA) documenté
- •Notification CNIL en 72h en cas de fuite
Wesud documente tout cela dans votre dossier RGPD et fournit les attestations sur demande.
Ce que la sauvegarde ne couvre pas
Une sauvegarde externalisée à Montpellier est un filet, pas un bouclier :
- •Elle n'empêche pas l'intrusion : la prévention relève du MFA et de l'antivirus managé, c'est notre offre cybersécurité.
- •Elle ne détecte pas un attaquant déjà installé : la sauvegarde de la veille peut contenir le code, d'où la rétention longue et le choix d'un point antérieur à l'infection, détaillé dans que faire les 6 premières heures.
- •Elle ne répare pas une fuite : si une boîte mail a été lue, la notification CNIL sous 72 heures reste due.
- •Elle ne remplace pas la supervision des jobs, assurée par l'infogérance : sans alerte traitée, un échec passe inaperçu.
- •Elle n'est pas un plan de reprise à elle seule : avoir les données ne dit ni dans quel ordre les remonter, ni qui décide.
Plan de reprise : combien de temps pour repartir ?
Un plan de reprise d'activité pour une PME tient dans deux questions, à poser avant l'incident.
Quelle perte de données pouvez-vous accepter ?
Entre la dernière sauvegarde valide et l'incident, tout ce qui a été saisi est à ressaisir. La question est métier : combien d'heures de saisie votre équipe peut-elle refaire à partir des justificatifs ? Une comptabilité en clôture et un fonds documentaire hebdomadaire ne répondent pas pareil.
En combien de temps devez-vous être opérationnel ?
C'est le délai entre l'incident et le retour au travail. Il dépend du volume, du débit, de l'existence d'une copie locale, du matériel de remplacement et de l'ordre de redémarrage. Une messagerie ne se remonte pas au rythme d'un ERP.
Ces deux repères se décident application par application : tout classer en « critique » revient à ne rien prioriser. Nous les fixons avec vous pendant l'audit.
Pour qui ?
- •Les experts-comptables, qui concentrent les données financières de dizaines d'entreprises.
- •Les cabinets médicaux et professions de santé, dont les données sont sensibles au sens du RGPD.
- •Les cabinets d'avocats et les associations, pour qui savoir qui peut lire une copie compte.
- •Les artisans et bureaux d'études, dont les plans n'existent qu'en un exemplaire sur un NAS.
- •Les commerces et e-commerces, où l'arrêt de la caisse se compte en chiffre d'affaires perdu.
- •Les entreprises déjà équipées d'une sauvegarde jamais vérifiée, ou dont les données se sont dispersées entre serveur, cloud grand public et portables.
Zones d'intervention
Wesud est basé à Montpellier et intervient sur site dans toute l'agglomération : Vendargues, Castries, Mauguio, Saint-Brès, Lattes, Pérols, Baillargues, Le Crès. Nous couvrons l'Hérault et le Gard.
Le déploiement et la supervision se font à distance ; l'audit et les remises en route après sinistre, sur place. Voir aussi notre page dépannage à Lattes.
Comment se passe la mise en place
- Premier échange : vos applications, et ce que vous ne pouvez pas perdre.
- Audit de l'existant : ce qui est sauvegardé, ce qui ne l'est pas, où partent les copies.
- Cadrage des priorités : quelles données d'abord, quelle perte acceptable, dans quel ordre remonter.
- Devis sous 48 h ouvrées : périmètre écrit, volumes, rétention, inclus et non inclus.
- Première sauvegarde complète, la plus longue, planifiée hors heures d'activité, puis passage en fonctionnement courant : en cas d'échec, l'alerte nous arrive à nous, pas à vous.
- Test de restauration initial, puis remise de la documentation et des accès, dont la clé de chiffrement, qui reste la vôtre.
- Suivi : test trimestriel de restauration, revue des volumes et de la rétention.
Combien coûte une sauvegarde externalisée ?
Il n'existe pas de prix unique : deux PME de même taille n'ont ni les mêmes volumes ni les mêmes exigences. Ce qui fait varier le montant :
- •Le volume réellement sauvegardé : tout n'a pas à être conservé au même titre.
- •Le nombre de postes, serveurs et boîtes mail, qui pilote agents et licences.
- •La durée de rétention : 30 jours ne coûtent pas ce que coûtent 12 mois, encore moins les 10 ans exigés sur certaines données comptables.
- •La criticité : pouvoir travailler deux jours en mode dégradé n'est pas l'exigence d'un e-commerce dont l'arrêt est une perte immédiate.
- •L'état de départ : un existant mal configuré demande une remise à niveau, chiffrée à part.
Nous partons de votre situation réelle, mesurée pendant l'audit gratuit. Le devis arrive sous 48 h ouvrées, montant fixé avant la mise en route.
Tarifs indicatifs
- •Abonnement mensuel selon le volume de données réellement sauvegardé
- •Sauvegarde cloud chiffrée, hébergement privé ou stratégie 3-2-1 complète
- •Mise en place initiale chiffrée après l'audit de votre existant
- •Sans surprise, le montant est fixé avant la mise en route
Tarifs ajustés selon le volume réel et le niveau de service souhaité.
Questions fréquentes
Combien de temps mes sauvegardes sont-elles conservées ?
Que se passe-t-il en cas de ransomware sur mes serveurs ?
Mes données sont-elles vraiment privées ?
Quelle différence entre cloud souverain et cloud public type AWS ?
Microsoft 365 sauvegarde-t-il déjà mes emails et mes fichiers ?
Une sauvegarde suffit-elle à nous protéger d'un ransomware ?
Que deviennent nos données si nous changeons de prestataire ?
Pour aller plus loin
- •Ransomware en PME : que faire les 6 premières heures, la procédure à connaître avant d'en avoir besoin.
- •Les 5 attaques cyber qui visent les PME de l'Hérault.
- •RGPD : vos droits et les obligations des entreprises.
Services complémentaires
- •Cybersécurité, protection des accès et conformité
- •Infogérance, gestion quotidienne de votre parc IT
- •Dépannage informatique, récupération de données et urgences
- •Création de site web, hébergement performant inclus
- •Hébergement et maintenance de site, sauvegardes et mises à jour
Vous voulez auditer votre stratégie de sauvegarde actuelle ? C'est gratuit et sans engagement.
Audit sauvegarde gratuit