Une sauvegarde sans responsable ne suffit pas : définir qui restaure quoi dans la TPE

Pourquoi une sauvegarde sans responsable désigné ne protège pas

Une sauvegarde existe techniquement, mais si personne ne sait qui doit la lancer, la vérifier ou la restaurer, elle ne protège pas l'activité. Le site Cybermalveillance.gouv.fr rappelle dans ses bonnes pratiques qu'il faut planifier ses sauvegardes, les tester et vérifier les supports (source). Dans une TPE, le risque n'est pas seulement technique : il est organisationnel. En cas d'absence, de départ ou de surcharge, une sauvegarde non attribuée devient une sauvegarde abandonnée.

Le cadre juridique applicable aux professionnels varie selon l'activité et le pays. En France, les obligations de conservation et de sécurité des données dépendent notamment du secteur et du type de données. Cette répartition des rôles ne remplace pas un conseil juridique spécialisé.

Qui fait quoi ? Une matrice simple pour trois personnes

Pour une TPE de trois personnes, une matrice RACI simplifiée suffit. L'objectif n'est pas de produire un document de gouvernance lourd, mais de rendre explicite ce qui est aujourd'hui implicite.

Cette matrice doit tenir sur une page. Si elle dépasse deux pages, elle ne sera pas utilisée.

Quelles données sauvegarder en priorité dans une TPE ?

Toutes les données n'ont pas la même valeur. Le site Cybermalveillance.gouv.fr recommande de se demander quelles données ne peuvent pas être récupérées par ailleurs et celles qui sont le plus souvent demandées (source). Dans une TPE, on distingue généralement :

• les fichiers clients et devis, souvent irremplaçables ;
• les données de facturation et de comptabilité, dont la conservation peut être encadrée ;
• les fichiers de travail en cours, qui peuvent être recréés mais coûtent du temps ;
• les logiciels et configurations indispensables à l'exploitation, dont la sauvegarde est recommandée pour les professionnels ;
• les données personnelles, qui appellent des précautions supplémentaires.

Pour chaque catégorie, notez qui la produit, où elle est stockée et qui peut la restaurer. Cette cartographie évite de croire qu'un dossier est sauvegardé alors qu'il ne l'est pas.

Comment tester une restauration sans être technicien ?

Un test de restauration ne consiste pas à vérifier que la sauvegarde existe, mais à vérifier qu'on peut récupérer une donnée utilisable. Voici une méthode simple, à adapter à votre outil :

1. Choisissez un fichier précis, par exemple un devis récent.
2. Demandez au responsable principal de le restaurer dans un dossier temporaire, sans écraser l'original.
3. Vérifiez que le fichier s'ouvre, que les données sont complètes et que la date correspond.
4. Notez la date du test, le fichier testé et le temps passé.
5. Recommencez avec le remplaçant, pour vérifier qu'il sait faire seul.

Si vous ne savez pas où se trouve la fonction de restauration dans votre outil, ne devinez pas. Consultez la documentation officielle de l'éditeur ou demandez une démonstration à votre prestataire. La méthode de vérification prime sur la supposition.

Exemple hypothétique

Prenons une TPE de trois personnes à Saint-Brieuc, sans client réel identifié. Le responsable principal part deux semaines en congés. Une facture client doit être retrouvée en urgence. Si le remplaçant n'a jamais testé la restauration, il peut perdre une demi-journée à chercher la procédure. Si un test a été fait trois mois plus tôt et que la procédure est écrite, il retrouve le fichier en quelques minutes. Les chiffres sont ici illustratifs et ne correspondent à aucune mesure réelle.

Où conserver la procédure et les accès ?

La procédure doit être accessible sans dépendre de la personne absente. Un document partagé, imprimé ou stocké dans un espace sécurisé convient. Il doit indiquer :

• qui est responsable principal et qui est remplaçant ;
• quelles données sont sauvegardées et à quelle fréquence ;
• où se trouvent les sauvegardes ;
• comment lancer une restauration simple ;
• qui contacter en cas de blocage.

Les accès aux sauvegardes doivent être limités aux personnes qui en ont besoin. Le chiffrement des fichiers clients ne suffit pas si les accès ne sont pas maîtrisés, comme le rappelle notre article sur les fichiers clients et le chiffrement.

Quand revoir cette organisation ?

Revoyez la répartition des rôles à chaque changement d'équipe, de logiciel ou de prestataire. Dans une TPE, un départ ou un arrêt maladie peut suffire à rendre une sauvegarde inutilisable. Fixez une date annuelle de revue, par exemple au moment de la clôture comptable ou d'un point trimestriel. Si vous utilisez une plateforme de facturation agréée, vérifiez aussi qui a accès aux documents, comme nous l'évoquons dans notre article sur les accès sur une plateforme de facturation.

Questions complémentaires

Qui doit être responsable de la sauvegarde dans une TPE de trois personnes ?

Le responsable principal doit être une personne qui connaît les données et peut agir rapidement. Le remplaçant doit être désigné explicitement et avoir testé une restauration au moins une fois. Le dirigeant valide les priorités et la date du test annuel.

Que faire si personne dans la TPE ne sait restaurer une sauvegarde ?

Ne laissez pas la situation en l'état. Demandez une démonstration à votre prestataire ou consultez la documentation officielle de votre outil. Organisez un test accompagné, notez la procédure et faites-la relire par le remplaçant. Si le blocage persiste, faites appel à un professionnel pour vérifier la chaîne de sauvegarde.

Pour aller plus loin

Cette organisation ne remplace pas un audit technique. Si vous voulez vérifier qui a accès à quoi, si vos sauvegardes sont réellement restaurables et si vos procédures sont à jour, demandez un audit concret de votre site, de vos accès et de vos sauvegardes. Nous regardons avec vous ce qui existe déjà, ce qui manque et ce qui doit être écrit noir sur blanc.