Un ransomware chiffre en quelques minutes l'ensemble des fichiers accessibles sur votre réseau — y compris les NAS et les disques partagés. Un incendie ou une inondation détruit simultanément les données et leur sauvegarde locale. Ces deux scénarios, que les PME considèrent souvent comme lointains, sont les premières causes de perte définitive de données professionnelles. Le stockage cloud professionnel hébergé en France répond à ces deux risques avec une architecture qui sépare physiquement vos données de votre site. Ce guide présente les critères techniques, les exigences réglementaires et les coûts réalistes — pour un choix éclairé, quel que soit votre logiciel de gestion actuel.
L'essentiel en 30 secondes
- Un NAS protège contre la panne locale, pas contre un sinistre physique ni contre un ransomware qui chiffre tout le réseau
- Le chiffrement AES-256 en transit et au repos est le standard minimum pour une protection conforme à l'article 32 du RGPD
- Le versioning est le mécanisme clé de protection anti-ransomware : chaque version de fichier est conservée séparément
- L'hébergement en France ou dans l'UE est une condition nécessaire mais non suffisante de conformité RGPD — le contrat de sous-traitance (art. 28) est obligatoire
- Pour une PME de 5 à 20 postes avec 100 Go à 1 To de données, le budget est généralement de 15 à 50 € HT par mois
Pourquoi le stockage cloud PME est devenu critique
Selon le Panorama de la cybermenace 2024 de l'ANSSI, 37 % des victimes de rançongiciels connues de l'ANSSI sont des PME, TPE ou ETI (ANSSI, cyber.gouv.fr). Ce chiffre est celui des incidents déclarés — les incidents non signalés sont structurellement plus nombreux dans les petites structures.
Le Baromètre 2025 de Cybermalveillance.gouv.fr confirme que les PME et TPE restent les cibles les plus exposées, avec une maturité cyber souvent insuffisante pour détecter une attaque en cours (Cybermalveillance.gouv.fr).
Au-delà des cyberattaques, les sinistres physiques — incendie, inondation, dégât des eaux — représentent un risque systématiquement sous-estimé par les PME qui conservent leurs sauvegardes dans les mêmes locaux que leurs données principales. C'est un cas de figure que l'on rencontre régulièrement : la sauvegarde existe, mais elle ne survivrait pas au sinistre qu'elle est censée couvrir.
La solution n'est pas de choisir entre stockage local et cloud, mais de combiner les deux selon l'architecture 3-2-1 décrite plus bas dans ce guide. Le guide dédié à la sauvegarde et à la continuité d'activité détaille les plans de reprise associés à ces architectures.
Cloud souverain vs cloud international : ce que ça change concrètement
La distinction entre un hébergement en France, dans l'Union européenne, et hors UE n'est pas anodine — elle a des conséquences directes sur votre conformité réglementaire et sur la protection effective de vos données.
Ce que le RGPD exige
L'article 46 du RGPD interdit le transfert de données personnelles vers des pays tiers sans garanties appropriées. Un hébergement aux États-Unis, par exemple, expose vos données au Cloud Act américain, qui autorise les autorités américaines à exiger l'accès à des données hébergées par des prestataires américains — même sur des serveurs localisés en Europe (CNIL, cnil.fr).
Un hébergement en France ou dans l'UE ne suffit pas seul. La CNIL précise que la conformité RGPD repose sur trois conditions cumulatives :
- Localisation dans l'EEE : les données ne quittent pas l'Espace Économique Européen
- Chiffrement : données chiffrées en transit (TLS) et au repos (AES-256 minimum)
- Contrat de sous-traitance : votre prestataire cloud doit signer un contrat conforme à l'article 28 du RGPD, précisant ses obligations de protection des données
SecNumCloud : le niveau de référence pour les données sensibles
L'ANSSI a défini le référentiel SecNumCloud pour qualifier les prestataires cloud qui atteignent le niveau de sécurité recommandé pour les données sensibles des administrations et des entreprises critiques. Ce label garantit l'immunité aux législations extra-européennes, un audit de sécurité approfondi et la transparence sur l'infrastructure sous-jacente (ANSSI, référentiel SecNumCloud).
Pour la majorité des PME, un hébergement en France avec contrat article 28 conforme est suffisant. SecNumCloud devient pertinent si vos donneurs d'ordre appartiennent à des secteurs régulés (énergie, santé, défense) ou si votre activité vous soumet à des exigences sectorielles spécifiques.
Sur ce point, la directive NIS2 et son effet cascade sur les sous-traitants renforcent progressivement les exigences. Le guide NIS2 pour les PME détaille les obligations et leur calendrier.
Chiffrement et conformité : les exigences concrètes
L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées pour assurer la sécurité des données. Le chiffrement est explicitement cité comme exemple de mesure adaptée.
En pratique, deux niveaux de chiffrement doivent être vérifiés dans le contrat de votre prestataire :
| Niveau | Ce que ça couvre | Standard minimum |
|---|---|---|
| En transit | Les données pendant leur transfert entre votre poste et le datacenter | TLS 1.2 ou supérieur |
| Au repos | Les données stockées dans le datacenter, y compris les sauvegardes | AES-256 |
Un troisième niveau, moins courant, est le chiffrement côté client : les données sont chiffrées sur votre poste avant d'être envoyées vers le cloud, avec une clé que seul vous détenez. Le prestataire ne peut pas accéder au contenu. Ce niveau de protection est recommandé pour les données particulièrement sensibles (données personnelles clients, informations financières confidentielles).
La mention "conforme RGPD" sur une page commerciale ne suffit pas. Exigez les documents contractuels : le contrat de sous-traitance article 28, et la politique de chiffrement formalisée.
Synchronisation, versioning et restauration : la protection effective contre les ransomwares
Le versioning est le mécanisme le plus important pour se protéger contre les ransomwares — et le plus souvent négligé dans les évaluations de solutions.
Comment le versioning protège vos données
Un ransomware chiffre les fichiers accessibles sur le réseau local. Si votre stockage cloud est monté comme un lecteur réseau (Z:\ par exemple), le ransomware peut atteindre ces fichiers et les chiffrer aussi. C'est une erreur de configuration fréquente qui annule la protection supposée du cloud.
Le versioning fonctionne différemment : chaque modification de fichier crée une nouvelle version, conservée séparément des versions précédentes. En cas de chiffrement malveillant, les versions antérieures au ransomware restent accessibles et restaurables. Pour que cette protection soit effective, deux conditions doivent être réunies :
- Le stockage cloud doit être configuré en mode synchronisation (pas en mode lecteur réseau mappé)
- La rétention de versioning doit couvrir une période suffisante — le ransomware peut rester dormant plusieurs jours avant d'activer le chiffrement
Stratégie de rétention recommandée
Une stratégie de sauvegarde équilibrée pour une PME couvre trois niveaux :
- Horaire : les 24 dernières heures — pour récupérer un fichier accidentellement modifié ou supprimé
- Quotidienne : les 14 derniers jours — pour les incidents découverts avec retard
- Hebdomadaire : les 8 dernières semaines — pour les scénarios ransomware à latence longue
Tester la restauration : le point non négociable
Une sauvegarde non testée n'est pas une sauvegarde. C'est un constat récurrent dans l'accompagnement des PME : la procédure de sauvegarde fonctionne, mais personne n'a jamais effectué de test de restauration complet. La première vérification réelle intervient lors d'un incident — trop tard pour corriger les problèmes de configuration.
Un test de restauration trimestriel couvre les scénarios essentiels : restauration d'un fichier individuel, restauration d'un dossier complet, et — au moins une fois par an — restauration complète sur un environnement de test pour vérifier que l'application associée (ERP, comptabilité) redémarre correctement depuis la sauvegarde.
NAS local + cloud externalisé : l'architecture hybride
Un NAS (Network Attached Storage) installé dans vos locaux offre une rapidité d'accès optimale pour les fichiers volumineux — plans, photos de chantier, vidéos — et une disponibilité locale indépendante de la connexion Internet. C'est un outil utile, pas une solution de sauvegarde complète.
Les limites du NAS comme seule sauvegarde sont structurelles :
- Un sinistre physique (incendie, inondation) détruit le NAS avec le reste des équipements
- Un ransomware qui chiffre le réseau local atteint aussi les partages NAS accessibles
- Une panne du NAS survient sans préavis et peut rendre les données inaccessibles pendant plusieurs jours
La règle 3-2-1
La règle 3-2-1 est le standard de référence pour une architecture de sauvegarde robuste :
- 3 copies des données (données actives + 2 sauvegardes)
- 2 supports différents (ex : NAS local + cloud externalisé)
- 1 copie hors site (le cloud est la copie hors site par définition)
L'architecture hybride qui combine un NAS local (rapidité d'accès, cache pour les gros fichiers) avec un stockage cloud externalisé (protection hors site, versioning anti-ransomware) répond à cette règle. Le NAS sert de cache de travail rapide. Le cloud assure la protection pérenne.
Cette architecture est compatible avec tous les logiciels de gestion courants — que vous utilisiez Sage, EBP, Odoo, Cegid ou tout autre outil de gestion. Les données de l'ERP peuvent être sauvegardées automatiquement vers le cloud en dehors des heures de travail, sans interruption d'activité.
Coût réaliste par Go et par utilisateur
Le stockage cloud professionnel représente un poste budgétaire modeste rapporté aux risques qu'il couvre.
| Volume | Ordre de grandeur mensuel | Profil typique |
|---|---|---|
| Moins de 100 Go | 15 à 25 € HT/mois | PME 5-10 postes, fichiers bureautiques et comptabilité |
| 100 Go à 1 To | 25 à 50 € HT/mois | PME 10-20 postes, avec plans et photos chantier |
| 1 à 5 To | 50 à 150 € HT/mois | PME avec bases de données volumineuses, archivage long |
Ordres de grandeur observés en accompagnement PME. Les tarifs varient selon le prestataire, le niveau de redondance et les options de support retenues. Devis personnalisé sur demande.
Les facteurs qui influencent le prix au-delà du volume brut :
- Niveau de redondance : simple copie dans un datacenter vs réplication géographique sur deux sites
- Performance : stockage SSD (accès rapide, prix plus élevé) vs HDD (archivage, prix réduit)
- Durée de rétention du versioning : 30 jours vs 90 jours vs 1 an
- Support : assistance standard vs prioritaire avec engagements de délai de réponse
Le SLA (Service Level Agreement) est un critère à vérifier contractuellement. Un engagement de disponibilité à 99,9 % correspond à une indisponibilité maximale de moins de 9 heures par an. Vérifiez si les maintenances planifiées sont incluses ou exclues du calcul.
À titre de comparaison : le coût d'un incident sans sauvegarde opérationnelle — reconstruction des données, arrêt de production, prestataire en urgence — dépasse généralement plusieurs milliers d'euros pour les PME, selon les retours d'expérience terrain. Le coût mensuel du stockage cloud est négligeable dans cette équation.
Maillage interne : piliers connexes
Le stockage cloud s'inscrit dans un système d'information dont les autres composantes sont interdépendantes :
- Sauvegardes et continuité d'activité (PCA/PRA) pour les PME — La règle 3-2-1 abordée dans ce guide s'articule avec les plans de reprise d'activité : RTO, RPO, procédures de bascule. Ce pilier détaille la méthodologie complète.
- Directive NIS2 pour les PME — Les exigences NIS2 incluent explicitement les sauvegardes externalisées et testées, le chiffrement des données sensibles et la gestion des accès. Ce pilier détaille les obligations selon votre profil et votre chaîne de sous-traitance.
Questions fréquentes sur le stockage cloud pour les PME
Quelle est la différence entre un NAS et un stockage cloud professionnel ?
Un NAS (Network Attached Storage) est un disque dur réseau installé dans vos locaux. Il sauvegarde vos fichiers localement, sur votre réseau. Un stockage cloud professionnel héberge vos données dans un datacenter distant, physiquement séparé de votre bureau, avec chiffrement et redondance. La différence fondamentale : si un sinistre touche vos locaux (incendie, inondation, vol), le NAS est détruit avec le reste. Le cloud survit. Un NAS reste utile comme cache local pour accélérer l'accès aux fichiers au bureau. Mais comme seule sauvegarde, il ne protège ni contre un sinistre physique ni contre un ransomware qui chiffre tout le réseau local, NAS inclus. La solution recommandée : un NAS en complément local + un stockage cloud pour la sauvegarde externalisée.
Comment le stockage cloud protège-t-il contre les ransomwares ?
Un ransomware chiffre tous les fichiers accessibles sur le réseau local — y compris les NAS, les disques partagés et les postes connectés. Un stockage cloud professionnel protège contre ce risque de deux manières : le versioning (chaque modification de fichier crée une nouvelle version ; en cas de chiffrement malveillant, il suffit de restaurer la version précédente) et l'isolation (les données cloud ne sont pas montées comme un lecteur réseau ; le ransomware ne les voit pas). Point de vigilance : le stockage cloud doit être configuré en mode synchronisation, pas en mode lecteur réseau mappé. Un lecteur mappé (Z:\) est vulnérable au même titre qu'un partage local. Vérifiez ce point avec votre prestataire avant de considérer votre sauvegarde cloud comme une protection anti-ransomware.
Quelle est la stratégie de sauvegarde recommandée ?
Une stratégie équilibrée pour les PME repose sur une rétention à trois niveaux : horaire (les 24 dernières heures), quotidienne (14 derniers jours) et hebdomadaire (8 dernières semaines). Cette couverture répond aux scénarios les plus courants : suppression accidentelle, corruption de fichier, ransomware à latence longue. En complément, des instantanés VSS (Volume Shadow Copy) permettent une restauration granulaire de fichiers individuels. La restauration doit être accessible en ligne, sans intervention technique externe — testez-le trimestriellement.
Quel est le niveau de disponibilité garanti (SLA) ?
Les prestataires professionnels proposent des SLA entre 99,5 % et 99,99 % de disponibilité, avec des compensations contractuelles en cas de non-respect. Un SLA à 99,72 % correspond à environ 24 heures d'indisponibilité maximale par an. En pratique, les interruptions sont généralement planifiées (maintenance) et durent quelques minutes. Vérifiez toujours les conditions exactes : certains prestataires excluent les maintenances planifiées du calcul de disponibilité. Exigez les termes contractuels avant de signer.
La double authentification est-elle disponible ?
Oui, et elle est fortement recommandée — voire obligatoire pour les entreprises qui préparent leur conformité NIS2. L'accès au stockage cloud peut être sécurisé par double authentification (2FA) : en plus du nom d'utilisateur et du mot de passe, un jeton temporaire est généré sur votre appareil mobile. La double authentification bloque la quasi-totalité des tentatives d'accès non autorisé, même si un mot de passe est compromis. C'est également un critère d'éligibilité croissant auprès des assureurs cyber.
Combien coûte le stockage cloud professionnel ?
L'ordre de grandeur : 5 à 30 € HT par mois et par téraoctet, selon le niveau de performance et de redondance. Pour une PME de 5 à 20 postes avec 100 Go à 1 To de données, le budget mensuel se situe généralement entre 15 et 50 € HT. Les facteurs qui influencent le prix : volume de stockage (tarif dégressif au-delà de 1 To), niveau de redondance (simple copie vs réplication géographique), performance (SSD vs HDD) et options associées (chiffrement côté client, snapshots avancés, support prioritaire). Ordres de grandeur basés sur l'expérience d'accompagnement PME.
Le stockage cloud est-il conforme au RGPD ?
Le RGPD exige que les données personnelles soient protégées par des mesures techniques et organisationnelles appropriées. Un stockage cloud professionnel y répond si trois conditions sont remplies : hébergement en France ou dans l'UE (les données ne doivent pas être transférées hors de l'Espace Économique Européen sans garanties contractuelles) ; chiffrement en transit (TLS) et au repos (AES-256 minimum) ; contrat de sous-traitance conforme à l'article 28 du RGPD, précisant les obligations du prestataire en matière de protection des données. La mention "conforme RGPD" sur une page commerciale ne suffit pas — exigez les documents contractuels (CNIL, cnil.fr).
Peut-on accéder aux fichiers depuis un chantier ?
Oui. Un stockage cloud professionnel est accessible depuis n'importe quel appareil connecté à Internet : ordinateur, tablette, téléphone. Deux modes d'accès : via navigateur web (connexion directe à l'interface du stockage, sans installation, adapté pour consulter ou télécharger un fichier ponctuellement) ou via application de synchronisation (les fichiers sont synchronisés automatiquement sur le poste, avec accès hors connexion pour les fichiers déjà synchronisés). La connexion 4G suffit pour les documents courants (devis, plans PDF, situations de travaux). Les fichiers volumineux (plans CAO, photos haute résolution) nécessitent une connexion plus stable pour le téléchargement initial. En complément d'un bureau à distance, le stockage cloud permet aux équipes terrain d'accéder aux documents de chantier sans revenir au bureau.
Combien de temps faut-il pour migrer nos données vers le cloud ?
Le délai dépend du volume de données et de la qualité de la connexion Internet. Ordres de grandeur pour une PME de 5 à 20 postes : moins de 50 Go (cas typique PME BTP) = 1 à 2 jours ; 50 à 200 Go = 3 à 5 jours ; plus de 200 Go = planification spécifique nécessaire. La migration se fait généralement en tâche de fond, sans interrompre le travail des équipes. Les étapes sont : audit des données (quoi migrer, quoi archiver, quoi supprimer), configuration du stockage et des droits d'accès, synchronisation initiale en arrière-plan, vérification d'intégrité, puis basculement. Le point critique est l'audit initial : beaucoup de PME migrent des fichiers inutiles (doublons, archives obsolètes) qui alourdissent le coût et le délai.
Mon équipe peut-elle travailler à plusieurs sur les mêmes fichiers ?
Oui, avec des précautions. Le stockage cloud permet à plusieurs collaborateurs d'accéder aux mêmes fichiers, mais la gestion des accès simultanés dépend de la configuration. Deux approches : le verrouillage de fichier (quand un utilisateur ouvre un document, les autres peuvent le consulter en lecture seule — adapté pour les fichiers critiques comme la comptabilité ou les devis en cours de validation) ou la synchronisation automatique (chaque modification est synchronisée ; en cas de conflit entre deux modifications simultanées, le système conserve les deux versions). Le paramétrage des droits d'accès est essentiel : qui peut lire, modifier, supprimer, dans quel dossier. C'est un point à vérifier systématiquement lors de la mise en place.
Que se passe-t-il si notre connexion Internet tombe ?
Si vous utilisez une application de synchronisation, les fichiers déjà synchronisés restent accessibles sur votre poste, même hors connexion. Les modifications effectuées hors ligne sont synchronisées automatiquement dès que la connexion revient. Si vous utilisez uniquement l'accès via navigateur, une coupure Internet interrompt l'accès aux fichiers distants. La précaution recommandée pour les données critiques : configurer la synchronisation automatique des dossiers essentiels (devis en cours, plans de chantier actifs) sur les postes qui en ont besoin. Pour les entreprises dont l'activité dépend fortement de l'accès aux données, un lien Internet de secours (4G/5G) est un investissement modeste qui évite les interruptions.
Sources
- ANSSI — Panorama de la cybermenace 2024 (cyber.gouv.fr)
- Cybermalveillance.gouv.fr — Rapport annuel 2024 / Baromètre TPE-PME
- CNIL — Transferts de données hors UE (cnil.fr)
- CNIL — Les sous-traitants et l'article 28 du RGPD (cnil.fr)
- ANSSI — Référentiel SecNumCloud (cyber.gouv.fr)
- France Num — Comment bien sauvegarder ses données (francenum.gouv.fr)
Ce guide présente des informations à caractère général. Les situations individuelles varient selon la taille de l'entreprise, le secteur d'activité et les exigences contractuelles des donneurs d'ordre. Pour une analyse adaptée à votre contexte, demandez un diagnostic à un conseiller indépendant.