Sauvegarde du cabinet : vos dossiers, écritures et pièces sont-ils réellement restaurables ?

Cybermalveillance.gouv.fr, dans sa fiche réflexe sur les rançongiciels, rappelle une évolution importante de ces attaques : durant l'attaque, les cybercriminels cherchent souvent à détruire les sauvegardes de la victime, et peuvent aussi exfiltrer ses données pour la menacer de les rendre publiques. Autrement dit, la sauvegarde n'est plus seulement une assurance contre la panne, elle est elle-même une cible. Et pour un cabinet d'expertise comptable, l'enjeu n'est pas confortable, il est nécessaire : l'article 21 de l'ordonnance de 1945 vous tient au secret professionnel, sous les peines de l'article 226-13 du code pénal, et l'article 32 du RGPD ajoute une obligation de sécurité des traitements.

Ces constats sourcés déplacent la vraie question. Elle n'est pas « est-ce que je sauvegarde ? », presque tout le monde répond oui. Elle est « est-ce que je peux restaurer, en combien de temps, et complet ? ». C'est une nuance qui paraît mince et qui change tout. Une sauvegarde qui tourne chaque nuit sans qu'on ait jamais rien remis en service reste une supposition, jusqu'au jour où on en a besoin. Voici comment vérifier que la vôtre est autre chose qu'une supposition, où s'arrête mon rôle, et par quoi commencer.

Ce qui sépare les deux, le plus souvent, c'est une sauvegarde isolée et une restauration déjà testée.

Ce que veut dire « restaurer un dossier », vraiment

En pratique, dans un cabinet, un dossier client n'est pas un fichier. C'est un ensemble cohérent : la fiche du dossier et les écritures dans votre logiciel de production (Cegid Loop, ACD, MyUnisoft, Sage, Pennylane ou un autre), le dossier permanent, les pièces déposées par le client via le portail, les balances et les grands livres, l'historique des exercices. Retrouver un document isolé sur une sauvegarde ne vous rend pas le dossier. Restaurer un dossier, c'est retrouver tout cet ensemble, lié comme avant, à la bonne date, avec des écritures qui s'équilibrent.

C'est là que beaucoup de sauvegardes montrent leur limite. Elles copient un dossier de fichiers, mais pas la base de données de votre logiciel de production, celle qui fait le lien entre une pièce, une écriture et le dossier auquel elles appartiennent. Le jour où il faut tout remonter, on récupère des fichiers en vrac, sans la structure qui leur donnait un sens. En pratique, cela veut dire des heures, parfois des jours, à reconstituer à la main ce qui existait déjà, en pleine période où votre temps vaut le plus cher.

Ce qui lâche le jour où il faut restaurer

Quand la sauvegarde d'un cabinet n'est pilotée par personne, quelques défauts reviennent, et aucun ne se voit tant que tout va bien.

• La sauvegarde jamais restaurée. Elle tourne, le voyant est vert, personne n'a jamais tenté d'en faire revenir quoi que ce soit. Tant qu'on n'a pas restauré, on ne sait pas si on peut restaurer.
• La sauvegarde emportée avec le reste. Un disque de sauvegarde branché en permanence sur le même réseau que vos postes est à la portée d'un rançongiciel, qui, comme le note Cybermalveillance, cherche justement à détruire les sauvegardes de la victime. Ce qui devait vous sauver disparaît en même temps que le reste.
• La restauration partielle. On récupère les fichiers bureautiques, mais pas la base de production ni les écritures liées. Le dossier revient amputé de ce qui le rendait exploitable, et rien ne prouve que ce qui revient est intact.
• Le délai inconnu. Même quand la restauration fonctionne, personne ne sait combien de temps elle prend. Entre repartir en une demi-journée et repartir en une semaine, l'impact sur vos échéances de campagne n'a rien à voir.

Ces quatre risques touchent l'indisponibilité, la perte de données, l'altération non détectée et la perte de traçabilité. Ils ont un point commun : ils ne se corrigent qu'en testant, pas en espérant.

Les quatre conditions d'une sauvegarde qui tient

D'expérience, une sauvegarde sur laquelle on peut compter réunit quatre conditions. La difficulté n'est pas de les comprendre, c'est qu'il suffit qu'une seule manque pour que l'ensemble ne vaille plus rien le jour venu.

Elle existe et elle tourne vraiment. Une tâche planifiée qui a échoué en silence il y a des mois n'est pas une sauvegarde. Le premier contrôle est de vérifier qu'elle s'exécute et se termine réellement, pas qu'elle est censée le faire.

Elle est complète. Elle inclut la base de données de votre logiciel de production, et pas seulement les fichiers. C'est cette base qui relie les pièces, les écritures et les dossiers. Sans elle, vous restaurez des morceaux.

Elle est isolée. Au moins une copie doit être isolée du système de production, par exemple hors ligne, protégée contre la modification ou administrée avec des identifiants distincts. Une copie isolée du système de production réduit fortement le risque qu'un rançongiciel atteigne simultanément les données actives et leur sauvegarde, ce qui répond au constat de Cybermalveillance ; encore faut-il que sa gestion, ses identifiants, son intégrité et sa restauration soient eux aussi sécurisés et testés. Une copie doit aussi être conservée sur un autre site pour résister à un sinistre affectant les locaux. L'ANSSI recommande d'ailleurs une politique de sauvegarde régulièrement testée et une sauvegarde hors ligne pour les éléments critiques.

Elle est restaurable. C'est la condition la plus souvent oubliée, parce qu'elle demande un effort : remettre concrètement en service une sauvegarde, vérifier qu'un dossier complet revient, et mesurer le temps que ça prend. Tant que ce test n'a pas eu lieu, les trois autres conditions ne sont que des présomptions.

Une grille pour vérifier votre situation

Ces questions n'exigent aucune compétence technique. Leurs réponses disent l'essentiel.

• Une restauration a-t-elle réellement été testée cette année, en remettant un dossier en service ?
• La sauvegarde inclut-elle la base de votre logiciel de production, ou seulement des fichiers ?
• Au moins une copie est-elle isolée du système de production, hors de portée de votre réseau, et une autre conservée sur un site distinct ?
• En combien de temps un dossier complet, avec ses écritures et ses pièces liées, revient-il ?
• Ce délai reste-t-il acceptable si l'incident tombe en pleine campagne fiscale ?
• Qui déclenche la restauration, qui en vérifie le résultat, et où est-ce écrit ?
• Depuis quand la dernière sauvegarde a-t-elle été confirmée réussie, et non simplement lancée ?

Si vous butez sur l'une de ces questions, ce n'est pas un défaut d'organisation, c'est simplement le signe qu'un point mérite d'être vérifié avant d'en avoir besoin.

Où s'arrête mon rôle

C'est une limite que je tiens à poser, parce qu'elle vous protège. Je conçois, j'exploite et je teste les sauvegardes. Concrètement, je mets en place les copies, dont une isolée, je lance des restaurations pour de vrai, je mesure le temps que prend le retour d'un dossier complet, et je vous communique le résultat de ce test, chiffré et daté. Vous savez alors ce que votre sauvegarde vaut, au lieu de l'espérer.

En revanche, je ne décide pas à votre place ce qui relève du métier. Les durées de conservation que vous êtes tenu de respecter, la valeur d'un document restauré, l'appréciation du secret professionnel, et la décision de notifier une violation à la CNIL en cas d'incident : cela relève du responsable de traitement concerné, conseillé par son délégué à la protection des données lorsqu'un DPO a été désigné, sachant que selon la mission le cabinet peut aussi agir comme sous-traitant et devoir alerter le responsable de traitement dans les meilleurs délais. Mon travail est de vérifier, dans les conditions testées, que la donnée peut être restaurée et de vous indiquer dans quel état et dans quel délai ; le régime qui s'applique à cette donnée vous appartient.

Par où commencer

Commencez par planifier un test de restauration daté : je choisis un dossier représentatif, je le restaure dans un environnement à part, je vérifie qu'il revient complet avec sa base de production, ses écritures et ses pièces, et je mesure le temps que cela prend. À la fin, vous avez un compte rendu écrit indiquant ce qui fonctionne, ce qui manque et les corrections prioritaires : soit votre sauvegarde tient, soit vous savez exactement quoi corriger.