Presque toutes les entreprises ont aujourd'hui un backup qui indique « succès ». Les coches vertes du tableau de bord rassurent : les jobs tournent la nuit, se terminent sans erreur, quelqu'un y jette un œil de temps en temps et hoche la tête. Le problème, c'est qu'un job de backup terminé « en vert » et un backup à partir duquel vous pouvez réellement récupérer sont deux choses différentes — et l'écart entre les deux se mesure précisément le jour de l'incident, quand il est trop tard pour le découvrir.
Un audit de backup part justement de cette question dérangeante : non pas « avez-vous un backup ? », mais « pouvez-vous prouver que vous récupérez à partir de lui, entièrement et à temps ? ». La différence n'est pas sémantique. C'est la différence entre survivre à une attaque par ransomware et fermer l'entreprise.
Ce que montrent les données de 2025-2026
Les statistiques récentes sont désagréablement cohérentes. Les rapports de 2025 montrent que seulement 61% environ des tentatives de restauration atteignent le résultat souhaité — autrement dit, près de 4 restaurations sur 10 échouent quand vous avez réellement besoin des données. Et la raison principale n'est pas que la technologie est mauvaise, mais que personne ne l'a vérifiée au préalable : plus de 60% des organisations ne font pas d'exercices de restauration réguliers, et seule la moitié teste son plan de récupération ne serait-ce qu'une fois par an.
Au moment de vérité, l'écart devient brutal. Une étude Veeam portant sur 1 300 organisations a constaté que seulement 10% ont récupéré plus de 90% de leurs données après un incident, tandis que 57% en ont récupéré moins de la moitié. Plus révélateur encore : plus de 60% des entreprises pensent pouvoir récupérer en quelques heures, mais seulement 35% environ y parviennent réellement. Les autres découvrent, sous pression, que « nous avons un backup » n'était pas un plan — c'était un espoir.
Un backup non vérifié n'est pas un backup. C'est une hypothèse que vous testez pour la toute première fois exactement le jour où vous ne pouvez pas vous permettre de vous tromper.
Pourquoi un « job vert » vous ment
Un job de backup indique qu'il a copié les données — pas que vous pouvez les réutiliser. Entre les deux se cache toute une liste d'échecs silencieux qu'un tableau de bord vert ne détecte jamais :
- Fichiers corrompus ou incomplets : le job se termine « avec succès », mais l'archive est corrompue, une base de données est incohérente, ou ce sont justement les fichiers critiques qui manquent.
- Restauration non testée : personne n'a jamais essayé de ramener les données, donc personne ne sait combien de temps cela prend ni si cela fonctionne.
- RPO/RTO non définis : vous ne savez pas combien de données vous pouvez vous permettre de perdre, ni à quelle vitesse vous devez être opérationnel — vous ne pouvez donc pas savoir si le backup actuel suffit.
- Backup accessible à l'attaquant : si le backup se trouve sur le même réseau avec les mêmes identifiants, un ransomware le chiffre en même temps que la production. Les études montrent qu'environ 96% des attaques par ransomware ciblent directement les copies de backup.
- Lacunes de couverture : les ordinateurs portables des employés, les boîtes Microsoft 365 / Google Workspace, les applications SaaS ou les nouveaux serveurs ne sont pas du tout dans le backup — parce que personne n'a mis à jour le périmètre.
- Dérive de configuration : le backup a été correctement configuré il y a deux ans, mais serveurs, licences et priorités ont changé depuis, et personne n'a revérifié.
Aucun de ces problèmes n'apparaît comme une erreur. Ils vivent tous tranquillement derrière la coche verte, jusqu'au jour où ils comptent.
Ce qu'un audit de backup vérifie
Un audit de backup ne regarde pas le tableau de bord et ne vous croit pas sur parole. Il inventorie votre stratégie réelle et la met à l'épreuve. Concrètement, un audit sérieux couvre sept domaines :
1. Un test de restauration réel, pas sur papier
La pièce maîtresse. On restaure effectivement des données — fichiers, base de données, machine virtuelle — et on vérifie qu'elles sont intègres et utilisables. Sans test de restauration, tout le reste est théorie. C'est là que surgissent la plupart des surprises.
2. Validation RPO et RTO face au besoin réel
Le RPO (combien de données vous pouvez perdre) et le RTO (à quelle vitesse vous devez revenir) ne sont pas des réglages techniques mais des décisions métier. L'audit mesure combien de temps prend réellement une récupération et le compare à ce que l'entreprise peut se permettre — pas à ce qu'elle espère.
3. Couverture complète des données
On vérifie ce qui entre et, plus important, ce qui n'entre PAS dans le backup : serveurs, bases de données, postes de travail, mais aussi données dans le cloud. Beaucoup d'entreprises supposent à tort que Microsoft 365 ou Google Workspace « se sauvegardent tout seuls » — la responsabilité de vos données reste la vôtre.
4. Immuabilité et isolation (anti-ransomware)
Au moins une copie doit être immuable ou air-gapped — impossible à supprimer ou chiffrer par un attaquant, même s'il obtient des droits d'administrateur. C'est la ligne de défense qui transforme un ransomware d'une catastrophe en un désagrément ; les copies immuables réduisent nettement le temps de récupération (les études indiquent une baisse d'environ 42%).
5. Rétention et versions
La durée de conservation des copies et le nombre de versions comptent énormément. Beaucoup d'attaques restent tapies pendant des semaines ; si la rétention est trop courte, vos seules copies sont déjà infectées. L'audit vérifie si vous pouvez revenir à un point sain, antérieur à la compromission.
6. Chiffrement et localisation des données
Le backup doit être chiffré (en transit et au repos), et la localisation des données doit être connue et conforme — un point de plus en plus important sous NIS2 et RGPD, qui attendent que les données soient conservées dans l'UE et la preuve qu'elles ne peuvent être altérées.
7. Documentation, runbook et un responsable
Qui restaure, depuis où, dans quel ordre, avec quels identifiants ? Si la réponse ne réside que dans la tête d'une personne en congé le jour de l'incident, vous n'avez pas de plan. L'audit vérifie l'existence d'un runbook écrit et d'un responsable clair.
À quelle fréquence tester le backup
La règle classique 3-2-1 (3 copies, 2 supports différents, 1 hors site) a évolué en 2025 vers 3-2-1-1-0 : une copie immuable/hors ligne supplémentaire et — essentiel — « 0 erreur », c'est-à-dire une vérification automatisée qui confirme que le backup peut réellement être restauré. Un backup non vérifié ne compte pas.
Une cadence de test pratique, adaptée à la criticité des systèmes :
- 1Mensuel — vérification de restauration des fichiers et des données quotidiennes.
- 2Trimestriel — test de récupération au niveau applicatif pour les systèmes critiques (Tier-1).
- 3Annuel — un exercice de basculement complet de tout l'environnement, comme une répétition d'un vrai désastre.
Backup, restauration et conformité (NIS2)
Pour un nombre croissant d'entreprises, tester le backup n'est plus seulement une bonne pratique mais une obligation. La directive NIS2 exige, via l'Article 21, des politiques explicites de continuité d'activité incluant la gestion du backup et la reprise après sinistre. En pratique, les auditeurs attendent des preuves : une politique de backup documentée avec RPO/RTO, des tests de restauration aux temps mesurés, au moins une copie immuable et des données conservées dans l'UE. Les sanctions pour les entités essentielles atteignent jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial — une raison de plus pour que « nous avons un backup » soit une affirmation que vous pouvez prouver, pas seulement énoncer.
De l'audit à un backup en qui vous avez confiance
La bonne nouvelle, c'est qu'un audit de backup est rapide et peu coûteux comparé à ce qu'il évite. En quelques jours, vous apprenez exactement où vous êtes exposé, avec un rapport de vulnérabilités priorisé et un plan de remédiation avec échéances. C'est précisément ce que nous livrons dans le pack audit backup & restore : un inventaire complet de votre stratégie actuelle, un test de restauration réel (pas sur papier) et un plan concret. Si le résultat montre qu'il faut reconstruire quelque chose, nous le faisons dans le cadre d'un projet de protection des données, avec une stratégie 3-2-1-1-0, des copies immuables et des runbooks testés.
Le meilleur moment pour savoir si votre backup fonctionne n'est pas pendant une attaque. Si vous n'avez jamais testé une restauration complète, discutons 30 minutes — je vous dirai concrètement quoi vérifier en premier.
Conclusion
La coche verte du tableau de bord vous dit que les données ont été copiées. Elle ne vous dit pas que vous pouvez les ramener. Les données de 2025-2026 montrent que cette différence prend la plupart des entreprises au dépourvu précisément quand les enjeux sont les plus élevés. Un audit de backup transforme « j'espère que ça marche » en « je sais que ça marche, parce que je l'ai testé » — et c'est l'assurance la moins chère que vous puissiez acheter contre le jour le plus coûteux de la vie de votre entreprise.