Sauvegarde cloud vs locale : ce que les entreprises de Montréal doivent savoir

T'as un NAS qui fait des copies de tes fichiers chaque nuit. Excellent. Maintenant, imagine que le ransomware frappe demain matin à 7h. Il chiffre ton serveur, tes postes de travail, et — parce que ton NAS est branché au même réseau — il chiffre ton NAS aussi. T'as plus rien. C'est pas un scénario hypothétique. On l'a vu arriver à des PME montréalaises qui pensaient être protégées.

La vraie question, c'est pas "est-ce que j'ai une sauvegarde?" C'est "est-ce que je peux récupérer mes données si tout lâche en même temps?"

La règle 3-2-1 — simple, rarement appliquée

Toute conversation sérieuse sur la sauvegarde commence ici :

• 3 copies de tes données
• 2 types de supports différents
• 1 copie hors site

En pratique, la majorité des PME qu'on audite sont à 1-1-0. Une copie, sur un NAS, dans le même bâtiment. C'est une fausse sécurité.

La sauvegarde locale : pour quoi c'est utile

Un NAS bien configuré — Synology ou QNAP, par exemple — te donne de la vitesse de récupération. Si t'as besoin de restaurer 200 Go de données, ça peut se faire en 30 minutes sur le réseau local. La même opération depuis le cloud, sur une connexion internet typique de PME (100-300 Mbps en téléchargement), peut prendre plusieurs heures.

Le coût est aussi plus bas à long terme pour de grands volumes. Un NAS avec 8 To d'espace utilisable revient à environ 1 000-1 500 $ une fois, sans frais mensuels significatifs.

Le problème : la sauvegarde locale ne survit pas aux catastrophes locales. Incendie, inondation, vol — tout ça efface la production et la sauvegarde en même temps. Et le ransomware, comme on l'a dit, ne fait pas exception.

La sauvegarde cloud : pour quoi c'est utile

La sauvegarde cloud règle le problème hors site sans que t'aies à gérer des bandes magnétiques ou à conduire des disques durs ailleurs chaque semaine.

Veeam + Backblaze B2 — c'est une combinaison solide. Veeam gère les jobs de sauvegarde (c'est la référence pour les environnements virtualisés), et Backblaze B2 fournit du stockage objet compatible S3 à environ 8 $ CAD par To par mois. Beaucoup moins cher qu'AWS S3 ou Azure Blob pour les volumes de PME typiques.

Azure Backup s'intègre directement avec Microsoft 365 et Windows Server. Si t'es déjà dans l'écosystème Microsoft, c'est souvent le chemin de moindre résistance. Coût : environ 15-35 $ par mois par serveur protégé, selon le volume.

Acronis Cyber Protect combine sauvegarde et protection contre les rançongiciels dans un seul produit. Plus cher (environ 10-20 $ par appareil par mois), mais utile si tu veux un seul fournisseur.

RTO et RPO — les vraies questions à te poser

Deux métriques définissent ce que ta stratégie de sauvegarde protège réellement.

RTO (Recovery Time Objective) : combien de temps ton entreprise peut-elle fonctionner sans ses données avant que ça devienne critique? Une heure? Une journée? Pour un cabinet comptable ou un bureau de notaires, la réponse est probablement "pas très longtemps".

RPO (Recovery Point Objective) : combien de données peux-tu te permettre de perdre? Si ta sauvegarde roule à minuit et que t'as un incident à 16h, tu perds une journée entière de travail. Est-ce que ton équipe peut la reconstituer? Est-ce que tes clients peuvent attendre?

Ces questions-là, c'est pas des questions TI — c'est des questions d'affaires. Ton plan de sauvegarde doit matcher ta tolérance au risque réelle, pas ce que c'était le plus facile à installer.

Les sauvegardes immuables : la protection contre les rançongiciels

Les souches de rançongiciels modernes cherchent activement les cibles de sauvegarde et les chiffrent. Une sauvegarde sur un partage réseau accessible — gone. Dropbox — gone (le rançongiciel chiffre les fichiers locaux, Dropbox synchronise les versions chiffrées).

La solution : les sauvegardes immuables. Backblaze B2 supporte le Object Lock, qui empêche n'importe quel fichier d'être supprimé ou modifié pendant une période définie — même si un attaquant a tes identifiants. Azure Backup a le soft-delete activé par défaut. Veeam a sa propre couche d'immuabilité.

Si ta solution de sauvegarde ne supporte pas l'immuabilité, c'est pas une sauvegarde résistante aux rançongiciels. C'est une copie de confort.

La Loi 25 et la résidence des données

La Loi 25 — l'équivalent québécois du RGPD — impose des obligations sur les renseignements personnels que beaucoup de PME découvrent trop tard quand elles migrent vers le cloud.

Si tes sauvegardes contiennent des renseignements sur des résidents du Québec (et c'est presque certain), tu dois savoir où ces données sont stockées et qui peut y accéder. Un stockage cloud aux États-Unis signifie que tes données peuvent être soumises au CLOUD Act américain. Pour les cabinets juridiques, médicaux ou financiers, ça crée des enjeux de conformité réels.

Azure Canada Central et Azure Canada East gardent tes données en sol canadien, ce qui simplifie beaucoup la conformité. Backblaze opère principalement depuis des datacenters américains — à prendre en compte selon ton secteur.

Ce que ça coûte concrètement

Pour une PME montréalaise typique de 10 à 30 employés :

• Cloud seulement (Backblaze B2 + Veeam) : 100-200 $/mois
• Local seulement (NAS, amorti sur 5 ans) : 25-50 $/mois, sans protection hors site
• Hybride (NAS + cloud) : 150-400 $/mois selon les volumes et le fournisseur cloud

Le 400 $/mois fait mal à première vue. Mais le coût moyen d'une récupération après rançongiciel était de 2,73 M$ US en 2024 selon le rapport Sophos — et ça inclut les entreprises qui ont payé la rançon et ont quand même perdu des données.

Ce qu'on recommande

Hybride. Sauvegarde locale pour la vitesse de récupération, sauvegarde cloud pour la résilience. Stockage immuable sur la couche cloud. Et — c'est l'étape que presque tout le monde saute — des tests de restauration réguliers.

Un job de sauvegarde qui se termine en vert dans ton tableau de bord, c'est pas une preuve que ta sauvegarde fonctionne. La seule façon de le savoir, c'est de restaurer à partir d'elle.

Si tu sais pas quand la dernière restauration test a été faite chez toi, c'est par là qu'il faut commencer.