Que doit contenir une politique de sauvegarde ?

Selon la règle 37 du guide d'hygiène de l'ANSSI : les données vitales et serveurs concernés, les types de sauvegarde, la fréquence, la procédure d'exécution, le stockage et les accès, les tests de restauration et la destruction des supports.

À quelle fréquence tester une restauration ?

Régulièrement. Au niveau renforcé, le guide d'hygiène de l'ANSSI recommande au moins un exercice de restauration par an, avec une trace technique des résultats.

Faut-il sauvegarder un assistant IA hébergé par un éditeur ?

Il faut au moins garder une copie des documents sources et des réglages, et savoir ce que l'éditeur sauvegarde et restitue. C'est une question à poser avant de choisir l'outil.

Politique de sauvegarde informatique d'une PME

Une politique de sauvegarde est un document court qui dit quoi sauvegarder, comment, à quelle fréquence, où, qui y a accès, et comment on vérifie que la restauration marche. Pour une PME, l'ANSSI, l'autorité nationale chargée de la sécurité des systèmes d'information, en donne le contenu minimal en sept points dans la règle 37 de son guide d'hygiène informatique. Quand le client utilise un assistant IA, ajoutez-y sa base documentaire et ses réglages.

Pourquoi l'écrire

La sauvegarde, rappelle l'ANSSI dans son guide des fondamentaux de la sauvegarde (publié le 25/10/2023), servait d'abord en cas de panne ; elle est devenue « indispensable pour répondre efficacement aux incidents de sécurité ». « Sauvegarder hors-ligne les données et les applications critiques » fait partie de ses cinq mesures cyber préventives prioritaires (17/05/2023).

Les sept éléments de la règle 37

Élément	Question à trancher avec le client
Données vitales et serveurs concernés	Sans quoi l'entreprise s'arrête ?
Types de sauvegarde (par exemple hors ligne)	Une copie est-elle déconnectée du réseau ?
Fréquence	Combien de travail peut-on accepter de perdre ?
Procédure d'administration et d'exécution	Qui lance, qui surveille, qui est alerté en cas d'échec ?
Stockage et restrictions d'accès	Où sont les copies, et qui peut les effacer ?
Procédures de test de restauration	Comment et quand vérifie-t-on ?
Destruction des supports	Que fait-on des anciens disques ?

Le guide propose trois façons de tester une restauration : systématique (par un ordonnanceur de tâches pour les applications importantes), ponctuelle (en cas d'erreur sur des fichiers) et générale (restauration entière du système). Au niveau renforcé, il recommande au moins un exercice de restauration par an, avec une trace technique des résultats.

Les conseils pratiques de cybermalveillance.gouv.fr

La page « sauvegardes » de cybermalveillance.gouv.fr (relevée le 15/11/2026) ajoute :

faire plusieurs sauvegardes, sur différents supports, avec une copie dans un lieu différent de celui des données ;
mettre le support hors ligne quand on ne l'utilise pas : un support connecté peut être touché par un rançongiciel ;
vérifier régulièrement que la sauvegarde fonctionne ;
chiffrer les sauvegardes, ou en limiter l'accès, si les données sont sensibles ;
surveiller la durée de vie des supports (la page cite 10 à 15 ans pour un DVD gravé).

Ce que l'assistant IA du client change

Un assistant IA hébergé par un éditeur n'est pas sur les serveurs du client. Il contient pourtant un travail qui a coûté du temps : la base documentaire choisie et nettoyée, les consignes de ton, les scénarios, la liste des comptes. Ajoutez une ligne à la politique :

Élément de l'assistant	Où le garder	Fréquence
Documents sources, dans leur dernière version	Dans la sauvegarde habituelle du client, dossier dédié	À chaque mise à jour
Réglages : consignes, scénarios, paramètres	Export si l'outil le permet, sinon fiche écrite	À chaque changement
Liste des comptes et administrateurs	Dossier d'exploitation de l'infogérant	À chaque arrivée ou départ
Historique et journaux	Selon ce que l'éditeur conserve et exporte	À décider avec le client

Deux questions à poser à l'éditeur avant de choisir (voir le questionnaire de sécurité) : que sauvegarde-t-il lui-même, et que peut-on exporter, sous quel format ? La règle 3 du guide d'hygiène demande justement d'exiger d'un prestataire la sauvegarde et la restitution des données « dans un format ouvert normalisé ».

Pour les conversations, la durée de conservation relève aussi de la protection des données personnelles : décidez-la avec le client, et un juriste si besoin, plutôt que de tout garder par défaut.

Tester aussi l'assistant

Une fois par an, avec l'exercice de restauration :

Partir des documents sauvegardés.
Vérifier qu'on saurait reconstruire la base de l'assistant à partir d'eux.
Poser dix questions types et comparer les réponses.
Noter le temps passé et ce qui manquait.

Le résultat nourrit le plan de continuité et la fiche de service.

Points à vérifier

Au moins une copie est hors ligne.
Le dernier test de restauration a une date et une trace.
Les comptes qui peuvent effacer les sauvegardes sont peu nombreux et protégés par une authentification multifacteur.
Les documents sources de l'assistant sont dans le périmètre de sauvegarde.