Une idée reçue confortable
La question revient à chaque audit et la réponse spontanée est presque toujours la même : « nos données sont dans le cloud, donc elles sont sauvegardées ». L’intuition se comprend. Microsoft exploite des centres de données redondants, réplique les contenus, garantit une disponibilité contractuelle et communique abondamment sur la résilience de son infrastructure. Difficile d’imaginer, dans ces conditions, que quoi que ce soit puisse disparaître.
Pourtant la documentation de Microsoft dit exactement l’inverse de ce que la plupart des entreprises croient avoir compris. Le modèle de responsabilité partagée, publié et régulièrement mis à jour par l’éditeur, est explicite : quel que soit le type de déploiement, le client reste propriétaire et responsable de ses données et de ses identités. Dans la matrice officielle, la ligne « données client » est attribuée au client aussi bien en SaaS qu’en infrastructure classique. Microsoft prend en charge le datacenter, le réseau physique, les serveurs, le système d’exploitation et la disponibilité du service. Le contenu que vous y déposez, non.
Ce que Microsoft garantit réellement
La confusion vient d’un glissement entre deux notions différentes : la redondance et la sauvegarde. Microsoft assure la première. Si un disque tombe, si un datacenter subit un incident, vos données restent accessibles parce qu’elles existent en plusieurs exemplaires synchronisés. C’est une protection contre la panne matérielle, et elle fonctionne bien.
La sauvegarde répond à un autre problème : revenir à un état antérieur. Or la réplication propage les modifications, y compris les mauvaises. Un fichier écrasé est écrasé partout. Un dossier supprimé disparaît de toutes les copies. Un chiffrement par rançongiciel se synchronise fidèlement vers le cloud. La redondance protège contre la perte de support, pas contre l’erreur, la malveillance ou la suppression.
Microsoft fournit bien quelques filets de sécurité natifs, mais ils sont bornés dans le temps et destinés à corriger un incident isolé et récent, pas à restituer un état ancien. Les éléments supprimés d’une boîte aux lettres restent récupérables quelques jours à quelques semaines selon la configuration. La corbeille SharePoint et OneDrive conserve les contenus effacés durant quelques mois. Un compte utilisateur supprimé peut être restauré pendant une trentaine de jours. Passé ces délais, la donnée est définitivement perdue, sans recours possible auprès du support.
Les scénarios où le filet natif ne suffit pas
Quatre situations reviennent régulièrement en PME, et aucune n’est couverte de façon satisfaisante par les mécanismes intégrés.
La suppression tardivement détectée est la plus banale. Un dossier partagé supprimé par erreur en janvier, remarqué en mai parce que quelqu’un en avait besoin, sort de toutes les fenêtres de rétention. Ce cas est fréquent précisément parce que les données peu consultées sont celles dont l’absence met le plus de temps à se voir.
Le départ d’un collaborateur pose un problème voisin. Lorsque la licence est libérée pour des raisons de coût, la boîte aux lettres et le OneDrive associés disparaissent après un délai court. Les échanges avec les clients, les documents en cours et l’historique de la relation partent avec, souvent sans que personne n’ait pensé à les récupérer.
Le rançongiciel, ensuite, ne s’arrête pas au poste de travail. Un client OneDrive synchronisé propage les fichiers chiffrés vers le cloud en quelques minutes. Les versions antérieures permettent parfois de s’en sortir, mais l’opération est lourde sur des volumes importants et devient impossible si l’incident est découvert au-delà de la fenêtre de rétention.
Le compte administrateur compromis, enfin, est le scénario le plus sévère. Un attaquant disposant de droits élevés peut modifier les politiques de rétention, purger des boîtes et vider des corbeilles. Les protections natives ne résistent pas à quelqu’un qui a autorité pour les désactiver.
Ce que la conformité ajoute au débat
Au-delà du risque d’exploitation, deux obligations plus discrètes pèsent sur le sujet.
La conservation légale des documents ne s’aligne pas sur les rétentions par défaut de Microsoft. Une PME doit être capable de retrouver certaines pièces plusieurs années après leur création, et un service conçu pour rattraper une erreur de la semaine dernière ne répond pas à cette exigence.
Le cas des plans de continuité mérite aussi d’être posé. Une entreprise qui a formalisé un PRA doit pouvoir démontrer que ses données critiques sont restaurables dans les délais annoncés. Si la messagerie et les fichiers partagés reposent exclusivement sur les mécanismes natifs, le PRA repose sur une hypothèse fragile qui n’a jamais été testée.
Les solutions disponibles, et leurs limites
Microsoft propose désormais son propre service de sauvegarde intégré à la plateforme. C’est une avancée réelle, avec un point à connaître avant de décider : la rétention y est fixée à un an, sans possibilité de l’allonger, et les politiques de conservation ou de suppression de l’organisation ne s’appliquent pas aux sauvegardes. Cette contrainte convient à la protection contre l’incident, moins à une obligation de conservation pluriannuelle.
Les solutions tierces spécialisées offrent davantage de souplesse sur la durée, sur le choix de l’emplacement de stockage et sur la granularité de restauration. Elles ajoutent en contrepartie un fournisseur supplémentaire à évaluer, un coût par utilisateur et par mois, et un point d’attention sur les accès accordés au locataire Microsoft 365.
Le troisième chemin consiste à exporter régulièrement les données critiques vers un stockage maîtrisé par l’entreprise. Cette approche demande davantage de travail et se prête mal à une restauration fine, mais elle a un mérite décisif : la copie ne dépend d’aucun droit administrateur du locataire, ce qui la rend résistante au scénario de la compromission.
Les questions à poser avant de choisir un outil
Quelle que soit l’option retenue, quelques points déterminent la valeur réelle du dispositif, et ils sont rarement mis en avant dans les argumentaires commerciaux.
La granularité de restauration compte autant que la sauvegarde elle-même : pouvoir restituer un seul message, un fichier ou un site sans écraser le reste évite des opérations lourdes et risquées. L’étendue du périmètre couvert mérite d’être vérifiée poste par poste, car toutes les solutions ne traitent pas de la même façon la messagerie, les fichiers, les sites collaboratifs et les conversations d’équipe.
L’isolation des sauvegardes est le critère le plus important sur le plan de la sécurité : une copie qu’un administrateur du locataire peut supprimer d’un clic n’offre aucune protection contre une compromission de compte à privilèges. Enfin, il faut savoir où les données sont stockées et sous quel régime juridique, question qui rejoint directement les obligations traitées dans notre article sur le RGPD en PME.
Comment trancher sans surdimensionner
La bonne démarche n’est pas de souscrire un outil par précaution, mais de partir de deux questions déjà posées dans notre article sur les PRA et PCA en PME : combien de temps peut-on rester sans ces données, et jusqu’à quelle ancienneté doit-on pouvoir remonter ?
Une entreprise dont l’activité repose sur la messagerie et les documents partagés, avec des obligations de conservation, a un besoin évident. Une structure de trois personnes dont les documents importants sont également stockés ailleurs peut légitimement s’en tenir aux protections natives, à condition que ce soit une décision assumée et documentée, pas une croyance.
Dans tous les cas, une règle vaut ici comme pour les sauvegardes classiques abordées dans notre article sur la règle 3-2-1-1-0 : une sauvegarde jamais restaurée ne prouve rien. Un test de restauration réel, sur un périmètre limité mais représentatif, reste le seul moyen de savoir si le dispositif fonctionne.
Une décision de direction
Le sujet dépasse le cadre technique parce qu’il engage un arbitrage entre un coût récurrent et un risque accepté. Il mérite donc d’être posé clairement à la direction plutôt que tranché implicitement par défaut.
Nous abordons systématiquement ce point lors d’un audit du système d’information, et le suivi Microsoft 365 et Intune permet de vérifier dans la durée que les rétentions configurées correspondent réellement à ce que l’entreprise croit avoir mis en place.
Sources : Microsoft Learn, Shared responsibility in the cloud · Microsoft Learn, Privacy, security, and compliance in Microsoft 365 Backup