Microsoft 365 sauvegarde-t-il vraiment vos données ?

Une agence immobilière de Gatineau perd son adjointe administrative, partie travailler ailleurs. Pour économiser une licence, le compte est supprimé la semaine suivante. Trois mois plus tard, un litige survient avec un acheteur : il faut retrouver les courriels qu'elle a échangés avec le notaire. La boîte aux lettres est introuvable, définitivement.

Personne n'a fait d'erreur grossière. L'agence croyait simplement, comme bien des PME, que « tout est dans le nuage, donc tout est sauvegardé ». Or Microsoft 365 garde vos données disponibles ; il ne les conserve pas indéfiniment pour vous permettre de revenir en arrière.

La question n'est donc pas de savoir si Microsoft est fiable, mais ce qui arrive quand l'erreur vient de chez vous : un employé, un départ, un compte piraté ou un rançongiciel.

Ce que Microsoft garantit, et ce qu'il ne garantit pas

Microsoft publie un modèle de responsabilité partagée. Pour un service SaaS comme Microsoft 365, Microsoft s'occupe des centres de données, du réseau, des serveurs et du logiciel. Mais pour tous les types de services infonuagiques, Microsoft est explicite : vous êtes propriétaire de vos données et de vos identités, et vous êtes responsable de leur protection. Les données, les configurations et la gestion des comptes restent de votre côté.

Concrètement, Microsoft réplique vos courriels et vos fichiers dans plusieurs centres de données. Si un serveur tombe, vous ne voyez rien. Mais cette réplication copie aussi vos erreurs : un dossier supprimé ou des fichiers chiffrés par un rançongiciel sont fidèlement reproduits partout.

Les scénarios qui posent problème sont presque toujours de votre côté :

• un employé supprime un dossier SharePoint par erreur et personne ne s'en rend compte avant des mois ;
• un compte supprimé au départ d'un employé emporte sa boîte aux lettres et son OneDrive ;
• un compte administrateur compromis sert à effacer des données ou à vider les corbeilles ;
• un poste infecté synchronise des fichiers chiffrés dans OneDrive.

Les filets de sécurité intégrés, et leurs limites

Microsoft 365 offre bel et bien des mécanismes de récupération. Le problème, c'est leur durée.

Ces outils sont précieux pour l'erreur d'hier. Ils le sont beaucoup moins pour l'erreur découverte au bout de quatre mois, ou pour un attaquant qui dispose des droits d'administrateur.

Rétention n'est pas sauvegarde

Les stratégies de rétention et les conservations (Microsoft Purview, conservation pour litige) empêchent la suppression définitive du contenu visé pendant une période donnée. Elles répondent à un besoin de conformité : retrouver un courriel pour une enquête ou un litige.

Elles ne remplacent pas une sauvegarde, pour trois raisons. La récupération passe par une recherche et une exportation, pas par une restauration de l'arborescence d'origine à une date précise. Les stratégies se gèrent avec les mêmes comptes administrateurs que ceux qui peuvent être compromis. Et la rétention ne remet pas un site SharePoint en état après un chiffrement massif.

Elles restent toutefois utiles en complément. Par exemple, appliquer une conservation aux boîtes aux lettres avant de supprimer un compte permet de garder la boîte comme boîte inactive au lieu de la perdre après 30 jours. C'est le genre de réglage que nous vérifions dans un audit de sécurité Microsoft 365.

Microsoft 365 Backup ou solution tierce ?

Microsoft offre aussi son propre service payant, Microsoft 365 Backup, activable dans le centre d'administration. Selon la documentation de Microsoft :

• il protège OneDrive, SharePoint et Exchange Online ;
• la fenêtre de restauration se règle à 3 mois, 6 mois, 1 an ou 2 ans ;
• les points de restauration sont pris aux 10 minutes pendant deux semaines, puis chaque semaine, pour OneDrive et SharePoint, et aux 10 minutes pour Exchange ;
• le prix de liste est de 0,15 $ US par Go de contenu protégé par mois, facturé à l'usage, et les restaurations sont gratuites ;
• les sauvegardes restent dans l'environnement Microsoft 365 et sont stockées en ajout seulement, ce qui empêche leur modification.

À titre indicatif, 500 Go de contenu protégé représentent 75 $ US par mois au prix de liste, mais le volume facturé inclut aussi certains contenus supprimés et versions conservés.

L'avantage principal est la vitesse de restauration. La limite : la sauvegarde vit chez le même fournisseur, gérée depuis le même locataire. Un administrateur de l'outil peut supprimer les sauvegardes (Microsoft prévoit un délai de grâce de 90 jours), et le service ne couvre que les trois charges de travail nommées.

Une solution tierce stocke une copie hors de votre locataire, avec ses propres identifiants. C'est l'équivalent infonuagique de la copie isolée de la règle 3-2-1-1-0. En contrepartie, les restaurations massives peuvent être plus lentes, et la couverture varie d'un produit à l'autre. Notre comparatif des options de sauvegarde Microsoft 365 passe en revue les options natives et tierces.

Comment décider pour votre PME

• Nommez les scénarios qui vous inquiètent : erreur humaine, départ d'employé, compte administrateur piraté, rançongiciel
• Fixez la période sur laquelle vous devez pouvoir remonter, selon vos obligations de conservation
• Fixez le délai de restauration acceptable pour la messagerie et les fichiers partagés
• Vérifiez si la console de sauvegarde a des identifiants et un MFA distincts de vos administrateurs Microsoft 365
• Vérifiez où les copies sont stockées, et si elles peuvent rester au Canada
• Inscrivez à votre procédure de départ une étape « boîte partagée ou conservation » avant toute suppression de compte (voir notre checklist de départ d'un employé)
• Testez une restauration chaque trimestre : un courriel, un dossier, un OneDrive complet

En conclusion

Microsoft 365 est fiable, mais il n'est pas conçu pour vous protéger de vos propres erreurs au-delà de quelques semaines. Si un courriel de 2024 ou un dossier supprimé l'été dernier peut un jour compter pour votre entreprise, il vous faut une vraie sauvegarde, native ou tierce, et une restauration testée.

Notre audit Microsoft 365 et Google Workspace passe en revue vos durées de rétention, vos procédures de départ et la protection de vos comptes administrateurs, puis recommande l'option de sauvegarde adaptée à votre taille.