# Sauvegardes : NAS local, nuage, stockage immuable ou hybride ?

Source : https://cybercaribou.com/comparatifs/sauvegarde-nas-nuage-hybride · Cyber Caribou

> NAS sur place, sauvegarde infonuagique, stockage immuable ou approche hybride 3-2-1-1-0 : résistance au rançongiciel, restauration, coûts et données au Canada.

Presque toutes les PME ont une sauvegarde. Beaucoup moins en ont une qui survivrait à un rançongiciel. Le Centre canadien pour la cybersécurité le rappelle : les auteurs de menaces peuvent attaquer les NAS, et les rançongiciels peuvent s'y propager. Le NCSC britannique ajoute que des sauvegardes infonuagiques connectées ont déjà été compromises.

La vraie question n'est donc pas « NAS ou nuage ? », mais : quelle copie restera intacte le jour où l'attaquant aura vos identifiants d'administration ? Ce comparatif met côte à côte quatre approches, de la plus simple à la plus robuste. Pour la règle elle-même, lisez notre article sur la [règle 3-2-1-1-0](https://cybercaribou.com/blogue/sauvegardes-3-2-1-1-0-rancongiciel).

- Nous comparons des approches, pas des produits. Chaque valeur du tableau s'appuie sur les publications du Centre canadien pour la cybersécurité, du NCSC britannique, de la CISA et du NIST, consultées en octobre 2026.
- Critères retenus : résistance au rançongiciel, effacement par un compte volé, vitesse de restauration, copie hors site, coût, hébergement au Canada, effort de gestion et position des autorités.
- Aucun prix n'est cité : les modèles de coût sont décrits de façon qualitative.
- Ce comparatif n'est pas commandité.

## Le NAS : rapide, mais à portée de main de l'attaquant

Le NAS a un avantage réel : la vitesse. Le Centre canadien note que le stockage sur place est pratique, qu'il peut faire gagner du temps et que les copies sont immédiatement disponibles pour lancer une reprise. Pour restaurer un dossier effacé par erreur ou un serveur en panne, rien ne bat une copie sur le réseau local.

Ses deux faiblesses sont connues. D'abord, il partage le sort des locaux : un incendie ou une inondation emporte l'original et la copie. Ensuite, il est joignable depuis le réseau, souvent avec les mêmes comptes d'administration. Un attaquant qui prend le contrôle du réseau trouve le NAS et l'efface avant de lancer le chiffrement.

## Le nuage : hors site, mais pas automatiquement à l'abri

La sauvegarde infonuagique règle le problème du sinistre et de l'oubli : elle est automatique et hors site. Le NCSC britannique souligne toutefois qu'elle exige une connexion Internet fiable pour sauvegarder et pour restaurer. Pour quelques fichiers, c'est sans conséquence ; pour un serveur complet, le délai dépend directement du volume et du débit de votre lien.

Côté résistance, le nuage n'est pas magique. Si l'attaquant peut se connecter à la console avec un compte volé, il peut supprimer les sauvegardes. Le NCSC recommande de vérifier que le service protège les versions antérieures contre une suppression immédiate. Vérifiez aussi la région d'hébergement : le Centre canadien rappelle que votre organisation reste légalement responsable de ses données, même chez un fournisseur.

## L'immuabilité : la copie que personne ne peut effacer

Le stockage immuable, parfois appelé verrouillage d'objets, empêche toute modification ou suppression d'une sauvegarde pendant sa durée de conservation. C'est le premier principe du NCSC pour des sauvegardes infonuagiques résistantes aux rançongiciels. Le NCSC recommande aussi des alertes en cas de suppression massive ou de changement des règles de conservation, et un accès de secours hors bande.

La contrepartie : la durée de conservation se fixe à l'avance. La CISA invite à utiliser l'immuabilité avec prudence, car elle ne convient pas à toutes les exigences réglementaires. Alignez la durée sur votre politique de conservation et de destruction des renseignements personnels.

## L'hybride 3-2-1-1-0 : la vitesse et la survie

L'approche hybride combine les forces des autres. La copie locale sert aux incidents courants ; la copie hors site, hors ligne ou immuable, sert le jour où tout le reste est compromis. Elle prolonge la règle 3-2-1 du Centre canadien : trois copies, deux types de supports, dont une hors site. Le guide sur les rançongiciels du Centre canadien recommande en plus au moins deux sauvegardes hors ligne, et suggère d'ajouter une sauvegarde secondaire dans le nuage.

Le dernier chiffre, zéro erreur, est le plus souvent oublié. Une sauvegarde jamais restaurée n'est qu'une hypothèse.

## Comment choisir

Fixez d'abord deux chiffres avec la direction : l'objectif de délai de rétablissement (RTO), soit combien de temps vous pouvez fonctionner sans vos systèmes, et l'objectif de point de rétablissement (RPO), soit combien d'heures de travail vous pouvez perdre. Ensuite :

- [ ] Une copie au moins est hors site, et une au moins est hors ligne ou immuable.
- [ ] Le compte d'administration des sauvegardes est distinct de celui du réseau et protégé par un MFA.
- [ ] Les sauvegardes sont chiffrées, et la clé est conservée ailleurs.
- [ ] La région d'hébergement est connue, et une EFVP est faite si elle est hors Québec.
- [ ] Une restauration complète a été chronométrée et comparée au RTO.

Le jour d'une attaque, ces choix pèsent lourd : relisez notre guide sur les [24 premières heures d'un rançongiciel](https://cybercaribou.com/blogue/rancongiciel-premieres-24-heures). Et si vos données sont surtout dans Microsoft 365, voyez si [Microsoft 365 sauvegarde vraiment vos données](https://cybercaribou.com/blogue/sauvegarde-microsoft-365-necessaire). Notre service de [remédiation et durcissement](https://cybercaribou.com/services/remediation-durcissement) reconfigure vos sauvegardes et documente un test de restauration.

## FAQ

**La synchronisation OneDrive ou Dropbox, est-ce une sauvegarde ?**
Pas vraiment. Une synchronisation reproduit les changements, y compris les fichiers chiffrés par un rançongiciel ou supprimés par erreur. Le NCSC britannique rappelle que des rançongiciels ont déjà compromis des espaces infonuagiques connectés contenant des sauvegardes. Les versions antérieures offertes par certains services aident, mais vérifiez leur durée de conservation et qui peut les effacer.

**La Loi 25 oblige-t-elle à garder les sauvegardes au Québec ?**
Non. La loi n'impose pas d'hébergement au Québec, mais avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris à un fournisseur qui les conserve pour vous, elle exige une évaluation des facteurs relatifs à la vie privée et une entente écrite (art. 17). Une région infonuagique en Ontario est donc visée. Validez votre analyse avec votre conseiller juridique.

**Combien de temps prend une restauration depuis le nuage ?**
Cela dépend surtout du volume de données et de votre connexion Internet : le NCSC britannique rappelle qu'une sauvegarde infonuagique exige une connexion fiable pour sauvegarder et pour restaurer. Le seul moyen de connaître votre délai réel est de chronométrer un test de restauration complet, puis de le comparer à votre objectif de délai de rétablissement (RTO).

**Faut-il chiffrer les sauvegardes ?**
Oui. Les contrôles de base du Centre canadien pour la cybersécurité demandent de stocker les sauvegardes sous forme chiffrée. Gardez la clé ailleurs que dans la sauvegarde : le NCSC britannique suggère une copie hors bande, par exemple imprimée et rangée dans un coffre-fort.

## Sources

- [Centre canadien pour la cybersécurité : Sauvegarder et récupérer vos données (ITSAP.40.002)](https://www.cyber.gc.ca/fr/orientation/sauvegarder-et-recuperer-vos-donnees-itsap40002)
- [Centre canadien pour la cybersécurité : Guide sur les rançongiciels (ITSM.00.099)](https://www.cyber.gc.ca/fr/orientation/guide-sur-les-rancongiciels-itsm00099)
- [Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations](https://www.cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations)
- [Centre canadien pour la cybersécurité : Élaboration d'un plan de reprise informatique personnalisé (ITSAP.40.004)](https://www.cyber.gc.ca/fr/orientation/elaboration-dun-plan-de-reprise-informatique-personnalise-itsap40004)
- [NCSC (Royaume-Uni) : Principles for ransomware-resistant cloud backups](https://www.ncsc.gov.uk/guidance/principles-for-ransomware-resistant-cloud-backups)
- [NCSC (Royaume-Uni) : Offline backups in an online world](https://www.ncsc.gov.uk/blog-post/offline-backups-in-an-online-world)
- [NCSC (Royaume-Uni) : Always back up your most important data](https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/always-back-up-your-most-important-data)
- [NCSC (Royaume-Uni) : Mitigating malware and ransomware attacks](https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks)
- [CISA : #StopRansomware Guide](https://www.cisa.gov/stopransomware/ransomware-guide)
- [NIST : définition de l'objectif de délai de rétablissement (RTO), SP 800-34 Rev. 1](https://csrc.nist.gov/glossary/term/recovery_time_objective)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), art. 17](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)