Assurance, cloud, sauvegardes : ce que les petites entreprises négligent de vérifier avant de payer

Un cabinet d’expertise comptable de Nantes a perdu trois mois de dossiers clients en 2023. Pas un piratage sophistiqué : un disque dur externe défaillant, une sauvegarde qui tournait sur le même bureau, et une assurance multirisque professionnelle qui couvrait les locaux, le matériel, mais pas la perte de données. Le gérant avait signé sans lire la clause. Coût de l’incident : 28 000 € de reconstitution manuelle et deux clients partis chez un concurrent.

Ce genre d’histoire revient régulièrement dans les colonnes de blogs techniques comme https://lyriance.com/, qui documente les choix informatiques du quotidien sans jargon commercial. Je m’y intéresse parce que la question de l’argent et celle du numérique se rejoignent toujours au même endroit : le moment où l’on signe un contrat en pensant couvrir ses arrières.

Ce que les assureurs refusent quand les données disparaissent

La plupart des contrats multirisques professionnels comportent une exclusion sur les « dommages immatériels ». Traduction : si votre serveur est détruit par un dégât des eaux, vous êtes remboursé. Si les données qu’il contenait s’évaporent à cause d’une erreur humaine ou d’un rançongiciel, c’est pour votre poche.

Certaines compagnies proposent des extensions « cyber ». Encore faut-il vérifier trois lignes précises : le plafond d’indemnisation pour une attaque, la condition d’un plan de sauvegarde documenté, et l’antériorité exigée. Un assureur m’a confié qu’environ un dossier sur deux est refusé faute de preuve que la sauvegarde existait avant l’incident.

Le piège du « tout est dans le cloud »

On entend souvent que les données hébergées chez un grand fournisseur ne craignent plus rien. C’est faux, et c’est un raccourci coûteux.

Le cloud protège contre la panne matérielle. Il ne protège pas contre la suppression accidentelle, la synchronisation qui propage un fichier corrompu à toutes les copies, ou le ransomware qui chiffre les documents synchronisés sur le poste de travail. Microsoft, Google et les autres partagent d’ailleurs une responsabilité avec le client, ce que les prestataires résument par un principe simple : le fournisseur sécurise l’infrastructure, le client sécurise ses données.

Concrètement, cela veut dire que la facture ne s’arrête pas à l’abonnement.

• Un abonnement cloud seul ne suffit pas
• Une sauvegarde sur disque externe branché en permanence au même poste ne protège de rien contre un rançongiciel
• Trois copies, sur deux supports différents, dont une hors site
• Un test de restauration tous les six mois, chrono en main

Combien ça coûte vraiment

Pour une TPE de dix postes, une solution de sauvegarde externalisée correcte tourne autour de 30 à 60 € par mois. Ajoutez un disque dur dédié pour une copie locale rapide : 120 € une fois. L’extension cyber sur un contrat multirisque grimpe de 300 à 900 € par an selon le chiffre d’affaires et le secteur.

Face à ça, le coût d’une perte totale de données ? Une étude de l’Université du Maryland, souvent reprise, avance qu’environ 60 % des petites entreprises qui subissent une perte de données critique ferment dans les six mois. Le chiffre est discutable. L’ordre de grandeur, non.

Je préfère le dire franchement : payer 600 € par an pour une assurance qui risque de refuser votre dossier, c’est frustrant. Mais l’alternative n’est pas « ne rien payer ». C’est « payer moins mais mieux », un abonnement de sauvegarde sérieux, un audit rapide de vos clauses, et un test réel de restauration. Le reste, c’est de la littérature commerciale.

Prouver que la sauvegarde tournait : les journaux que l’assureur réclamera

La preuve, justement, prend une forme précise : un journal d’exécution horodaté, exporté et conservé ailleurs que sur la machine sauvegardée. Un tableau de bord consultable en ligne ne suffit pas si l’éditeur n’autorise pas l’extraction de l’historique sur douze mois.

Trois éléments reviennent dans presque tous les dossiers : la date et l’heure de chaque exécution, le volume réellement sauvegardé, et le compte rendu du dernier test de restauration. Un export mensuel au format PDF ou CSV, rangé avec les pièces comptables, demande quelques minutes et se retrouve en cinq secondes le jour du sinistre.

Reste la profondeur d’historique. Une rétention de sept jours ne couvre pas un rançongiciel qui chiffre les fichiers pendant trois semaines avant d’être repéré. Demandez par écrit combien de versions sont conservées, puis comparez ce chiffre au délai moyen de détection dans votre activité. C’est souvent là que le contrat et la réalité se séparent.

Trois questions à poser avant de signer

Demandez à votre assureur, par écrit, si les dommages immatériels liés à une perte de données sont couverts. Demandez au prestataire informatique où sont stockées les sauvegardes, et sous quelle juridiction, les données chez un hébergeur hors UE posent des questions de conformité que personne n’a envie de découvrir en pleine crise. Enfin, testez. Un restaurateur de restauration qui n’a jamais essayé de restaurer ne sait pas si sa sauvegarde fonctionne.

La plupart des sinistres informatiques que je vois passer ne viennent pas d’un attaquant génial. Ils viennent d’un clic de trop et d’un contrat mal lu.

Articles similaires

• Externaliser sa prospection : ce que ça coûte vraiment et ce que les prestataires oublient de dire
• Assurance et outils numériques : ce que les indépendants paient vraiment
• Saint-Saulve : Découvrez le Charme et les Secrets de son Code Postal