Sauvegarde et sécurité des données de gestion : ce que toute PME marocaine devrait avoir en place

Les données de gestion : l'actif le plus concentré et le moins protégé

Ce qui rend les données de gestion critiques, c'est leur double statut. Elles sont d'abord vitales pour l'exploitation : sans le fichier clients, les encours et les factures, l'activité s'arrête — impossible de livrer, de facturer, de relancer, de payer. Elles sont ensuite exigées par la loi : les documents comptables et les pièces justificatives doivent être conservés pendant dix ans au Maroc, et la facturation électronique de la DGI ajoute une exigence d'archivage des factures structurées (Facturation électronique au Maroc en 2026). Perdre ces données, ce n'est donc pas seulement un problème opérationnel : c'est une exposition juridique et fiscale.

Or les scénarios de perte n'ont rien de théorique, et le plus fréquent n'est pas le plus spectaculaire. Avant le rançongiciel, il y a la panne du disque jamais sauvegardé, le portable volé dans une voiture, la suppression malheureuse par un utilisateur pressé, le fichier écrasé par une mauvaise version, le départ conflictuel d'un collaborateur qui détenait seul les accès. Chacun de ces scénarios ordinaires suffit à effacer des années de gestion. La question à se poser n'est pas « cela peut-il arriver ? » mais « combien de temps et de données perdrions-nous si cela arrivait demain ? » — et si la réponse est « on ne sait pas », c'est qu'elle est « trop ».

• Vitales pour l'exploitation : sans clients, encours et factures, l'activité s'arrête le jour même.
• Exigées par la loi : conservation des documents comptables pendant dix ans, archivage des factures électroniques.
• Le risque ordinaire d'abord : panne de disque, vol de portable, suppression accidentelle, fichier écrasé.
• Le rançongiciel ensuite : il chiffre aussi le disque externe branché en permanence sur le même poste.
• Deux chiffres à connaître : combien de données perdues (heures ? jours ?) et combien de temps pour repartir.

La règle 3-2-1 : le standard minimal expliqué simplement

La règle 3-2-1 résume des décennies de sinistres en une formule : trois copies des données, sur deux supports différents, dont une hors site. Trois copies, parce qu'une sauvegarde unique peut elle-même être défaillante au moment précis où l'on en a besoin. Deux supports différents, parce qu'un même lot de disques peut vieillir de la même façon et qu'un même système peut être compromis d'un coup. Une copie hors site, parce qu'un incendie, un dégât des eaux ou un cambriolage emportent tout ce qui se trouve au même endroit — la sauvegarde posée sur le serveur qu'elle protège ne protège rien.

Deux précisions rendent la règle réellement efficace. La première : au moins une copie doit être déconnectée ou hors d'atteinte d'un attaquant — un rançongiciel moderne cherche et chiffre les sauvegardes accessibles depuis le réseau ; une copie isolée (support débranché ou stockage à versions immuables) est le seul rempart fiable. La seconde : la sauvegarde doit être automatique et surveillée — celle qui repose sur « quelqu'un pense à brancher le disque le vendredi » s'interrompt à la première semaine chargée, et personne ne s'en aperçoit avant le sinistre. La fréquence se déduit de la question posée plus haut : si perdre une journée de saisie est acceptable, une sauvegarde quotidienne suffit ; si l'activité est intense, il faut resserrer.

• 3 copies : les données vivantes plus deux sauvegardes — une seule sauvegarde est un pari.
• 2 supports différents : disque et cloud, ou serveur et support amovible — jamais deux fois le même panier.
• 1 copie hors site : l'incendie, l'inondation et le cambriolage emportent tout ce qui est au même endroit.
• Une copie hors d'atteinte du réseau : le rançongiciel chiffre toute sauvegarde qu'il peut voir.
• Automatique et surveillée : une alerte doit signaler toute sauvegarde qui a échoué — sans attendre le sinistre.

Sauvegarder ne suffit pas : restaurer, et le prouver

Le secret honteux des sauvegardes est qu'une part significative ne se restaure pas le jour venu : fichiers corrompus, sauvegarde incomplète depuis des mois, mot de passe de chiffrement perdu, format illisible sur le nouveau matériel, procédure que seul connaissait un prestataire injoignable. Une sauvegarde n'a de valeur que restaurable, et cela ne se constate qu'en essayant. D'où la pratique qui distingue les entreprises protégées des entreprises rassurées : le test de restauration périodique — restaurer réellement, sur un environnement de test, un jeu de données récent, et vérifier qu'on retrouve une gestion utilisable.

Ce test répond aux deux questions qui comptent, celles que tout dirigeant devrait pouvoir énoncer : le RPO — combien de données perd-on au maximum (l'écart entre deux sauvegardes) — et le RTO — combien de temps faut-il pour redevenir opérationnel. Un test annuel est un minimum ; semestriel est raisonnable pour une gestion active. Il faut enfin documenter la procédure — où sont les sauvegardes, comment les restaurer, qui sait le faire, quels mots de passe — et la conserver ailleurs que sur le système qu'elle est censée sauver. Dix pages suffisent ; leur absence transforme un incident technique en crise d'entreprise.

SaaS ou serveur local : qui est responsable de quoi

Le mode d'hébergement change radicalement la charge qui pèse sur l'entreprise. Avec une gestion installée sur un serveur ou un poste local, tout ce qui précède — la règle 3-2-1, l'automatisation, la copie hors site, les tests de restauration, les mises à jour de sécurité, l'onduleur, le remplacement du matériel vieillissant — est à la charge de la PME, avec les compétences que cela suppose et qui manquent précisément dans la plupart des petites structures. Ce n'est pas impossible ; c'est un métier, et il faut décider en conscience de l'exercer ou de le déléguer.

Avec un ERP en SaaS, l'infrastructure, les sauvegardes, la redondance et les mises à jour de sécurité relèvent de l'éditeur, qui les industrialise pour l'ensemble de ses clients — un niveau de protection qu'une PME isolée peut difficilement s'offrir (ERP SaaS : pourquoi les entreprises marocaines passent au cloud pour…). C'est l'architecture de Crystal ERP (Crystal ERP) : les données de gestion sont hébergées, sauvegardées et surveillées par CRYSTAL IT, et l'entreprise accède à son ERP par navigateur, y compris après le vol d'un poste — qui redevient un simple remplacement de matériel. La contrepartie honnête : le SaaS ne dispense pas l'entreprise de ses propres devoirs — la sécurité des accès (voir section suivante), la protection des postes, et la sauvegarde de ce qui vit hors de l'ERP, fichiers bureautiques et messagerie en tête. La bonne question à poser à tout éditeur reste : quelles sauvegardes, à quelle fréquence, testées comment, restaurables en combien de temps ?

• En local : sauvegardes, mises à jour, matériel et tests sont à la charge de l'entreprise — c'est un métier.
• En SaaS : l'éditeur industrialise sauvegardes, redondance et sécurité pour tous ses clients.
• Le vol ou la panne d'un poste redevient un non-événement : les données ne sont pas dessus.
• Le SaaS ne couvre pas tout : accès, postes de travail et fichiers hors ERP restent la responsabilité de la PME.
• Questions à poser à l'éditeur : fréquence des sauvegardes, tests de restauration, délai de reprise.

Les accès : la moitié de la sécurité qui ne coûte rien

Une part majeure des pertes de données ne vient ni des pannes ni des pirates, mais des accès mal gérés. Le compte unique partagé par toute l'équipe — impossible de savoir qui a fait quoi ; le mot de passe collé sur l'écran ou identique partout depuis des années ; l'ancien salarié dont personne n'a coupé l'accès ; le stagiaire qui dispose des mêmes droits que le DAF. Ces négligences ordinaires exposent l'entreprise autant qu'un rançongiciel, et s'éliminent sans dépenser un dirham : des comptes nominatifs pour chacun, des droits alignés sur le poste — le vendeur facture mais ne supprime pas, le magasinier mouvemente le stock mais ne voit pas la paie —, une revue des accès à chaque départ et une fois par an, et des mots de passe robustes et uniques, idéalement gérés par un gestionnaire dédié.

Ces pratiques rejoignent une obligation : dès qu'une entreprise traite des données personnelles — et un fichier clients en est —, la loi 09-08 lui impose des mesures de protection adaptées, sous le contrôle de la CNDP (Cybersécurité et loi 09-08). Les droits d'accès différenciés et la traçabilité qu'offre un ERP moderne — qui a créé, modifié, supprimé quoi et quand — en sont les briques de base ; Crystal ERP les fournit nativement, jusqu'aux profils multi-sociétés pour les groupes (Gérer plusieurs sociétés et plusieurs sites dans un seul ERP). La sécurité des données de gestion n'est finalement pas un sujet technique mais un sujet de direction : décider ce qui doit survivre à un sinistre, vérifier qu'on saurait le restaurer, et savoir qui a la main sur quoi. Trois décisions, et l'entreprise dort mieux.

• Des comptes nominatifs pour tous : le compte partagé rend toute traçabilité impossible.
• Des droits alignés sur le poste : chacun voit et fait ce que son rôle exige, rien de plus.
• Couper les accès le jour du départ d'un collaborateur — et revoir tous les droits une fois par an.
• Des mots de passe uniques et robustes, gérés proprement — pas le même partout depuis cinq ans.
• Loi 09-08 : protéger le fichier clients n'est pas optionnel, c'est une obligation sous contrôle de la CNDP.