Votre entreprise gère ses propres sauvegardes. Vous avez un NAS, peut-être un PBS local, et tout fonctionne… jusqu'au jour où un ransomware chiffre tout, y compris les backups accessibles depuis votre réseau. Ou jusqu'au jour où un audit RGPD révèle que vos sauvegardes ne respectent pas les exigences de l'article 32.
Le Backup as a Service (BaaS) répond à ces problèmes en confiant vos sauvegardes à un opérateur distinct, spécialisé, avec une infrastructure physiquement et logiquement séparée de la vôtre. Ce n'est pas juste du stockage cloud : c'est une séparation des responsabilités qui change fondamentalement votre posture de sécurité.
Le principe clé du BaaS : celui qui gère la production ne doit pas être celui qui gère les sauvegardes. Deux opérateurs distincts, deux infrastructures distinctes, deux jeux d'identifiants distincts.
1. Séparation des opérateurs : le fondement du BaaS
Le modèle traditionnel — une seule équipe IT qui gère production et sauvegardes — crée un point de défaillance unique. Si un attaquant compromet les comptes admin de votre équipe, il accède à tout : hyperviseurs, stockage local, et backups.
Modèle classique (risqué)
- •Même équipe gère prod + backup
- •Mêmes identifiants ou AD commun
- •Backups accessibles depuis le réseau prod
- •Ransomware = chiffrement prod + backups
Modèle BaaS (sécurisé)
- •Opérateur backup distinct et spécialisé
- •Identifiants totalement indépendants
- •Infrastructure physiquement séparée
- •Ransomware = prod touchée, backups intacts
Cette séparation n'est pas qu'une bonne pratique : c'est une exigence réglementaire croissante. L'ANSSI recommande explicitement la séparation des rôles entre administrateurs de production et administrateurs de sauvegarde. La directive NIS2 l'impose pour les entités essentielles et importantes.
Pour comprendre en détail comment cette séparation fonctionne au niveau technique (comptes, permissions, rôles PBS), consultez notre article dédié : Backup as a Service Proxmox : pourquoi un compte backup (et pas admin) change tout.
2. RGPD : le BaaS comme réponse à l'article 32
L'article 32 du RGPD impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque. Parmi les exigences explicites :
Capacité de restauration rapide
Le BaaS garantit un RTO défini contractuellement. Chez NimbusBackup : RTO < 4h sur offres disque.
Chiffrement des données
PBS chiffre côté client en AES-256. Le prestataire BaaS n'a jamais accès aux données en clair.
Hébergement en France / UE
Un BaaS hébergé en France élimine le risque d'exposition au Cloud Act et garantit la souveraineté des données.
Traçabilité des opérations
Logs d'accès, historique des sauvegardes, alertes d'échec : le BaaS fournit la traçabilité nécessaire aux audits.
Point clé RGPD : le prestataire BaaS agit en tant que sous-traitant au sens de l'article 28. Un contrat de sous-traitance encadre précisément les responsabilités, les mesures de sécurité et les conditions de restitution/suppression des données.
3. NIS2 et ANSSI : séparation des privilèges obligatoire
La directive NIS2 (transposée en droit français en 2025) renforce considérablement les exigences de cybersécurité. L'article 21 impose notamment :
Exigences NIS2 couvertes par le BaaS
Gestion des accès et ségrégation des privilèges
Le BaaS impose des comptes backup-only, sans accès admin. Aucun identifiant partagé entre production et sauvegarde.
Continuité d'activité et gestion de crise
Le prestataire BaaS fournit un PRA documenté avec RTO/RPO contractuels et tests de restauration périodiques.
Sécurité de la chaîne d'approvisionnement
NIS2 exige de maîtriser les risques liés aux fournisseurs. Un prestataire BaaS français avec infrastructure souveraine réduit cette surface d'attaque.
L'ANSSI recommande également dans ses guides de bonnes pratiques que les sauvegardes soient gérées par un opérateur distinct de celui qui administre la production, avec des identifiants et des accès totalement indépendants. Le BaaS répond nativement à cette recommandation.
4. Les avantages concrets du BaaS pour votre entreprise
Protection anti-ransomware par conception
Un ransomware qui compromet votre AD, vos hyperviseurs et vos NAS ne peut pas atteindre une infrastructure BaaS gérée par un tiers. C'est une barrière architecturale, pas juste logicielle.
Monitoring 24/7 par des spécialistes
Combien de fois avez-vous découvert qu'un job de backup échouait depuis des semaines ? Un prestataire BaaS surveille en permanence et alerte immédiatement en cas d'échec, de dérive de volume ou d'anomalie.
Assistance à la restauration
En cas de sinistre, vous n'êtes pas seul. Le prestataire BaaS vous accompagne dans la restauration : identification du point de restauration, transfert des données, vérification d'intégrité.
Infrastructure qualifiée et maintenue
Le prestataire gère les mises à jour PBS, le remplacement matériel, la gestion de capacité et la sécurité de l'infrastructure. Vous n'avez pas à recruter un expert backup dédié.
Conformité documentée pour les audits
Contrat de sous-traitance RGPD, PRA formalisé, logs d'accès, rapports de sauvegarde : le BaaS fournit la documentation nécessaire pour satisfaire auditeurs et régulateurs.
5. Règle 3-2-1 : le BaaS est votre « 1 offsite »
La règle 3-2-1 est le standard minimum de protection des données : 3 copies de vos données, sur 2 médias différents, dont 1 hors-site. Simple en théorie, souvent incomplet en pratique.
copies
Production + PBS local + BaaS
médias
SSD/HDD prod + Meca/LTO distant
offsite
= votre BaaS
Le BaaS est précisément le « 1 offsite » de la règle 3-2-1. Sans lui, votre stratégie de sauvegarde repose entièrement sur votre site principal — un seul sinistre (incendie, inondation, ransomware) et tout disparaît.
Pour aller plus loin avec les extensions 3-2-1-1-0 (air-gap + zéro erreur de restauration), consultez notre guide complet air-gapped et règle 3-2-1-1-0.
6. Coût d'un ransomware vs coût du BaaS
Le BaaS coûte quelques centaines d'euros par mois. Un ransomware coûte en moyenne 250 000 € à une PME (source : ANSSI, panorama de la cybermenace 2024). Sans compter l'arrêt d'activité, la perte de confiance des clients et les sanctions RGPD potentielles.
Coût d'un ransomware (PME)
- • Rançon demandée : 50 000 à 500 000 €
- • Arrêt d'activité : 3 à 21 jours
- • Perte de CA : 10 000 à 50 000 €/jour
- • Reconstruction SI : 30 000 à 150 000 €
- • Sanction RGPD potentielle : jusqu'à 4% du CA
- • Perte de confiance clients : inchiffrable
Total moyen : 250 000 €+
Coût du BaaS (NimbusBackup)
- • 1 To externalisé : 12 €/mois
- • 5 To externalisés : 60 €/mois
- • 10 To externalisés : 120 €/mois
- • Monitoring 24/7 : inclus
- • Support + restauration : inclus
- • Conformité RGPD/NIS2 : inclus
Soit ~720 €/an pour 5 To
Le calcul est simple : le coût annuel du BaaS représente moins de 0,3% du coût moyen d'un ransomware. C'est une assurance, pas une dépense.
7. Checklist : votre sauvegarde actuelle est-elle conforme ?
Vérifiez si votre dispositif de sauvegarde actuel répond aux exigences réglementaires et aux bonnes pratiques :
Vos backups sont-ils gérés par un opérateur distinct de la production ?
Les identifiants backup sont-ils totalement indépendants de ceux de production / AD ?
Vos sauvegardes sont-elles hébergées en France ou en UE ?
Le chiffrement est-il appliqué côté client (avant transmission) ?
Avez-vous un RTO/RPO contractuel et testé ?
Un ransomware sur votre réseau peut-il atteindre vos backups ?
Disposez-vous d'un contrat de sous-traitance RGPD pour vos sauvegardes ?
Vos jobs de backup sont-ils monitorés 24/7 avec alertes d'échec ?
Si vous avez coché moins de 6 cases, un modèle BaaS comblerait les lacunes identifiées.
8. NimbusBackup : un BaaS conçu pour la conformité
Chez NimbusBackup, le modèle BaaS n'est pas un argument marketing : c'est le fondement de notre architecture de sécurité.
Infrastructure
- • Datacenter Equinix Paris (France)
- • Réseau privé RDEM Systems (AS206014)
- • PBS dédié par client, pas de multi-tenant
- • Options air-gapped et coffre-fort bancaire
Conformité
- • Chiffrement AES-256 côté client
- • Comptes backup-only (zéro admin)
- • Contrat sous-traitance RGPD inclus
- • Compatible NIS2, ANSSI, cyber-assurance
Passez au Backup as a Service
Dès 12€ HT/To/mois, monitoring et support inclus. Opérationnel en 15 minutes.
Pour aller plus loin
BaaS Proxmox : comptes backup vs admin
Détail technique de la ségrégation des comptes PBS
RGPD et sauvegarde : obligations
Guide complet des exigences RGPD pour les backups
NIS2 et sauvegardes : conformité
Exigences et bonnes pratiques pour être conforme
Sauvegarde externalisée entreprise
Offres, tarifs et critères de choix