Les sauvegardes au cabinet : quoi sauvegarder, où, et comment vérifier

D'abord, savoir où sont vos données

L'emplacement de vos dossiers dépend de votre logiciel métier, et il change la façon d'organiser les sauvegardes.

Logiciel en ligne (mode SaaS)

Logiciel accessible par Internet, dont les dossiers sont stockés chez l'éditeur ou son hébergeur. L'éditeur sauvegarde alors la base, selon votre contrat.

Logiciel installé au cabinet

La base de données est sur un poste ou un petit serveur du cabinet. Sa sauvegarde vous revient, en pratique à votre prestataire.

NAS

Boîtier de stockage branché sur le réseau du cabinet, souvent utilisé pour les sauvegardes.

Sauvegarde hors ligne

Copie sur un support déconnecté du réseau en dehors de la copie : disque externe débranché, bande, support rangé ailleurs.

Restauration

Remise en service des données à partir d'une copie.

Beaucoup de cabinets sont dans une situation mixte : dossier patient en ligne, mais documents scannés, courriers, comptabilité ou messagerie sur les postes. Un logiciel en ligne ne dispense donc pas de sauvegarder le reste.

Ce qu'il faut sauvegarder

• La base du logiciel métier, si elle est installée au cabinet : c'est la donnée la plus précieuse. Avec un logiciel en ligne, vérifiez ce que l'éditeur sauvegarde et si vous pouvez obtenir un export.
• Les documents hors logiciel : comptes rendus reçus, examens scannés, courriers, modèles, souvent rangés dans « Documents » ou sur le bureau.
• La messagerie, si les messages sont stockés sur le poste plutôt que chez l'opérateur.
• La comptabilité et les documents administratifs du cabinet.
• Les éléments de configuration : licences, paramétrages du logiciel, coordonnées de l'éditeur et du prestataire, procédure de restauration. Ce sont souvent eux qui manquent le jour d'une panne.

Pour vérifier l'inventaire, demandez-vous ce qui vous manquerait pour travailler la semaine suivante si ce poste disparaissait demain.

Plusieurs copies, dont une hors ligne et une hors du cabinet

La fiche « sauvegardes » du Guide de la sécurité des données personnelles de la CNIL pose ces précautions élémentaires[CNIL, fiche 17] :

• effectuer des sauvegardes fréquentes ;
• stocker au moins une sauvegarde sur un site géographiquement distinct ;
• isoler au moins une sauvegarde hors ligne, déconnectée du réseau ;
• protéger les sauvegardes au même niveau que les données d'origine, par exemple en les chiffrant ;
• tester régulièrement l'intégrité des sauvegardes et la capacité à les restaurer.

La même fiche conseille d'aller plus loin avec la règle dite « 3-2-1 » : trois copies des données, sur deux supports différents, dont une hors ligne[CNIL, fiche 17]. Le mémento de l'ANS pour l'exercice libéral recommande une sauvegarde mixte, locale et en ligne, avec des supports amovibles débranchés entre deux sauvegardes[ANS, mémento].

Le guide de l'Ordre des médecins et de la CNIL donne un rythme de référence : une sauvegarde au minimum hebdomadaire, des sauvegardes mensuelles conservées sur douze mois glissants, et leur conservation dans un lieu différent du cabinet[CNOM et CNIL]. Une sauvegarde quotidienne peut être plus adaptée si vous ne voulez pas ressaisir plusieurs jours de travail.

Pourquoi un NAS toujours branché ne suffit pas

Le cas le plus fréquent est une sauvegarde automatique, chaque nuit, vers un NAS posé dans le même local. Elle protège bien contre la panne d'un disque, beaucoup moins contre le reste. La CNIL range parmi les erreurs à éviter des sauvegardes non isolées des données, qu'un rançongiciel pourrait atteindre en même temps, ou gardées au même endroit que les machines, où un sinistre ferait tout perdre[CNIL, fiche 17].

Un NAS connecté en permanence et accessible depuis les postes subit les mêmes menaces qu'eux. C'est pourquoi Cybermalveillance.gouv.fr conseille, en cas d'attaque, de débrancher immédiatement les sauvegardes connectées au réseau[Cybermalveillance.gouv.fr]. Le NAS peut rester une première copie, pratique pour restaurer vite, à compléter par une copie déconnectée et une copie hors du cabinet.

Chiffrer les sauvegardes

Une sauvegarde contient toutes vos données : perdre le disque ou se le faire voler revient à perdre l'ensemble des dossiers. La CNIL demande de protéger les sauvegardes au même niveau que les données d'origine, en citant le chiffrement[CNIL, fiche 17]. Son référentiel pour les cabinets recommande de chiffrer systématiquement les données sensibles conservées sur des supports amovibles[CNIL, référentiel].

Sans la clé ou le mot de passe, une sauvegarde chiffrée est inutilisable, y compris pour vous. Conservez cette clé à part, dans un endroit sûr, et assurez-vous qu'au moins deux personnes savent où la trouver.

Pour une copie confiée à un service en ligne, le référentiel de la CNIL rappelle que le prestataire qui conserve des données de santé sur des serveurs distants doit répondre aux exigences de l'article L. 1111-8 du code de la santé publique[CNIL, référentiel]. Un espace de stockage grand public ne remplit pas ce rôle.

Tester la restauration

Une sauvegarde peut échouer en silence pendant des mois (disque plein, mot de passe changé, dossier déplacé). La CNIL cite parmi les erreurs à éviter de ne jamais vérifier que les sauvegardes sont exploitables[CNIL, fiche 17]. Le guide d'hygiène informatique de l'ANSSI recommande d'inclure des procédures de test de restauration dans la politique de sauvegarde et, à un niveau renforcé, un exercice de restauration au moins une fois par an, dont on garde une trace[ANSSI, guide d'hygiène].

1. 01

   Vérifier que la sauvegarde a bien eu lieu

   Demandez à votre prestataire où consulter le compte rendu des sauvegardes, ou une alerte en cas d'échec. Un coup d'œil par semaine suffit.

2. 02

   Restaurer un fichier

   Une fois par trimestre par exemple, restaurez un document au hasard et ouvrez-le. Cela prend dix minutes.

3. 03

   Restaurer l'ensemble, une fois par an

   Avec votre prestataire, restaurez la base du logiciel sur un autre poste et vérifiez qu'elle s'ouvre. Notez la date, la durée et les difficultés rencontrées.

La durée de cette restauration complète indique combien de temps le cabinet fonctionnerait en mode dégradé après un incident.

Combien de temps garder les sauvegardes

Garder uniquement la dernière sauvegarde est risqué. Si un fichier a été corrompu ou chiffré il y a trois semaines sans que personne ne le remarque, la dernière copie contient déjà le problème. Plusieurs générations (quotidiennes sur quelques jours, hebdomadaires sur quelques semaines, mensuelles sur l'année) permettent de revenir en arrière. Le guide de l'Ordre des médecins et de la CNIL cite la conservation des sauvegardes mensuelles sur douze mois glissants[CNOM et CNIL].

Cette durée se distingue de celle des dossiers, conservés vingt ans à compter de la dernière prise en charge selon le référentiel de la CNIL[CNIL, référentiel]. L'archivage des dossiers anciens suit une autre logique : support distinct, accès restreint, niveau de sécurité équivalent. Une sauvegarde ne doit pas devenir un archivage de fait, conservé sans limite.

Qui est responsable de quoi

Le RGPD demande au responsable de traitement, c'est-à-dire vous, des mesures permettant de rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident[RGPD, art. 32]. Votre prestataire met en place et surveille les sauvegardes ; votre éditeur, s'il héberge vos données, sauvegarde la base de son côté. À vous de savoir que c'est fait, et comment. Quelques questions à leur poser :

• Qu'est-ce qui est sauvegardé exactement, et qu'est-ce qui ne l'est pas ?
• À quelle fréquence, vers quels supports, et où se trouve la copie hors du cabinet ?
• Une copie est-elle déconnectée du réseau ? Les sauvegardes sont-elles chiffrées, et qui détient la clé ?
• Quand la restauration a-t-elle été testée pour la dernière fois, et combien de temps a-t-elle pris ?
• Pour un logiciel en ligne : quelle est la politique de sauvegarde de l'éditeur, et comment récupérer vos données si vous changez de logiciel ?

Notez les réponses dans un document court, rangé avec votre registre des traitements. Il servira aussi à quiconque reprendra la maintenance après votre prestataire actuel. En cas de problème, voir que faire en cas d'incident informatique au cabinet.