Sauvegarde NAS et accès à distance sécurisé pour une TPE

Quand je passe dans un local professionnel pour une intervention, ma première question n’est presque jamais électrique : où sont vos sauvegardes, et comment accédez-vous à vos fichiers depuis l’extérieur. Pour une TPE, la réponse tient en deux décisions : appliquer la règle 3-2-1 de la CNIL et ne jamais exposer ses services directement sur Internet, mais derrière un VPN avec double authentification. Je détaille ici la traduction concrète de ces deux principes en matériel et en configuration, avec un NAS 4 baies comme pièce centrale.

Pourquoi une TPE ne peut plus ignorer la sauvegarde

La CNIL formule le risque sans détour : « En cas d’attaque par rançongiciel, de panne matérielle ou d’incendie, la sauvegarde est souvent le seul moyen de récupérer vos données. » Ce n’est pas une précaution optionnelle, c’est le dernier filet entre l’entreprise et la perte totale.

Cybermalveillance.gouv.fr ajoute un point que beaucoup de dirigeants ignorent : les rançongiciels s’accompagnent « de plus en plus souvent d’un vol de données et d’une destruction préalables des sauvegardes ». L’attaquant ne se contente plus de chiffrer les fichiers, il cherche d’abord la copie de secours pour neutraliser la parade avant de frapper.

Le même organisme classe les accès à distance parmi les vecteurs d’intrusion explicites. Un service exposé sur Internet, une interface de gestion sans protection, un compte faible : c’est par là que l’attaque entre. La sauvegarde et l’accès distant ne sont donc pas deux sujets séparés, ce sont les deux faces de la même protection.

La règle 3-2-1, le fondement officiel

La CNIL, dans sa page « Sécurité des données : les règles essentielles » mise à jour le 19/06/2026, fixe la référence : 3 copies, sur 2 supports différents, dont 1 déconnectée du réseau. L’institution donne elle-même l’exemple du disque dur externe débranché du réseau comme copie déconnectée.

Cette copie déconnectée a un rôle précis : résister à l’attaque qui vise justement les sauvegardes. Un disque USB qui n’est branché que le temps de la sauvegarde ne peut être ni chiffré par un rançongiciel, ni détruit par une intrusion réseau.

Recommandation CNIL — Sécurité des données : les règles essentielles

La même page exige des tests de restauration réguliers. Une sauvegarde que l’on n’a jamais essayé de restaurer n’est pas une sauvegarde : c’est une hypothèse. Je reprends cette consigne telle quelle sur les installations que je vérifie.

Synology pousse la logique plus loin avec la stratégie 3-2-1-1-0 : des copies immuables et des copies air-gapped, physiquement isolées, portées par des dispositifs comme ActiveProtect. Pour une TPE, la règle 3-2-1 de la CNIL constitue déjà un socle solide ; la version longue s’adresse aux organisations soumises à des exigences de conformité plus dures.

Traduire le 3-2-1 en matériel : NAS, disque USB et cloud

Voici comment je traduis la règle en équipement pour un petit local professionnel.

Le constructeur Synology fournit les mécanismes exacts pour chaque copie. Hyper Backup sauvegarde le NAS vers un autre NAS, un cloud (dont C2 Storage) ou un périphérique externe, avec chiffrement AES-256 côté client pour C2 Storage, plus compression et déduplication. USB Copy automatise la sauvegarde sur disque USB branché : c’est la copie déconnectée de la CNIL, sans rien à faire à la main. Snapshot Replication prend des instantanés jusqu’à toutes les 5 minutes, soit un RPO de 5 minutes.

Pour les postes eux-mêmes, Active Backup for Business sauvegarde les PC Windows et Linux, les serveurs, les environnements Microsoft 365 et les machines virtuelles. Cloud Sync synchronise les dossiers vers OneDrive, Google Drive ou Dropbox. Le NAS n’est pas un simple disque réseau : c’est la colonne vertébrale de la stratégie de sauvegarde.

Le NAS 4 baies Synology DS423 comme exemple de dimensionnement

Pour dimensionner, je m’appuie sur les spécifications publiées par Synology pour le DS423, un modèle 4 baies adapté à une TPE. Il accepte des disques SATA 3,5 pouces, embarque un Realtek RTD1619B 4 cœurs à 1,7 GHz et 2 Go de DDR4 non-ECC, avec 2 ports RJ-45 1 GbE et 2 ports USB 3.2 Gen 1.

Le système de fichiers Btrfs protège les données contre la corruption et permet les instantanés : une modification accidentelle ou malveillante s’annule en revenant à un état antérieur. La capacité maximale annoncée est de 80 To, et la Surveillance Station gère jusqu’à 30 caméras, avec 2 licences incluses : le NAS peut donc doubler de rôle comme enregistreur vidéo, un usage que j’aborde dans le comparatif des caméras PoE ou Wi-Fi, où le NAS sert de destination d’enregistrement recommandée.

La garantie constructeur est de 2 ans, extensible à 4 ans en Europe. Un point de transparence : Synology ne publie pas de prix pour ce modèle, qui s’achète chez les revendeurs. Je ne donne donc aucun tarif ici, un chiffre non vérifié ne servirait à personne.

L’angle électricien : consommation, onduleur et emplacement

Le NAS est un équipement courant qui se branche sur une prise standard : je n’ai trouvé aucune norme électrique qui impose un circuit dédié, et je n’en invente pas. En revanche, deux points relèvent de mon métier : la consommation et l’alimentation.

Synology mesure 32,41 W pour le DS423 en accès et 4,97 W en hibernation des disques, pour un niveau sonore de 20,6 dB(A). À partir du chiffre constructeur, je calcule : en fonctionnement permanent, environ 284 kWh par an (32,41 × 24 × 365 ÷ 1000), soit de l’ordre de 57 € par an au tarif réglementé résidentiel, un ordre de grandeur puisque je n’ai pas revérifié ce tarif. En hibernation, le calcul tombe à environ 43,5 kWh par an.

Ce calcul montre que le choix des disques et des réglages d’hibernation n’est pas anecdotique. La consommation annuelle du NAS est un poste réel, et elle compte aussi pour le dimensionnement de l’onduleur, le même sujet que je traite pour les alarmes dans le guide sur l’onduleur et la coupure de courant.

Je recommande de poser le NAS dans le local technique, à côté du coffret de communication, dans une pièce ventilée : Synology donne une plage de température de fonctionnement de 0 à 40 °C. La proximité du coffret de communication évite les longs câbles réseau, et l’alimentation sur onduleur protège l’écriture des données pendant les microcoupures.

Le raccordement au réseau se fait en RJ-45 vers la box ou un switch : c’est le moment de vérifier l’état des prises réseau du local et l’arrivée fibre. Si le local est mal câblé, le NAS devient vite un point faible, même avec la meilleure stratégie de sauvegarde.

Accès à distance : la doctrine officielle est le VPN

La CNIL, dans ses conseils pour le télétravail publiés le 12/05/2020, est explicite : « Mettez en place un VPN pour éviter l’exposition directe de vos services sur Internet, dès que cela est possible. Activez l’authentification du VPN à deux facteurs si c’est possible. »

Cybermalveillance.gouv.fr parle d’un VPN systématisé pour les accès extérieurs, avec double authentification à privilégier sur les connexions VPN. France Num résume le principe : le VPN est un tunnel chiffré entre l’appareil et le réseau de l’entreprise.

Trois précisions de France Num valent leur pesant d’or. Le VPN grand public est déconseillé en cadre professionnel. Le VPN ne protège pas contre l’hameçonnage : il chiffre le trafic, il ne filtre pas les pièges. Et le prix d’une solution démarre à 3 euros par mois et par utilisateur.

La même fiche rapporte que l’ANSSI recommande le protocole IPsec, plus robuste en matière de sécurité. Je présente cette affirmation comme portée par France Num, car je n’ai pas pu la vérifier directement sur le site de l’ANSSI, dont les pages VPN étaient inaccessibles au moment de ma recherche. La fiche renvoie aussi au catalogue des produits certifiés ANSSI, où figurent notamment TheGreenBow et OpenVPN.

Enfin, la CNIL limite la surface d’attaque : limitez le nombre de services mis à disposition au strict minimum, n’exposez pas les interfaces de serveurs non sécurisées, gardez des versions récentes de HTTPS et SFTP avec les correctifs à jour (bulletin CERT-FR), activez le double facteur sur les services accessibles à distance et consultez les journaux d’accès.

WireGuard, Tailscale ou le VPN du NAS : trois façons de ne pas exposer

Le NAS Synology embarque un serveur VPN (VPN Server DSM) qui peut suffire, mais deux alternatives méritent l’attention : WireGuard et Tailscale.

WireGuard, le protocole VPN moderne

WireGuard est un protocole VPN open source dont la page officielle décrit une cryptographie « état de l’art » : le framework Noise, la courbe Curve25519, les chiffrements ChaCha20 et Poly1305, les fonctions de hachage BLAKE2 et SipHash24, le tout revu par des cryptographes. L’implémentation vit dans le noyau Linux et couvre toutes les plateformes.

L’échange de clés publiques se fait comme SSH, avec un roaming IP qui maintient la session quand l’appareil change de réseau. L’exemple de configuration officiel utilise le port UDP 51820. Le projet affirme lui-même que WireGuard est « peut-être la solution VPN la plus sûre, la plus simple et la plus facile à utiliser » : je cite cette phrase comme une allégation du projet, pas comme un fait mesuré.

Tailscale, le mesh VPN managé

Tailscale se présente comme une plateforme de connectivité Zero Trust, identity-based, un mesh VPN construit sur WireGuard, dont la marque « WireGuard® for Enterprises » est revendiquée. L’argument central est l’absence d’exposition publique : aucun port à ouvrir, les ressources restent invisibles sur Internet.

Il existe un free tier pour usage personnel. Un témoignage d’utilisateur sur la page d’accueil évoque un paquet Tailscale pour Synology, mais je n’ai pas pu vérifier ce paquet sur une page officielle : je le laisse donc en suspens, à confirmer avant de baser une installation dessus.

Le choix

Quelle que soit l’option retenue, la double authentification sur la connexion VPN reste non négociable : c’est la condition posée par la CNIL et par cybermalveillance.gouv.fr. Pour une TPE sans informaticien, Tailscale supprime la gestion de l’exposition ; pour un profil technique, WireGuard en auto-hébergement est le plus propre ; le VPN intégré du NAS reste une option si l’on accepte d’ouvrir un port et de le surveiller.

Les mêmes réflexes protègent aussi le particulier : l’intrusion par accès distant est exactement le scénario du homejacking, où le VPN et la double authentification jouent le même rôle pour la maison connectée.

Mots de passe et double authentification : le socle

La CNIL fixe un minimum clair : mots de passe de 12 caractères au moins, avec majuscules, minuscules, chiffres et caractères spéciaux, stockés dans un gestionnaire de mots de passe. Elle cite KeePassXC, gratuit et certifié par l’ANSSI.

La double authentification doit être activée, en particulier pour les boîtes de courriels, les comptes administrateurs et les services en ligne. Pour un artisan, une clé matérielle est une alternative robuste aux codes par SMS : j’ai détaillé le sujet dans le guide sur les clés YubiKey et les passkeys.

Le reste de la liste CNIL tient en une ligne : mises à jour automatiques, antivirus et pare-feu, chiffrement des équipements mobiles, séparation des usages personnels et professionnels. Chaque item protège un maillon de la même chaîne, de la boîte mail au NAS.

La fréquence de sauvegarde : une décision de gestion, pas une obligation

Une question revient systématiquement : combien de fois par jour faut-il sauvegarder ? La page CNIL des règles essentielles ne fixe aucune fréquence obligatoire, et je n’ai trouvé aucune obligation de fréquence dans les sources officielles que j’ai ouvertes. Le RGPD exige des mesures de sécurité appropriées, pas un calendrier.

La fréquence est donc une décision de gestion, calibrée sur ce que l’entreprise peut perdre sans s’arrêter. Avec Snapshot Replication toutes les 5 minutes, une TPE qui travaille sur des fichiers à jour peut viser un RPO très court ; une activité à rythme hebdomadaire peut se contenter d’une sauvegarde quotidienne. Ce qui compte n’est pas la fréquence, c’est la régularité et le test de restauration.

La checklist de mise en place

• NAS posé dans le local technique, à côté du coffret de communication, entre 0 et 40 °C.
• NAS alimenté sur onduleur, raccordé en RJ-45 vers la box ou un switch.
• Hyper Backup vers un cloud chiffré AES-256 côté client.
• Disque USB de sauvegarde débranché hors période de copie.
• Instantanés activés, jusqu’à toutes les 5 minutes.
• Accès distant uniquement par VPN avec double authentification.
• Test de restauration régulier, comme l’exige la CNIL.

Si le NAS héberge aussi l’enregistrement des caméras, la sécurisation de celles-ci suit les mêmes règles : je conseille de lire le guide sur la sécurisation des caméras de surveillance avant d’ouvrir le moindre accès depuis l’extérieur.

FAQ