Formation sécurité des données et sauvegardes pour dirigeants : décider ce qui se sauvegarde, qui accède à quoi, ce que l'on exige des prestataires, et préparer la réponse à un incident

Quelles décisions la direction saura-t-elle prendre à la fin de la formation, et que laisse-t-elle de côté ?

Dans une petite ou moyenne structure, la sécurité des données dépend moins des outils que de décisions que personne n'a prises. Qui a décidé que la clé USB du vendredi suffisait ? Qui a accepté que le nom de domaine reste au nom du premier prestataire ? Qui sait ce qu'il faudrait faire si la base de l'ERP devenait illisible un lundi matin ? Ces questions n'ont pas de réponse technique. Elles reviennent à celui ou celle qui engage l'organisation, et cette formation leur donne la méthode, le vocabulaire et le temps de les trancher.

À la fin des deux jours, la direction repart avec huit décisions écrites : le registre des données et des accès ; la perte de données et la durée d'arrêt qu'elle accepte pour chaque ensemble ; la politique de sauvegarde d'une page ; la date et le responsable du premier test de restauration ; la règle d'attribution, de revue et de retrait des accès ; la liste des clauses à obtenir des prestataires ; la fiche réflexe en cas d'incident, notification comprise ; et un plan d'action sur douze mois, chiffré et proportionné.

La formation ne traite pas des gestes des salariés devant un faux message, ni de leurs mots de passe : c'est l'objet de la formation cybersécurité pour les employés, qui la complète bien. Les réglages détaillés d'une suite bureautique en ligne relèvent de la formation consacrée à Microsoft 365 et Google Workspace, et le choix d'un hébergeur ou d'un service en nuage de la formation sur le cloud et l'hébergement. Les règles d'usage de l'intelligence artificielle ont leur propre formation, Gouverner l'IA dans l'entreprise.

Elle n'est pas non plus un audit. Personne n'examine vos serveurs pendant la session et aucune attestation de conformité n'est délivrée. Ce qui y est appris permet de commander, de suivre et de contrôler le travail des techniciens, internes ou externes. La mise en œuvre des sauvegardes, la reprise des comptes et la surveillance des outils relèvent d'une prestation de maintenance et de support ; l'examen d'un existant avant un projet, d'un audit et d'une étude de projet.

Que doit décider la direction en matière de sauvegarde, et pourquoi la règle 3-2-1 ne suffit-elle pas seule ?

La règle la plus citée tient en trois chiffres. Le guide « Data Backup Options » publié en 2012 par l'US-CERT, aujourd'hui rattaché à la CISA américaine, la formule ainsi : garder trois copies de tout fichier important, l'original et deux sauvegardes ; sur deux types de supports différents ; dont une conservée hors des locaux. Elle protège contre la panne d'un disque, le vol d'un ordinateur, l'incendie ou l'inondation du bureau. Elle a l'avantage d'être vérifiable par un non-spécialiste : il suffit de demander où se trouvent les trois copies.

Elle ne dit pourtant rien de deux risques qui dominent aujourd'hui. Le premier est le rançongiciel, qui chiffre tout ce qu'il atteint par le réseau, y compris la sauvegarde restée branchée ou synchronisée. D'où la recommandation de Cybermalveillance.gouv.fr, dans sa fiche sur les sauvegardes mise à jour le 14 septembre 2026, de déconnecter le support après usage. La formation y ajoute une exigence de direction : au moins une copie hors ligne ou non modifiable, et la preuve écrite qu'elle existe.

Le second risque est la sauvegarde qui ne se relit pas. Une copie chiffrée dont personne ne retrouve la clé, une base de données sauvegardée sans le logiciel capable de l'ouvrir, une copie incomplète depuis six mois sans que personne ne lise les alertes : ces cas sont fréquents. La même fiche recommande d'identifier tous les appareils qui contiennent des données, de tester ses sauvegardes et de sauvegarder aussi les logiciels indispensables à l'exploitation des données. La direction n'exécute aucune de ces tâches, mais elle en fixe la fréquence et en exige le compte rendu.

Reste la question que seule la direction peut trancher : combien de travail l'organisation accepte-t-elle de perdre, et pendant combien de temps peut-elle s'arrêter ? Une boutique qui saisit ses ventes à la main le soir peut tolérer une copie quotidienne ; un cabinet qui produit des actes toute la journée, non. La réponse fixe la fréquence des copies, le type de solution et donc le budget. Sans elle, le prestataire choisit à votre place, souvent au plus simple.

Comptes, droits et départs : qu'est-ce qui revient à la direction plutôt qu'au technicien ?

Le technicien sait créer et fermer un compte. Il ne peut pas décider seul qui doit voir les salaires, qui peut valider un paiement ou qui garde l'accès au nom de domaine. Ces choix relèvent de l'organisation du travail et de la confiance, donc de la direction. La formation les ramène à trois règles écrites : chaque accès a un titulaire nommé et un suppléant ; chaque droit est accordé par un responsable désigné, pour un besoin ; et la liste complète est revue à date fixe, au moins une fois par an et à chaque changement de poste.

Le départ d'un salarié est le moment où ces règles se vérifient. La fermeture de la messagerie et des fichiers est un geste technique bien documenté par les éditeurs ; la direction s'intéresse à tout le reste. Le code de la caisse, le compte marchand Mobile Money, l'accès au portail des impôts ou de la sécurité sociale, la page Facebook ouverte avec un compte personnel, le groupe WhatsApp des clients, les identifiants de la banque en ligne : aucun outil ne les ferme automatiquement. La formation produit la liste propre à votre organisation, signée à chaque départ par le responsable du service.

Le cas le plus délicat est celui d'un associé qui s'en va, ou d'un prestataire avec lequel la relation se tend. Le nom de domaine enregistré à son nom, l'hébergement payé avec sa carte, le compte administrateur de l'ERP dont il est le seul détenteur deviennent alors des moyens de pression. La formation montre comment les reprendre à froid, avant le conflit : transfert du domaine au nom de l'organisation, second administrateur nommé, coordonnées de facturation mises à jour, accès de secours conservé sous enveloppe scellée chez la direction.

Faut-il souscrire une assurance cyber, et que faut-il savoir avant de signer ?

L'assurance ne remplace aucune des décisions précédentes : elle paie une partie des conséquences quand elles ont été prises. Les questionnaires de souscription demandent d'ailleurs, presque toujours, si les sauvegardes sont isolées et testées, si la double authentification protège les accès à distance et si un plan de réponse existe. Une organisation qui a suivi la formation y répond sans mentir ; une organisation qui coche « oui » par commodité prend le risque d'un refus d'indemnisation le jour où l'assureur vérifie.

En France, une condition légale s'ajoute. L'article L12-10-1 du code des assurances, créé par la loi n° 2023-22 du 24 janvier 2023 et en vigueur depuis le 24 avril 2023 selon Légifrance, subordonne l'indemnisation des pertes causées par une cyberattaque au dépôt d'une plainte au plus tard soixante-douze heures après la connaissance de l'atteinte. La règle vaut pour les personnes morales et pour les personnes physiques dans leur activité professionnelle. Le dépôt de plainte figure donc dans la fiche réflexe de la direction, avec le nom de la personne qui s'en charge.

Le marché a changé récemment. L'étude LUCY 2026 de l'AMRAE, l'association des professionnels du risque et des assurances, fondée sur plus de 20 000 contrats et 1 250 sinistres, observe pour 2025 une concurrence plus vive entre assureurs, une baisse significative des taux de prime et un assouplissement des conditions de couverture, qui ouvrent l'assurance à davantage d'entreprises de taille moyenne. L'étude précise que son panel est moins précis pour les petites entreprises. En Afrique de l'Ouest, l'offre se vérifie assureur par assureur : la formation apprend à lire les garanties, pas à choisir un contrat.

Quatre points méritent une lecture attentive : les exclusions, notamment les actes de guerre et les défauts de mise à jour ; la franchise et le plafond, comparés au coût d'une semaine d'arrêt ; les services inclus, comme une assistance technique ou juridique joignable de nuit ; et les obligations de déclaration, avec leurs délais. Richard SALANON ne vend aucune assurance et ne perçoit aucune commission : la session sert à préparer les questions à poser à votre courtier ou à votre assureur.

Que montrent Maersk et British Airways sur les décisions de direction ?

Chez British Airways, la règle existait. L'avis de sanction de l'ICO, l'autorité britannique de protection des données, daté du 16 octobre 2020, cite la politique de contrôle d'accès au réseau de la compagnie, datée du 7 octobre 2017 : l'authentification à plusieurs facteurs devait protéger tout accès distant, y compris celui des prestataires. Elle n'était pas appliquée au compte d'un employé de Swissport par lequel l'attaquant est entré en 2018. Une règle écrite que personne ne contrôle ne protège rien : la formation insiste sur la vérification, pas seulement sur la rédaction.

Le même avis montre ce qu'une direction préparée gagne. Alertée par un tiers le 5 septembre 2018, la compagnie a prévenu l'ICO, les banques, les réseaux de cartes et ses clients dès le lendemain, et l'ICO note qu'elle a agi promptement en notifiant l'attaque. Les données d'environ 429 612 personnes ont été touchées, et l'amende finale s'est élevée à 20 millions de livres, contre 183,39 millions envisagés en 2019. Savoir qui notifie, avec quel message, fait partie de ce que la session met en place.

Chez Maersk, la leçon porte sur la reprise. Lors du Forum de Davos, rapporte BleepingComputer le 25 janvier 2018, le président du groupe, Jim Hagemann Snabe, a expliqué qu'il avait fallu installer 4 000 nouveaux serveurs, 45 000 ordinateurs et 2 500 applications en dix jours après l'attaque NotPetya de juin 2017, en traitant à la main environ 80 % du volume habituel. Une petite structure n'a ni ces moyens ni ces équipes. Elle a d'autant plus besoin de savoir, avant l'incident, ce qu'elle restaurera en premier et à partir de quelle copie.

Quel budget de sécurité est proportionné pour une petite ou moyenne organisation ?

Les textes eux-mêmes parlent de proportion. La loi béninoise n° 2017-20, à son article 426, demande un niveau de sécurité approprié compte tenu de l'état de l'art, des coûts de mise en œuvre, de la nature des données et des risques. La directive européenne NIS 2, à son article 21, demande de tenir compte de l'exposition de l'entité aux risques, de sa taille et de la probabilité et de la gravité des incidents. Personne n'attend d'une école de deux cents élèves les moyens d'une banque ; on attend d'elle des choix réfléchis et documentés.

La formation propose un ordre de financement plutôt qu'un montant. D'abord ce qui ne coûte presque rien et protège beaucoup : la reprise des accès critiques au nom de l'organisation, une copie hors ligne des données vitales, un test de restauration, une fiche réflexe. Ensuite ce qui coûte un abonnement modeste : un stockage de sauvegarde chez un second fournisseur, un coffre de mots de passe partagé pour les comptes communs. Enfin ce qui se décide selon les résultats : renouvellement de matériel, contrat de maintenance renforcé, assurance.

Le plan sur douze mois reprend cet ordre, ligne par ligne, avec les prix publiés par les éditeurs quand ils existent. Il a deux mérites pour une direction : il rend la dépense prévisible au lieu de la subir après un incident, et il donne au prestataire une commande claire, qu'il peut chiffrer et que l'on peut vérifier. La formation à la stratégie de transformation digitale permet ensuite d'inscrire ce budget dans la feuille de route numérique de l'organisation.

Un fonds de formation peut-il financer cette session ?

C'est possible, sans jamais être acquis. En Côte d'Ivoire, la page du FDFP consacrée au plan de formation, consultée le 5 octobre 2026, réserve le dépôt aux entreprises qui justifient du paiement régulier des deux taxes, et le règlement n'intervient qu'après le suivi et le contrôle des services du fonds, puis l'approbation de sa Commission permanente. Au Bénin, le FODEFCA fonctionne selon les statuts approuvés par le décret n° 2022-286 du 11 mai 2022 ; au Sénégal, le 3FPT dispose d'un guichet pour le personnel des entreprises, avec une demande déposée en ligne.

En France, France Compétences rappelle que, depuis le 1er janvier 2022, un prestataire doit être certifié Qualiopi pour accéder aux fonds publics ou mutualisés, dont ceux des OPCO. Richard SALANON ne détient pas cette certification et n'est agréé par aucun fonds africain. Transmettez le programme et le devis à votre fonds avant de vous engager, attendez sa réponse écrite et prévoyez le budget sans aide. Les feuilles de présence, le programme et les attestations vous sont remis dans tous les cas.

Que change le contexte de l'Afrique de l'Ouest et de l'Europe pour ces décisions ?

Les coupures d'électricité et les connexions irrégulières pèsent directement sur la sauvegarde. Une copie en ligne qui doit envoyer des centaines de gigaoctets par une liaison lente prend des jours ; une restauration complète depuis l'étranger aussi. La formation en tire des choix concrets : une première copie locale complète, des envois en ligne incrémentaux la nuit, un onduleur pour le serveur et le disque de sauvegarde, et une estimation honnête du temps de restauration avant d'en faire une promesse aux clients.

Le cadre juridique se densifie. Au Bénin, la loi n° 2017-20 portant code du numérique impose des mesures de sécurité, la notification sans délai des violations et, à son article 435, un registre des activités de traitement. L'APDP béninoise et l'IPDCP togolaise ont signé une convention de partenariat le 18 août 2026, selon le site de l'APDP. Pour une organisation présente dans plusieurs pays, la session retient la règle la plus exigeante de son périmètre, et note les interlocuteurs de chaque pays sur la fiche réflexe.

En Europe, le RGPD et, pour les entités concernées, la directive NIS 2 placent la direction en première ligne. L'article 20 de la directive prévoit que les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et peuvent être tenus responsables de leurs manquements ; il impose aussi à leurs membres de suivre une formation. Une PME hors du champ de la directive n'y est pas tenue, mais la logique est la même : les décisions de sécurité se prennent et se vérifient au sommet.

Pourquoi suivre cette formation avec Richard SALANON ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

Les décisions traitées dans cette formation, il les rencontre dans chaque projet. Déployer un ERP ou mettre en ligne une application oblige à répondre aux mêmes questions : où vivent les données, qui en a les clés, comment on les restaure, qui prévient qui en cas de problème. Il a aussi créé Wapy, un assistant WhatsApp à intelligence artificielle pour les entreprises d'Afrique francophone, et il est co-fondateur d'Audyxa.

Formé à EPITECH (2022), il compte 6 ans d'expérience dans le numérique, déclare avoir formé plus de 200 personnes et a travaillé dans 15 pays, du Bénin au Mali, du Gabon au Tchad, de la Belgique au Canada. Il n'est ni auditeur de sécurité certifié, ni partenaire d'un éditeur, d'un hébergeur ou d'un assureur : il peut recommander la solution la plus simple, gratuite comprise, ou conseiller de faire appel à un prestataire qualifié.

Ses engagements sont vérifiables : réponse sous 24 heures, programme écrit avant la session, exercices sur vos documents, aucun mot de passe demandé, supports qui restent à l'organisation. Son parcours est présenté sur la page Richard SALANON, les pays où il intervient sur la page des zones d'intervention, l'organisation commune des formations sur la page formation en entreprise, et les autres formations du domaine sur la page formations cybersécurité et IT.