Passer au cloud quand on est une PME : Microsoft 365, Azure, sauvegardes

Votre serveur arrive en fin de vie, vos salariés veulent travailler depuis chez eux, ou vous en avez assez des fichiers envoyés par mail en dix versions. Passer au cloud peut répondre à ces trois problèmes, à une condition : savoir ce que le cloud prend en charge et ce qui reste à la vôtre. Microsoft le dit clairement dans sa documentation : quel que soit le service choisi, vos données, vos comptes utilisateurs et les accès restent sous votre responsabilité. Le cloud supprime le serveur à entretenir, il ne supprime ni la sauvegarde, ni la gestion des accès, ni la réflexion préalable.

Ce guide reprend les questions qu’un dirigeant de PME de 10 à 100 salariés se pose avant de basculer : quoi mettre dans le cloud, avec quel service, comment protéger les comptes, comment sauvegarder, et comment organiser la migration.

Ce que veut dire « passer au cloud » pour une PME

Le cloud, c’est utiliser des logiciels, du stockage ou des serveurs hébergés dans les centres de données d’un fournisseur, et non plus dans votre local technique. Microsoft distingue trois formes, et la différence compte, parce qu’elle détermine ce que vous continuez à gérer :

• Le logiciel en service (SaaS) : vous utilisez une application prête à l’emploi. Microsoft 365 en fait partie : messagerie Exchange Online, fichiers dans SharePoint et OneDrive, Teams. Vous ne gérez ni serveur, ni système d’exploitation.
• La plateforme en service (PaaS) : vous déployez une application sans gérer les machines qui la font tourner, par exemple une base de données hébergée.
• L’infrastructure en service (IaaS) : vous louez des machines virtuelles, c’est-à-dire des serveurs simulés par logiciel sur le matériel du fournisseur. C’est ce que propose Azure, le cloud d’infrastructure de Microsoft. Vous gérez alors le système, les mises à jour et les applications, comme sur un serveur physique.

Pour la plupart des PME, l’essentiel du travail se fait dans le premier cas : messagerie, documents partagés, agenda, visioconférence. Azure n’intervient que pour ce qui ne rentre pas dans Microsoft 365, comme un logiciel métier qui a besoin d’un serveur Windows.

Ce qui reste à votre charge

C’est le point le plus souvent mal compris. Microsoft publie un modèle de responsabilité partagée : dans tous les types de cloud, le client reste responsable de quatre choses.

• Ses données : leur classement, leur protection, leur conservation.
• Ses comptes : la création, la modification et la suppression des accès, notamment au départ d’un salarié.
• La gestion des accès : qui a le droit de voir quoi, et la double authentification.
• Les postes et téléphones qui se connectent au service.

Microsoft, de son côté, prend en charge les centres de données, le matériel, le réseau interne et, pour Microsoft 365, le système et l’application. Autrement dit : vous n’avez plus de serveur à mettre à jour, mais un compte mal protégé ou un dossier partagé avec la mauvaise personne reste votre affaire. Sur ce sujet, notre guide sécurité informatique d’une PME : par où commencer détaille les mesures de base recommandées par l’ANSSI.

Avant de basculer : faire l’inventaire

Une migration réussie commence loin du cloud, par un état des lieux de ce que vous avez :

• Les données : où sont-elles aujourd’hui (serveur, postes, disques externes), quel volume, et lesquelles sont sensibles (paie, données de santé, dossiers clients) ?
• Les logiciels métier : fonctionnent-ils en ligne, ont-ils besoin d’un serveur local, l’éditeur propose-t-il une version hébergée ?
• Les utilisateurs et leurs droits : qui accède à quels dossiers aujourd’hui, et est-ce encore justifié ?
• La connexion Internet : une fois les fichiers dans le cloud, une coupure d’Internet coupe l’accès au travail. Le débit et la présence d’une connexion de secours deviennent des questions de continuité d’activité, plus seulement de confort.

C’est souvent à ce stade qu’on découvre des dossiers que personne n’a ouverts depuis des années, des droits trop larges ou des comptes d’anciens salariés encore actifs. Mieux vaut faire le tri avant de déménager les données que de recopier le désordre dans le cloud.

Si vos fichiers contiennent des données personnelles (salariés, clients, patients), le fournisseur cloud devient votre sous-traitant au sens du RGPD. L’article 28 impose de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes, et d’encadrer le traitement par un contrat. Chez les grands fournisseurs, ce contrat existe sous forme de conditions standard : lisez-les, et notez où sont stockées vos données. Pour Microsoft 365, la zone géographique de stockage par défaut dépend du pays indiqué à la création de votre compte. La CNIL a publié des recommandations destinées aux PME qui souscrivent à des services cloud, avec des modèles de clauses contractuelles.

Microsoft 365 : ce qui change au quotidien

Pour une PME qui travaillait avec un serveur de fichiers et une messagerie hébergée ailleurs, Microsoft 365 change trois choses.

Les fichiers. Les dossiers partagés d’équipe vont dans SharePoint, généralement accessibles via Teams. Les fichiers personnels de chacun vont dans OneDrive. On peut travailler à plusieurs sur le même document sans s’envoyer de copies. En contrepartie, l’arborescence et les droits doivent être pensés à l’avance : un site par service ou par grand dossier, avec des membres définis, plutôt qu’un dossier unique ouvert à tous.

La messagerie. Exchange Online remplace le serveur de messagerie ou la messagerie de votre hébergeur. La bascule demande de modifier les enregistrements DNS de votre nom de domaine (l’annuaire qui indique sur Internet où livrer vos mails) et de migrer les boîtes existantes.

Le travail à distance. Les fichiers et la messagerie sont accessibles depuis n’importe quelle connexion, sans VPN (un tunnel chiffré vers le réseau de l’entreprise). C’est un gain réel pour le télétravail, et c’est aussi la raison pour laquelle la protection des comptes devient centrale : un mot de passe volé ouvre l’accès depuis n’importe où. Les différentes façons d’ouvrir les fichiers à distance sont comparées dans télétravail : donner accès aux fichiers de l’entreprise en sécurité.

Protéger les comptes : la double authentification d’abord

Dans le cloud, le compte utilisateur est la porte d’entrée. La première mesure est la double authentification, aussi appelée MFA : en plus du mot de passe, l’utilisateur confirme sa connexion sur son téléphone, par exemple avec l’application Microsoft Authenticator.

Microsoft propose pour cela les « paramètres de sécurité par défaut » de Microsoft Entra ID, l’annuaire qui gère les comptes de Microsoft 365. Ils sont fournis sans coût supplémentaire et obligent chaque utilisateur à enregistrer la double authentification, l’exigent des administrateurs à chaque connexion, bloquent les anciennes méthodes de connexion qui ne la supportent pas, et protègent l’accès aux consoles d’administration. Microsoft les présente comme le point de départ des organisations qui ne savent pas par où commencer.

Deux limites à connaître :

• Certains appareils anciens (copieurs qui envoient des scans par mail, vieux logiciels de messagerie) utilisent ces anciennes méthodes de connexion. Ils doivent être identifiés et reconfigurés avant l’activation, sinon ils cessent de fonctionner.
• Les règles plus fines, comme autoriser une connexion seulement depuis un poste de l’entreprise, relèvent de l’accès conditionnel, qui demande au minimum une licence Microsoft Entra ID P1 : vérifiez si votre abonnement la contient.

Microsoft recommande aussi des comptes d’administration séparés des comptes de travail, et deux comptes d’urgence réservés au cas où les administrateurs seraient bloqués.

Sauvegarder : la corbeille n’est pas une sauvegarde

Un fichier supprimé dans SharePoint ou OneDrive part dans une corbeille, où il reste récupérable pendant 93 jours selon Microsoft. C’est utile pour une erreur de manipulation repérée rapidement. Ce n’est pas une sauvegarde au sens où l’entend l’ANSSI.

Trois situations où la corbeille ne suffit pas :

• Une suppression découverte trop tard, au-delà du délai de conservation.
• Un rançongiciel qui chiffre les fichiers synchronisés depuis un poste infecté : les fichiers ne sont pas supprimés, ils sont remplacés par des versions illisibles.
• Un compte administrateur compromis dont l’attaquant efface le contenu, corbeille comprise.

Les règles de conservation de Microsoft 365 permettent d’allonger la durée pendant laquelle le contenu est gardé, mais elles servent d’abord à la conformité. Pour une vraie sauvegarde, l’ANSSI recommande la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne. Appliquée au cloud, cela veut dire : vos données dans Microsoft 365, une copie dans un service de sauvegarde distinct de votre compte, avec ses propres identifiants, et une copie déconnectée. Puis un test de restauration fait régulièrement sur un dossier réel. Une sauvegarde jamais restaurée reste une hypothèse. Notre article sauvegarde d’une PME : la règle 3-2-1 et le test de restauration détaille comment l’appliquer, y compris quand les fichiers sont déjà dans Microsoft 365. Les délais exacts de Microsoft 365, corbeilles, mails, comptes supprimés et fin d’abonnement, sont détaillés dans sauvegarder Microsoft 365 : ce que Microsoft garde et ce qu’il ne sauvegarde pas.

Azure : pour ce qui ne rentre pas dans Microsoft 365

Certaines PME gardent un besoin de serveur : un logiciel de gestion ou de comptabilité qui ne fonctionne pas en ligne, une base de données métier, une application installée sur un serveur Windows. Deux options existent.

Garder un petit serveur au bureau, récent et maintenu, uniquement pour ce logiciel. C’est parfois le plus simple si l’éditeur l’impose ou si les utilisateurs sont tous sur place.

Héberger ce serveur dans Azure, sous forme de machine virtuelle. Plus de matériel à remplacer, mais le modèle de responsabilité reste celui de l’infrastructure : le système, ses mises à jour, ses sauvegardes et ses règles de filtrage restent à votre charge. L’accès se fait généralement à travers un VPN ou un accès à distance protégé, jamais en exposant le serveur directement sur Internet.

Le choix dépend du logiciel, du nombre d’utilisateurs à distance et du coût mensuel comparé au renouvellement d’un serveur. Il mérite un chiffrage des deux options, sur plusieurs années, avant de trancher.

Organiser la migration

Une bascule vers Microsoft 365 se prépare en quelques étapes, dans cet ordre :

1. Inventaire et tri des données, des logiciels et des droits.
2. Conception : arborescence SharePoint, groupes et droits, licences adaptées à chaque profil.
3. Sécurisation avant d’ouvrir les comptes : double authentification, comptes d’administration séparés, sauvegarde en place.
4. Migration des boîtes mail et des fichiers, de préférence en fin de semaine, avec un gel des modifications sur l’ancien serveur.
5. Accompagnement des utilisateurs le premier jour : enregistrement de la double authentification, accès aux dossiers, synchronisation sur le poste.
6. Remise d’un dossier : où sont les données, qui a accès à quoi, quels comptes administrateur existent et où sont leurs identifiants.

L’ancien serveur n’est arrêté qu’une fois la migration vérifiée et une copie complète conservée hors ligne. Ses disques doivent ensuite être effacés de façon sûre ou détruits.

Votre liste d’actions

• Lister vos données, leurs emplacements et celles qui sont sensibles.
• Vérifier que vos logiciels métier fonctionnent en ligne ou chiffrer l’hébergement dans Azure.
• Faire le tri des droits d’accès et fermer les comptes des anciens salariés.
• Vérifier votre connexion Internet et prévoir une connexion de secours.
• Activer la double authentification pour tout le monde dès l’ouverture des comptes.
• Mettre en place une sauvegarde distincte de Microsoft 365, puis tester une restauration.
• Lire les conditions de protection des données de votre fournisseur cloud.

Les questions courantes sur notre façon de travailler sont sur la page Questions.

Ce qu’Oviso fait sur ce sujet

Oviso prend en charge la bascule vers Microsoft 365, Azure ou AWS pour les PME du 13, du 83 et du 84 : inventaire, conception des droits, double authentification, migration de la messagerie et des fichiers, sauvegarde hors site avec test de restauration. Le projet est chiffré à prix fixe après un relevé gratuit. Vous recevez un dossier complet : organisation des données, droits d’accès, comptes administrateur remis à la direction. Vous restez propriétaire de vos comptes et de vos données. Oviso ne propose pas d’assistance immédiate en cas de panne : le projet est conçu pour que votre équipe soit autonome au quotidien.

Si votre serveur arrive en fin de vie ou si vous envisagez Microsoft 365, décrivez votre situation : le relevé et le chiffrage sont gratuits.

Sources

• Microsoft Learn, Shared responsibility in the cloud : définitions SaaS, PaaS, IaaS ; données, comptes, accès et postes toujours à la charge du client.
• Microsoft Learn, Configure Security Defaults for Microsoft Entra ID : double authentification pour tous, blocage des anciennes méthodes de connexion, sans coût supplémentaire ; accès conditionnel avec Microsoft Entra ID P1 ; comptes d’urgence.
• Microsoft, Restore items in the recycle bin that were deleted from SharePoint or Teams et Microsoft Learn, Learn about retention for SharePoint and OneDrive : conservation de 93 jours dans la corbeille, règles de conservation.
• Microsoft Learn, What is Microsoft 365 Data Residency? : zone géographique de stockage déterminée par le pays indiqué à la création du compte.
• ANSSI, avec la DGE et Cybermalveillance.gouv.fr, La cybersécurité pour les TPE/PME en 13 questions : question 2, sauvegardes et règle 3-2-1.
• CNIL, Règlement européen sur la protection des données, article 28 : sous-traitant présentant des garanties suffisantes, contrat obligatoire.
• CNIL, Cloud computing : les conseils de la CNIL pour les entreprises qui utilisent ces nouveaux services : recommandations pour les PME et modèles de clauses contractuelles.