NAS, serveurs locaux, cloud : quel modèle de stockage est vraiment sécurisé pour une PME ?

Pour stocker les fichiers et données de votre entreprise, vous avez le choix entre un boîtier branché dans les locaux, une machine administrée en interne, ou un service en ligne payé à l'abonnement. Mais ce sont surtout les réglages que vous ferez qui feront l'efficacité.

Si vous choisissez un modèle de stockage sans l'adapter à la structure de l'entreprise, à ses besoins ou à la nature de vos données, vous exposez ces données aux cyberattaques, quelle que soit la solution retenue. La preuve, rien qu'en 2024, selon l'ANSSI, les ransomwares ont touché 37% de PME, TPE et ETI. Les pirates sont entrés par un outils de stockage mal protégé, ou pas protégé du tout. Mieux vaut donc connaître la meilleure solution pour son cas, et surtout comment la sécuriser au maximum, avant faire votre choix.

Bitdefender

8.4/10

Offre partenaire

La solution tout-en-un pour protéger votre entreprise

Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !

Protégez votre entreprise

Offre partenaire

Le NAS, le petit serveur qu'on oublie vite de mettre à jour

Un NAS, pour Network Attached Storage, est un boîtier rempli de disques durs, branché sur le réseau de l'entreprise. Chacun peut y déposer et y récupérer ses fichiers comme dans un coffre commun. Le plus connu et utilisé d'entre eux, le taïwanais Synology un fabricant taïwanais, surclasse depuis la fin des années 2000 ses concurrents tels que QNAP, Asustor ou TerraMaster. Un boîtier sans disque coûte entre 200 et 600 euros. Le paiement se fait une fois, et les données restent dans l'entreprise. Au-delà de 2 à 4 To de fichiers utilisés au quotidien, la dépense reste inférieure à celle d'un abonnement payé sans fin.

En 2025, à Cork, des chercheurs ont pris le contrôle complet de sept NAS QNAP en direct, lors du Pwn2Own Ireland, un concours public où les hackers exhibent des failles inconnues contre récompense. QNAP a publié les correctifs le mois suivant. Synology n'a pas fait mieux la même année avec la faille CVE-2025-5293. Un attaquant est passé par cette brèche pour atteindre les fichiers via SMB, le protocole qui sert à partager des dossiers entre ordinateurs d'un même réseau.

Parce qu'il est allumé en permanence, ouvert sur Internet pour l'accès à distance, on oublie parfois de le mettre à jour, et c'est ainsi qu'un NAS coche toutes les cases du piratage facile. Le fabricant publie la mise à jour, mais personne ne l'installe. Le CERT-FR a même rappelé en septembre 2025 l'urgence de corriger une série de failles QNAP. Mais laissez votre NAS six mois sans correctif, et n'importe quel pirate y entre comme dans un moulin.

Le serveur local, plus solide entre des mains compétentes

Le matériel n'est que la partie émergée de l'iceberg. Encore faut-il quelqu'un de compétent et présent, qui installe les correctifs et surveille les connexions. Les intrusions tournent surtout en automatique, souvent aidées par l'intelligence artificielle. Les pirates repèrent un port resté ouvert ou un réglage laissé par défaut, puis s'engouffrent dans une faille jamais corrigée. Là encore, si personne n'est aux commandes pour surveiller l'activité et maintenir le matériel à jour, le serveur est aussi vulnérable qu'un NAS oublié dans un placard.

Dans ce cas, le plus prudent est d'installer une vraie machine plutôt qu'un boîtier prêt à l'emploi, avec un système d'exploitation complet et des règles de sécurité réglées au plus fin. À la clé, plus de puissance et un contrôle plus strict des accès. Le réseau se découpe en zones, les postes des employés restent séparés du serveur de fichiers, et en cas d'intrusion, se cloisonnement empêche la propagation d'un poste à l'autre.

Le cloud, pratique partout, mais attention à l'hébergeur

Avec le cloud, en revanche, plus besoin de matériel sur place, ni d'entretien, ni de compétences techniques en interne. Avec un abonnement mensuel, vous avez accès à vos fichiers depuis n'importe où. Pratique si vos collaborateurs ou vous êtes souvent en déplacement. Le fournisseur prend en charge les sauvegardes et les correctifs. Sur le plan technique, sa protection est bien meilleurs que celle d'un boîtier.

Mais attention. Les États-Unis ont voté en 2018 le Cloud Act, une loi qui autorise leur justice à réclamer des données à toute entreprise de droit américain, ou liée de près aux États-Unis, où qu'elle les stocke dans le monde. Amazon, Microsoft ou Google obéissent à cette loi jusque dans leurs serveurs parisiens. Donc en cas de gestion de données très sensibles, confidentielles, par exemple, rien ne vous garantit qu'elles ne seront pas partagées.

D'où l'intérêt d'opter pour un cloud souverain, géré par une entreprise de droit français qui reste hors d'atteinte du Cloud Act, à l'abri d'une réquisition étrangère. La France n'aligne pas encore de service grand public face aux géants mondiaux. Pour un usage professionnel, 3DS Outscale, filiale de Dassault Systèmes, et OVHcloud, sur certaines de leurs offres, ont obtenu le SecNumCloud, le label que délivre l'ANSSI et qui garantit qu'aucune entreprise étrangère ne contrôle les données hébergées. Ce label vaut surtout pour des données vraiment sensibles. Pour des fichiers anodins, un cloud classique suffit largement.

Enfin, sachez que les grands groupes ne sont pas les seuls que la CNIL surveille. Le gendarme français des données personnelles a sanctionné 14 organismes en 2025 pour une protection insuffisante de leurs données, par sa procédure simplifiée, réservée aux manquements courants et plafonnée à 20 000 euros. Dans la plupart des cas, ce sont des mots de passe trop faibles et des comptes partagés entre plusieurs employés qui étaient à l'origine des intrusions

À chaque usage son modèle de stockage

Une TPE de trois personnes sans données critiques s'en sort très bien avec un cloud souverain chiffré, doublé d'une copie locale sur disque externe débranché. Une PME de vingt salariés qui travaille des photos en haute définition ou de lourdes archives a intérêt à mélanger les deux mondes, un NAS bien entretenu pour le quotidien et un cloud chiffré pour la copie rangée ailleurs. Pour des données de santé, des dossiers juridiques ou des secrets industriels, le serveur cloisonné ou le cloud SecNumCloud sont les options les plus sûres, à condition de confier les correctifs à quelqu'un de fiable.