Un serveur NAS professionnel ne se résume pas à brancher un boîtier sur le réseau local. Le dimensionnement du processeur, le choix du niveau RAID et l’intégration dans une politique de sauvegarde conforme aux exigences réglementaires conditionnent la fiabilité de l’ensemble. Nous détaillons ici les points techniques qui séparent une installation fonctionnelle d’un simple disque partagé.
Conformité NIS2 et ReCyF ANSSI : ce que change la réglementation pour un NAS en PME
La directive européenne NIS2, adoptée en 2022 et en cours de transposition en France, rend juridiquement exigible la mise en place de sauvegardes et de stratégies de continuité d’activité pour les entités concernées (article 21). Une PME qui fournit des services à des organisations classées « essentielles » (santé, énergie, hébergement) est directement impactée.
En mars 2026, l’ANSSI a publié le Référentiel Cyber France (ReCyF), qui traduit NIS2 en mesures auditables. Ce référentiel impose la cartographie des données à sauvegarder, la définition de RPO et RTO, et une architecture combinant NAS local, copie cloud et copie immuable ou déconnectée.
Concrètement, installer un NAS sans intégrer ces contraintes revient à accumuler de la dette de conformité. Nous recommandons de documenter dès le déploiement le rôle exact du NAS dans le plan de sauvegarde, en précisant quels volumes correspondent à quel RPO. Ce document servira de base en cas d’audit.
Architecture de sauvegarde 3-2-1 : positionnement du NAS dans le schéma global
Le NAS constitue le premier maillon d’une stratégie de sauvegarde 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. Trop d’installations s’arrêtent au NAS lui-même, ce qui ne couvre qu’un seul support et un seul site.
Copie locale et copie distante
Le NAS centralise les fichiers professionnels en temps réel. La deuxième copie peut être un disque USB externe connecté au boîtier, chiffré et en rotation hebdomadaire. La troisième copie, hors site, passe par une réplication vers un cloud compatible (Synology C2, Backblaze B2, ou un second NAS distant via un tunnel VPN).
- Copie 1 : volumes RAID sur le NAS, accessibles en lecture/écriture par les postes du réseau
- Copie 2 : export périodique sur support USB chiffré, stocké dans un lieu physique différent du NAS
- Copie 3 : réplication cloud ou NAS distant, avec activation des snapshots immuables pour contrer les ransomwares
Les snapshots immuables empêchent toute modification ou suppression pendant une durée définie. Sur un Synology sous DSM, la fonction « Immutable Snapshot » se configure directement dans Hyper Backup. Cette couche protège contre le chiffrement malveillant des fichiers, un scénario fréquent en PME.
Choix du niveau RAID et dimensionnement des disques pour un usage professionnel
Le RAID n’est pas une sauvegarde, mais il conditionne la disponibilité du serveur NAS en cas de panne d’un disque. Pour un usage professionnel, le RAID 1 convient aux boîtiers deux baies, tandis que le RAID 5 ou le SHR (Synology Hybrid RAID) s’impose à partir de trois baies, en offrant un bon compromis entre capacité utile et tolérance de panne.
Dimensionner la capacité réelle
Un boîtier quatre baies équipé de disques de 4 To en RAID 5 offre environ 12 To utiles. Nous observons que la majorité des PME sous-estiment la croissance annuelle de leurs données. Prévoir au minimum une baie vide au déploiement permet d’ajouter un disque sans reconstruction complète de la grappe.
Côté disques, les gammes conçues pour le NAS (WD Red Plus, Seagate IronWolf) supportent un fonctionnement continu et des vibrations multidisques. Utiliser des disques desktop classiques dans un NAS professionnel raccourcit leur durée de vie et invalide souvent la garantie constructeur.
Gestion des droits d’accès et intégration réseau en entreprise
Centraliser les fichiers professionnels sur un NAS sans structurer les permissions revient à ouvrir un répertoire partagé sans contrôle. Chaque dossier partagé doit avoir des droits définis par groupe utilisateur, pas par individu, pour simplifier la maintenance.
Intégration Active Directory ou LDAP
Pour les structures de plus d’une dizaine de postes, nous recommandons de joindre le NAS au domaine Active Directory existant. Cette intégration évite de gérer un annuaire utilisateur séparé sur le boîtier. Les NAS Synology et QNAP prennent en charge la jonction AD native, avec héritage des groupes et des politiques de mot de passe.
En l’absence d’AD, un serveur LDAP embarqué sur le NAS lui-même peut centraliser l’authentification. Cette option convient aux PME sans infrastructure Windows Server, à condition de maintenir l’annuaire à jour lors des arrivées et départs de collaborateurs.
- Créer un groupe par service (comptabilité, commercial, direction) et affecter les permissions sur les dossiers partagés à ces groupes
- Désactiver le compte « admin » par défaut et créer un compte administrateur nominatif avec mot de passe robuste
- Activer l’authentification à deux facteurs sur l’interface d’administration du NAS
- Restreindre l’accès distant au VPN de l’entreprise, en évitant l’exposition directe du NAS sur Internet via QuickConnect ou équivalent
Accès distant sécurisé au serveur NAS : VPN ou reverse proxy
Exposer l’interface d’un NAS directement sur Internet multiplie la surface d’attaque. Les services intégrés type QuickConnect (Synology) ou myQNAPcloud simplifient la configuration, mais un tunnel VPN reste la méthode la plus sûre pour l’accès distant aux fichiers professionnels.
Un VPN WireGuard, déployable sur la plupart des routeurs professionnels ou directement sur le NAS, chiffre l’intégralité du trafic et masque les ports du boîtier. Pour les équipes qui accèdent au NAS depuis des postes nomades, le client VPN se configure en quelques minutes sur chaque appareil.
L’alternative du reverse proxy (nginx, Traefik) avec certificat TLS convient aux applications web hébergées sur le NAS (Nextcloud, Collabora), mais suppose une maîtrise des règles de pare-feu et une mise à jour régulière des certificats.
Le choix entre VPN et reverse proxy dépend du profil des utilisateurs. Des collaborateurs peu techniques se connecteront plus facilement via un VPN toujours actif que via une URL à retenir. Dans tous les cas, le pare-feu du NAS doit bloquer par défaut tout port non explicitement ouvert, et les journaux de connexion doivent être consultés au moins une fois par semaine.
