La règle 3-2-1 tient en une phrase : conservez trois copies de vos données, sur deux types de supports différents, dont une copie hors de vos locaux. Ce principe date d'avant les rançongiciels, mais il reste la référence, à condition d'y ajouter une nuance devenue vitale : la copie distante doit être hors d'atteinte du réseau.
En résumé
- Trois copies : la donnée de production, plus deux sauvegardes distinctes.
- Deux supports : ne pas mettre les deux sauvegardes sur le même type de matériel, ni chez le même fournisseur.
- Une copie hors site : elle protège de l'incendie, du dégât des eaux et du vol.
- Une copie déconnectée ou immuable : c'est elle qui protège du rançongiciel, et c'est le point que la règle d'origine ne couvrait pas.
- Chaque copie doit avoir été restaurée au moins une fois pour compter.
Pourquoi trois copies et pas deux
Une seule sauvegarde, c'est un point de défaillance unique. Le jour où vous en avez besoin, vous découvrez qu'elle est corrompue, incomplète, ou qu'elle a cessé de tourner trois mois plus tôt sans que personne ne le remarque. La deuxième copie n'est pas du luxe, c'est le filet du filet.
Dans la pratique, la répartition la plus courante en PME ressemble à ceci : la donnée vit sur le serveur ou dans le cloud collaboratif, une première sauvegarde tourne localement sur un NAS pour permettre une restauration rapide, et une seconde part vers un stockage distant pour le cas où le local disparaît.
La restauration rapide et la restauration de survie
Ces deux copies ne servent pas à la même chose. La sauvegarde locale répond au besoin quotidien : un fichier écrasé, un dossier supprimé par erreur, un poste qui rend l'âme. On la restaure en quelques minutes. La copie distante, elle, ne sert que les mauvais jours, mais ce sont ceux qui décident de la survie de l'entreprise.
Deux types de supports : ce que ça veut dire concrètement
L'idée d'origine était de ne pas dépendre d'une seule technologie, parce qu'un défaut de série sur un modèle de disque peut emporter plusieurs copies d'un coup. Aujourd'hui la logique s'étend au fournisseur : deux sauvegardes chez le même hébergeur, dans deux régions différentes, restent exposées à une compromission du compte.
| Support | Restauration | Résiste au rançongiciel | Résiste au sinistre local |
|---|---|---|---|
| NAS sur le réseau local | Très rapide | Non, sauf isolation | Non |
| Disque externe rotatif, débranché | Rapide | Oui, s'il est débranché | Oui, s'il est sorti des locaux |
| Sauvegarde cloud classique | Moyenne | Partiellement | Oui |
| Stockage immuable ou verrouillé | Moyenne | Oui | Oui |
| Bande magnétique | Lente | Oui | Oui |
Le point que la règle d'origine ne couvre pas : le rançongiciel
Un rançongiciel moderne ne se contente pas de chiffrer le poste sur lequel il s'exécute. Il parcourt le réseau, cherche les partages accessibles et chiffre tout ce qu'il trouve, y compris le NAS de sauvegarde monté en permanence. Beaucoup d'entreprises découvrent à ce moment-là que leurs trois copies n'en faisaient qu'une seule, du point de vue de l'attaquant.
Deux réponses existent. La première, la plus simple, consiste à garder une copie physiquement déconnectée : un disque que l'on branche, que l'on remplit, puis que l'on débranche et que l'on emporte. La seconde repose sur le stockage immuable, où les fichiers écrits ne peuvent plus être modifiés ni supprimés avant l'expiration d'un délai fixé à l'avance, même par un administrateur.
Le compte d'administration, maillon faible
Un attaquant qui obtient les identifiants d'administration de votre solution de sauvegarde peut supprimer les archives avant de déclencher le chiffrement. C'est un scénario documenté et fréquent. La console de sauvegarde doit donc être protégée par une authentification à plusieurs facteurs, avec des comptes distincts de ceux du domaine. L'ANSSI publie des recommandations détaillées sur ce point.
À quelle fréquence sauvegarder
La règle 3-2-1 ne dit rien de la fréquence, et c'est normal : elle dépend entièrement de ce que votre entreprise peut se permettre de perdre. Une sauvegarde quotidienne signifie que vous acceptez de reperdre, au pire, une journée de travail. Pour un cabinet comptable en période fiscale ou un e-commerce, c'est déjà beaucoup.
Posez la question à l'envers, elle devient facile à trancher : combien de temps vos équipes mettraient-elles à ressaisir le travail d'une journée, et combien ça coûte ? Si la réponse dépasse le prix d'une sauvegarde plus fréquente, la décision est prise. C'est le raisonnement que nous détaillons dans notre guide sur le plan de reprise d'activité.
Ce que la règle ne remplace pas
Une sauvegarde parfaite ne vous dit pas combien de temps il faudra pour redémarrer. Restaurer deux téraoctets depuis un stockage distant sur une connexion d'entreprise standard peut prendre plusieurs jours, pendant lesquels l'activité est à l'arrêt. C'est la différence entre avoir ses données et avoir son entreprise qui tourne.
Elle ne remplace pas non plus la prévention. Une sauvegarde est un pansement, pas un vaccin : elle limite la casse d'une attaque réussie, elle n'empêche pas l'attaque. Le filtrage des messages, la protection des postes et la sensibilisation des équipes restent la première ligne, comme nous le voyons dans nos guides cybersécurité.
Par où commencer si vous partez de zéro
Ne cherchez pas à tout couvrir du premier coup. Identifiez d'abord les données sans lesquelles l'entreprise s'arrête : la comptabilité, le fichier clients, les dossiers en cours, la messagerie. Ce périmètre représente souvent une fraction du volume total et concentre l'essentiel de la valeur.
Mettez une sauvegarde quotidienne dessus, ajoutez une copie hors ligne hebdomadaire, et testez une restauration dans le mois. Vous aurez déjà éliminé la majorité des scénarios catastrophes. Le reste, l'archivage, la déduplication, les délais de remise en service, viendra ensuite. Si vous ne savez pas à qui confier ce chantier, notre classement des prestataires informatiques par ville vous donne un point de départ documenté.
