Guide · sauvegarde des données en PME, la règle 3-2-1. La sauvegarde 3-2-1 en PME.
Une sauvegarde ne vaut que si elle permet de restaurer. La règle 3-2-1 est la méthode la plus simple pour s’en approcher : voici ce qu’elle signifie, comment l’appliquer dans une PME et ce qu’il faut y ajouter face aux rançongiciels.
Matis Jégot · 7 min de lecture
En bref : gardez trois copies de vos données, sur deux supports différents, dont une hors de vos locaux. Ajoutez-y une copie impossible à modifier ou déconnectée, pour résister à un rançongiciel, et testez régulièrement la restauration. Les services en ligne comme la messagerie hébergée doivent eux aussi être sauvegardés : leur disponibilité ne remplace pas une sauvegarde.
La règle 3-2-1, expliquée simplement
La règle 3-2-1 tient en trois chiffres. Trois copies de vos données : l’original et deux sauvegardes. Deux supports différents, pour qu’une même défaillance ne les emporte pas toutes. Une copie hors site, pour survivre à un incendie, un dégât des eaux ou un vol.
Elle a été formulée bien avant le cloud et les rançongiciels, mais elle reste juste parce qu’elle repose sur un principe intemporel : ne jamais dépendre d’un seul point de défaillance. Un disque externe posé à côté du serveur protège d’une panne de disque, pas d’un incendie. Un service en ligne protège d’un incendie, pas forcément d’une suppression par erreur synchronisée partout.
3 copies
Les données de production et deux sauvegardes distinctes.
2 supports
Par exemple un stockage en réseau local et un stockage en ligne.
1 hors site
Une copie physiquement éloignée de vos locaux.
Pourquoi les rançongiciels changent la donne
Un rançongiciel chiffre les fichiers auxquels il a accès, et les attaquants cherchent en priorité les sauvegardes pour les détruire avant de se manifester. Une sauvegarde connectée en permanence au réseau, accessible avec les mêmes identifiants que le reste, peut donc disparaître en même temps que les données qu’elle devait protéger.
D’où les variantes plus récentes de la règle, souvent notées 3-2-1-1-0 : une copie supplémentaire immuable ou déconnectée, que personne ne peut modifier pendant une durée donnée, et zéro erreur constatée lors des tests de restauration. Les autorités de cybersécurité, dont l’ANSSI, recommandent de disposer de sauvegardes déconnectées du système d’information.
Immuabilité
Une copie verrouillée en écriture pendant une durée fixée, même pour un administrateur.
Déconnexion
Une copie hors ligne, ou sur un système aux identifiants distincts.
Zéro erreur
Des restaurations d’essai qui aboutissent, vérifiées et consignées.
Ce qu’il faut sauvegarder, et qu’on oublie souvent
Le serveur de fichiers vient spontanément à l’esprit. Le reste beaucoup moins : la messagerie, les espaces de stockage en ligne, la base du logiciel de comptabilité ou de gestion, la configuration du pare-feu et des commutateurs, les postes qui contiennent des fichiers jamais déposés sur le serveur.
Les services en ligne méritent une attention particulière. Leurs éditeurs assurent la disponibilité de leur plateforme, mais la conservation de vos données supprimées ou modifiées reste limitée dans le temps et dans ses possibilités. Une sauvegarde indépendante de la messagerie et des espaces partagés est la seule façon de revenir en arrière au-delà de ces limites.
Données métier
Fichiers partagés, bases des logiciels de gestion, comptabilité.
Messagerie et cloud
Boîtes aux lettres, agendas, espaces de stockage en ligne.
Configurations
Pare-feu, commutateurs, points d’accès, serveurs.
Postes
Les dossiers locaux, ou mieux, une règle qui les évite.
Deux chiffres à fixer avant tout : RPO et RTO
Deux questions déterminent l’architecture de sauvegarde. Combien de travail pouvez-vous accepter de perdre ? C’est l’objectif de point de reprise, ou RPO : une sauvegarde par nuit signifie qu’on peut perdre une journée. Combien de temps pouvez-vous rester arrêté ? C’est l’objectif de temps de reprise, ou RTO : restaurer plusieurs téraoctets depuis Internet peut prendre bien plus longtemps qu’on ne l’imagine.
Ces deux chiffres se décident avec la direction, pas seulement avec le technicien. Ils conduisent souvent à combiner une sauvegarde locale, rapide à restaurer, et une copie distante, qui protège du sinistre.
Tester la restauration : la seule preuve qui compte
Une tâche de sauvegarde qui affiche « réussie » prouve qu’une copie a été écrite, pas qu’elle est utilisable. Seule une restauration d’essai le démontre. Elle se pratique à plusieurs niveaux : restaurer un fichier isolé chaque mois, restaurer un dossier complet ou une boîte aux lettres de temps en temps, et, au moins une fois par an, simuler la perte d’un serveur entier pour mesurer le temps réel de remise en route.
Chaque test doit être consigné : la date, ce qui a été restauré, le temps nécessaire et le résultat. Ce journal est utile le jour d’un incident, et il répond aux questions d’un assureur ou d’un donneur d’ordre.
Une architecture type pour une PME
Pour une entreprise d’une vingtaine de postes, une architecture raisonnable ressemble souvent à ceci : une sauvegarde locale sur un stockage en réseau dédié, aux identifiants distincts de ceux du domaine ; une réplication chiffrée vers un stockage en ligne avec verrouillage en écriture ; une sauvegarde de la messagerie et des espaces partagés en ligne ; et une supervision qui alerte quand une tâche échoue.
Le tout se complète d’une procédure écrite : qui fait quoi en cas d’incident, dans quel ordre on restaure, où se trouvent les accès de secours. Une procédure que l’on découvre le jour du sinistre ne sert à rien.
Les erreurs que l’on rencontre régulièrement
Lorsqu’on reprend l’informatique d’une entreprise, les mêmes faiblesses reviennent. Aucune n’est spectaculaire, et c’est justement pour cela qu’elles passent inaperçues jusqu’au jour où l’on a besoin de restaurer. Chacune se corrige pourtant en quelques heures, sans investissement lourd.
Une seule copie
Un unique disque de sauvegarde, branché en permanence au serveur qu’il protège.
Des identifiants partagés
Le stockage de sauvegarde accessible avec le même compte administrateur que le reste du réseau.
Une rétention trop courte
Un fichier corrompu découvert trois semaines plus tard n’est récupérable que si l’on garde des versions aussi anciennes.
Des alertes ignorées
Des messages d’échec qui arrivent chaque matin dans une boîte que personne ne lit.
Une seule personne qui sait
Une procédure de restauration connue d’un seul salarié, ou d’aucun.
Questions fréquentes
Un disque dur externe suffit-il ?
C’est mieux que rien, mais il ne coche qu’une partie de la règle. S’il reste branché, un rançongiciel peut l’atteindre ; s’il reste au bureau, un incendie l’emporte avec le reste.
La synchronisation dans le cloud est-elle une sauvegarde ?
Non. Une synchronisation reproduit les suppressions et les chiffrements sur toutes les copies. Une sauvegarde conserve des versions antérieures, indépendamment des données en cours.
À quelle fréquence tester une restauration ?
Un fichier chaque mois et un scénario complet au moins une fois par an constituent un bon rythme de départ, à adapter selon vos objectifs de reprise.
Combien de temps conserver les sauvegardes ?
Assez longtemps pour revenir avant un problème découvert tardivement : une corruption ou une intrusion peut rester inaperçue plusieurs semaines. On combine en général des versions quotidiennes récentes, puis des versions hebdomadaires et mensuelles plus espacées, en tenant compte de vos obligations légales de conservation.
Faut-il chiffrer les sauvegardes ?
Oui, au moins la copie hors site. Une sauvegarde contient tout ce que l’entreprise a de précieux : elle mérite le même soin que l’original, avec une clé de chiffrement conservée en lieu sûr, ailleurs que sur le serveur sauvegardé.