La sauvegarde 3-2-1 consiste à garder au moins trois copies de vos données, sur deux supports différents, avec une copie hors site. Face à un ransomware, elle ne suffit pourtant plus si elle n’est pas testée, chiffrée et protégée contre la suppression. Pour une PME, le vrai sujet n’est pas seulement de sauvegarder : c’est de pouvoir restaurer vite, proprement, sans payer.
Qu’est-ce que la règle de sauvegarde 3-2-1 ?
La règle de sauvegarde 3-2-1 est une méthode simple, popularisée depuis des années par les acteurs de la protection des données comme Veeam. Elle impose trois copies des données : la donnée de production, une première sauvegarde locale, puis une copie externalisée. Le tout sur deux types de supports, par exemple un serveur NAS (stockage réseau) et un stockage cloud.
Son intérêt est très concret. Si un disque tombe en panne, vous avez une copie. Si vos locaux sont inaccessibles, vous avez une copie hors site. Si un ransomware chiffre votre serveur principal, vous disposez d’un point de retour qui n’est pas censé être touché.
Le problème, c’est le “censé”. Les attaquants ciblent désormais les sauvegardes avant de déclencher le chiffrement. Une sauvegarde connectée en permanence avec les mêmes identifiants que le reste du système peut être supprimée en quelques minutes. C’est le piège le plus fréquent : avoir des sauvegardes, mais pas de sauvegarde récupérable.
Les recommandations récentes vont donc plus loin. En 2023, le guide #StopRansomware de la CISA recommande des sauvegardes hors ligne, chiffrées, régulièrement testées et, si possible, immuables. Veeam parle aujourd’hui du modèle 3-2-1-1-0 : trois copies, deux supports, une copie hors site, une copie hors ligne ou immuable, et zéro erreur de restauration après vérification.
Ce que ça change vraiment en cas de ransomware
Une attaque ransomware n’est pas seulement un incident informatique. C’est un arrêt d’activité. Plus vos données sont dispersées, mal documentées ou dépendantes d’un seul prestataire, plus le délai de reprise s’allonge. Pour mesurer l’enjeu financier, le parallèle avec le coût réel d’un ransomware pour une PME est souvent plus parlant qu’un discours technique.
La sauvegarde 3-2-1 réduit trois risques. D’abord, la perte définitive de fichiers. Ensuite, la dépendance à la rançon. Enfin, l’improvisation sous stress. Une entreprise qui sait où sont ses sauvegardes, qui peut les lire et qui connaît son ordre de restauration prend de meilleures décisions le jour où tout s’arrête.
Attention toutefois à l’objectif. Restaurer “quelque chose” n’est pas restaurer l’activité. Votre site vitrine peut attendre quelques heures ; votre ERP, votre messagerie ou votre base clients, beaucoup moins. La bonne stratégie classe les données par priorité métier, pas par emplacement technique.
Sur les projets que nous menons, nous voyons souvent la même erreur : tout sauvegarder au même rythme, sans distinguer les données critiques des fichiers froids. Résultat, le budget grimpe, mais le plan de reprise reste flou. À ce budget, mieux vaut sauvegarder moins large au départ, mais tester sérieusement ce qui conditionne votre chiffre d’affaires.
Supports, cloud, immutabilité : quelles options choisir ?
Un support différent ne veut pas dire un simple dossier partagé de plus. L’idée est de limiter les modes de panne communs. Un NAS dans vos locaux protège d’une suppression accidentelle, mais pas d’un incendie. Un stockage cloud protège des dégâts locaux, mais demande une configuration stricte des droits et de la rétention.
L’immutabilité mérite une explication. Une sauvegarde immuable est une copie qu’on ne peut ni modifier ni supprimer pendant une durée définie. Des services comme Backblaze B2 Object Lock ou Azure Blob Storage immuable proposent ce mécanisme. Microsoft indique aussi, pour Azure Backup, que l’immutabilité verrouillée d’un coffre Recovery Services ne peut pas être raccourcie pendant la période de rétention. C’est rassurant, mais cela oblige à bien choisir ses durées dès le départ.
Le hors ligne reste très utile. Un disque déconnecté, ou une bande (tape) sortie de la chaîne réseau, n’est pas accessible par un malware actif. Veeam rappelle que la bande est naturellement résistante aux ransomwares lorsqu’elle est déconnectée, avec des coûts parfois cités autour de 5 à 8 dollars par To selon les configurations. Honnêtement, cette approche se justifie surtout quand les volumes sont importants ou quand les obligations de conservation sont fortes.
| Option | Usage pertinent | Coût indicatif | Point de vigilance |
|---|---|---|---|
| NAS local | Restauration rapide de fichiers ou serveurs | Quelques centaines à quelques milliers d’euros selon capacité | Doit être isolé des comptes administrateurs courants |
| Cloud objet type Backblaze B2 | Copie hors site avec Object Lock | 6,95 $/To/mois en prix public 2026 | Tester les coûts de sortie et les temps de restauration |
| Azure Backup | Infrastructure Microsoft, VM, serveurs, cloud hybride | Variable selon stockage, rétention et réplication | Bien configurer immutabilité, soft delete, alertes et régions |
| Veeam Community Edition | Petits parcs, jusqu’à 10 workloads | Licence gratuite annoncée pour 10 workloads | Temps d’administration et stockage à prévoir |
| Bande ou support hors ligne | Archivage long, copie déconnectée | Ordres de grandeur bas au To, matériel à amortir | Procédure humaine rigoureuse indispensable |
Comment tester ses sauvegardes sans bloquer l’activité ?
Tester une sauvegarde, ce n’est pas vérifier qu’un fichier existe. C’est restaurer des données dans un environnement séparé, les ouvrir, contrôler leur date, puis vérifier que les applications redémarrent. Le NIST rappelle en 2020 et dans ses publications récentes que les sauvegardes doivent être conduites, maintenues et testées. La CISA insiste aussi sur la disponibilité et l’intégrité en scénario de reprise.
Un test simple peut tenir en une demi-journée pour une petite structure : restaurer un dossier critique, une base de données et un compte utilisateur. Pour un système métier plus lourd, prévoyez plutôt un à deux jours, surtout si plusieurs prestataires interviennent. Le coût n’est pas négligeable, mais il révèle souvent des problèmes invisibles : mot de passe perdu, licence expirée, dépendance à un serveur non sauvegardé, documentation absente.
Le bon rythme dépend de votre risque. Une sauvegarde quotidienne jamais testée depuis deux ans n’inspire pas confiance. Pour une PME, un test trimestriel des données critiques et un test annuel plus complet constituent déjà une base sérieuse. Après une migration, un changement d’hébergeur ou une refonte d’application, il faut retester.
Côté agence, le réflexe est de demander une restauration avant de parler d’outils. Si personne ne peut dire en combien de temps le site, la base clients ou les fichiers de facturation reviennent en ligne, le projet de sauvegarde n’est pas terminé.
Les erreurs classiques qui font échouer une sauvegarde 3-2-1
La première erreur consiste à confondre synchronisation et sauvegarde. OneDrive, Google Drive ou un partage réseau synchronisé sont pratiques, mais si un fichier chiffré ou supprimé est répliqué partout, le problème voyage avec lui. Une sauvegarde doit conserver des versions exploitables dans le temps.
Autre piège : utiliser le même compte administrateur partout. Si l’attaquant récupère ce compte, il peut toucher les serveurs, les sauvegardes et parfois les consoles cloud. Microsoft recommande, dans ses bonnes pratiques Azure Backup, des protections comme l’autorisation multi-utilisateur, le soft delete (suppression récupérable), le chiffrement, les alertes de sécurité, la réplication du stockage et la supervision.
- Ne laissez pas la console de sauvegarde accessible depuis tous les postes.
- Appliquez l’authentification multifacteur aux comptes d’administration.
- Séparez les droits entre production et sauvegarde.
- Définissez une durée de rétention adaptée aux cycles de paie, facturation et clôture comptable.
- Documentez l’ordre de restauration : annuaire, fichiers, applications, bases, site web.
La sécurité des sauvegardes doit aussi couvrir les applications exposées. Un site web, une API ou une application mobile mal protégés peuvent devenir le point d’entrée de l’incident. Les contrôles décrits dans une checklist de sécurité avant publication d’application mobile ou dans l’analyse des failles de sécurité API complètent la stratégie de reprise, car sauvegarder n’empêche pas l’intrusion.
Quel budget prévoir pour une PME française ?
Les prix varient fortement selon le volume, le nombre de serveurs, la rétention et le niveau d’infogérance. Pour une petite PME avec quelques centaines de gigaoctets critiques, une première architecture sérieuse peut commencer autour de quelques dizaines à quelques centaines d’euros par mois hors mise en place. Pour plusieurs téraoctets, des VM, des bases de données et des tests réguliers, le budget mensuel peut atteindre plusieurs centaines d’euros, parfois davantage.
La mise en place initiale est souvent sous-estimée. Inventaire, choix des priorités, configuration des droits, chiffrement, immutabilité, documentation et premier test prennent du temps. Selon les prestataires, comptez souvent quelques jours de travail pour un périmètre PME raisonnable. Ce n’est pas le stockage qui coûte le plus cher au départ, c’est la conception d’un dispositif qu’on pourra vraiment utiliser en crise.
Il faut aussi distinguer sauvegarde et archivage. L’archivage conserve des données pour des raisons légales, comptables ou historiques ; la sauvegarde sert à restaurer l’activité. Les deux peuvent cohabiter, mais avec des règles différentes. Pour les dossiers longs à conserver, un dispositif d’archivage professionnel sécurisé évite de gonfler inutilement les sauvegardes quotidiennes.
Cas où la solution évidente est mauvaise : tout mettre dans le cloud avec une rétention très longue et aucune procédure de restauration locale. Sur le papier, c’est rassurant. Le jour d’un incident, télécharger plusieurs téraoctets peut prendre trop longtemps pour votre activité. Une copie locale rapide et une copie cloud immuable se complètent mieux qu’elles ne se remplacent.
Un plan simple pour passer à une sauvegarde 3-2-1 fiable
Commencez par l’inventaire. Quelles données perdraient de l’argent dès la première journée ? Où sont-elles ? Qui les administre ? Cette étape paraît administrative, mais elle évite de sauvegarder des volumes inutiles tout en oubliant une base de production.
Fixez ensuite deux objectifs : le RPO, c’est-à-dire la perte de données acceptable dans le temps, et le RTO, c’est-à-dire le délai acceptable pour redémarrer. Une comptabilité peut accepter 24 heures de perte dans certains cas ; une boutique en ligne active beaucoup moins. Ces chiffres guident la fréquence des sauvegardes et le budget.
La version pragmatique pour une PME ressemble souvent à ceci : sauvegarde locale quotidienne pour restaurer vite, copie cloud hors site avec immutabilité, comptes séparés, chiffrement, supervision, puis test de restauration planifié. Ajoutez une copie hors ligne pour les données les plus sensibles si le risque ransomware est élevé ou si votre activité ne tolère pas l’arrêt.
Cadrer ce type de projet en amont évite la plupart des mauvaises surprises : volumes oubliés, coûts de stockage mal anticipés, délais de reprise irréalistes. Un regard extérieur aide surtout à arbitrer entre ce qui protège vraiment l’activité et ce qui rassure seulement sur le papier.
FAQ sur la sauvegarde 3-2-1
La sauvegarde 3-2-1 protège-t-elle toujours contre un ransomware ?
Elle protège fortement si au moins une copie est hors site, isolée ou immuable, et si les restaurations sont testées. Une sauvegarde connectée avec les mêmes droits que la production peut être supprimée par l’attaquant.
Quelle est la différence entre sauvegarde immuable et sauvegarde hors ligne ?
Une sauvegarde immuable reste connectée mais ne peut pas être modifiée ou supprimée pendant une durée définie. Une sauvegarde hors ligne est déconnectée du réseau, donc inaccessible à distance tant qu’elle reste isolée.
À quelle fréquence tester ses sauvegardes ?
Pour une PME, un test trimestriel des données critiques est une base raisonnable. Un test complet annuel est conseillé, ainsi qu’après toute migration, refonte ou changement d’hébergement.
Combien de temps faut-il pour restaurer après une cyberattaque ?
Cela peut aller de quelques heures à plusieurs jours selon le volume, les dépendances applicatives et la qualité de la documentation. Le seul chiffre fiable vient d’un test réel de restauration.