Règle 3-2-1 : la sauvegarde qui survit à un ransomware

« On a une sauvegarde. » Sur le papier, c’est presque toujours vrai. Pourtant, la différence entre une sauvegarde qui existe et une sauvegarde qui fonctionne ne se découvre qu’au pire moment : quand il faut restaurer. La règle 3-2-1 sert exactement à ça — c’est le test le plus simple pour savoir si vos données survivraient à un ransomware, à un incendie ou à une simple erreur humaine.

Les fausses sauvegardes : cinq illusions courantes

Avant la règle, commençons par ce qui n’est pas une sauvegarde. En effet, la plupart des mauvaises surprises viennent de là :

• La synchronisation (OneDrive, Google Drive) : elle réplique fidèlement vos fichiers… y compris leur chiffrement par un ransomware ou une suppression accidentelle.
• Le NAS seul : une copie locale utile, mais sur le même site et le même réseau que l’original — un incendie ou une attaque emporte donc les deux.
• Un disque USB branché en permanence : visible depuis le poste, il sera chiffré avec le reste.
• « C’est dans le cloud » : le cloud est un lieu, pas une méthode — et il tombe aussi en panne.
• La sauvegarde jamais testée : tant qu’elle n’a pas été restaurée, c’est une hypothèse, pas une protection.

Autrement dit, la bonne question n’est pas « avez-vous une sauvegarde ? », mais « votre sauvegarde respecte-t-elle la règle ? ».

La règle 3-2-1, expliquée simplement

Cette règle 3-2-1 tient en une phrase : conservez trois copies de vos données, sur deux supports différents, dont une hors site. C’est d’ailleurs l’esprit des recommandations de Cybermalveillance.gouv.fr : multiplier les copies, varier les supports, en conserver une dans un lieu distinct et déconnecter les supports après usage.

Ainsi, aucun sinistre unique — panne, vol, incendie, erreur humaine — ne peut atteindre toutes les copies à la fois.

Pourquoi le ransomware a changé la règle 3-2-1

Les attaquants ont compris que la sauvegarde était votre dernière ligne de défense : 89 % des organisations attaquées voient donc leurs sauvegardes ciblées avant le chiffrement — surtout lorsque le poste compromis travaillait en compte administrateur. Dès lors, une copie accessible depuis le réseau ne suffit plus.

C’est pourquoi la règle s’est étendue en 3-2-1-1-0 : le « 1 » supplémentaire désigne une copie hors ligne ou immuable — impossible à modifier ou à chiffrer, même avec des droits d’administration — et le « 0 », zéro erreur lors des tests de restauration.

Le test de restauration : la preuve finale

Enfin, une sauvegarde ne vaut que par sa restauration. Testez donc un fichier chaque mois, un dossier complet chaque trimestre et, une fois par an, chronométrez une restauration complète : ce temps, c’est la durée réelle pendant laquelle votre entreprise sait s’arrêter. Vous ne savez pas si votre installation respecte la règle 3-2-1 ? C’est précisément ce que révèle un état des lieux de votre sauvegarde.

Questions fréquentes

Ne manquez pas le prochain article

Recevez nos conseils cybersécurité et informatique directement dans votre boîte mail. Pas de spam, désinscription en un clic.