Sauvegarde en entreprise : la règle 3-2-1 et sa version anti-rançongiciel 3-2-1-1-0

« Ne vous inquiétez pas, on a des sauvegardes. » C’est souvent la première phrase prononcée le matin d’une attaque par rançongicielRançongiciel (ransomware)Logiciel malveillant qui chiffre les données d’une organisation et exige une rançon pour les restituer, souvent en menaçant aussi de publier les données volées.. Puis vient la mauvaise nouvelle : le NAS de sauvegarde, branché au réseau et administré avec le même compte que les serveurs, a été chiffré avec eux. Ou la sauvegarde existait, mais personne n’avait jamais essayé de la restaurer.

Ce guide explique aux dirigeants et responsables informatiques de PME la règle 3-2-1Règle de sauvegarde 3-2-1Règle simple de sauvegarde : 3 copies des données, sur 2 supports différents, dont 1 conservée hors site., sa version renforcée 3-2-1-1-0, et comment vérifier chaque trimestre que vos sauvegardes vous sauveront vraiment.

La règle 3-2-1, et sa version renforcée 3-2-1-1-0

La règle 3-2-1 tient en une phrase : trois copies de vos données, sur deux supports différents, dont une hors site. L’original compte comme une copie : il faut donc deux sauvegardes en plus des données de production.

L’ANSSI reprend cette règle dans son guide Sauvegarde des systèmes d’information : les fondamentaux, avec une précision qui change tout : l’une des deux sauvegardes doit être hors ligne, c’est-à-dire sur un support déconnecté de tout système informatique. L’agence juge cette copie hors ligne « indispensable » (à défaut, une copie hors site en ligne, sous conditions), même si elle est moins fréquente que les sauvegardes quotidiennes.

La variante 3-2-1-1-0, répandue chez les éditeurs de logiciels de sauvegarde, formalise ces deux exigences :

Une copie immuable ne peut être ni modifiée ni supprimée pendant une durée fixée à l’avance, même par un administrateur. L’ANSSI considère qu’une copie vraiment hors ligne reste plus robuste qu’un stockage immuable en ligne, et propose un compromis raisonnable : des sauvegardes régulières sur un stockage immuable, complétées par une copie hors ligne moins fréquente.

Pourquoi les attaquants visent d’abord vos sauvegardes

Le chiffrement est la dernière étape d’une attaque. Avant, l’attaquant cherche des droits d’administrateur, puis à neutraliser vos sauvegardes : sans elles, il ne vous reste qu’à négocier. L’ANSSI l’écrit : il est fréquent qu’un attaquant tente de chiffrer, d’effacer ou de rendre indisponible l’infrastructure de sauvegarde.

L’enquête de Sophos citée plus haut mesure l’enjeu : 57 % de ces tentatives ont réussi, et les victimes dont les sauvegardes avaient été compromises ont été presque deux fois plus nombreuses à payer la rançon.

Que faire des sauvegardes pendant une attaque (les débrancher, vérifier qu’elles sont saines avant de restaurer) : voir notre article Attaque par rançongiciel : que faire dans les 72 premières heures ?.

RPO et RTO : deux questions de dirigeant

Avant de choisir un outil, la direction doit répondre à deux questions pour chaque activité. Elles portent des noms techniques, RPO et RTORTO et RPOLe RTO est la durée maximale d’arrêt acceptable pour un service ; le RPO est la quantité maximale de données, exprimée en temps, que l’on accepte de perdre lors d’une restauration., que l’ANSSI traduit par PDMA et DMIA :

• RPO, perte de données maximale admissible : combien d’heures de travail pouvez-vous perdre ? Si la dernière sauvegarde date d’hier soir, tout ce qui a été saisi aujourd’hui est perdu.
• RTO, durée maximale d’interruption admissible : combien de temps pouvez-vous rester sans cet outil avant que les dégâts deviennent graves (clients perdus, pénalités, salaires non versés) ?

Ces chiffres fixent la fréquence et le budget, et alimentent votre plan de continuité et de reprise d’activitéPCA / PRALe plan de continuité d’activité (PCA) organise la poursuite des activités essentielles pendant une crise ; le plan de reprise d’activité (PRA) décrit comment redémarrer l’informatique et retrouver les données après un sinistre.. En dessous de 24 heures de perte admissible, note l’ANSSI, il faut de la réplication. Côté conservation, l’agence cite en exemple 15 jours de sauvegardes journalières, 1 an de mensuelles et 5 ans d’annuelles : un attaquant peut rester discret des semaines, il faut pouvoir remonter avant son arrivée.

Que sauvegarder : la liste qu’on oublie

Au-delà des serveurs de fichiers, on oublie souvent :

• les bases de données métier (comptabilité, paie, ERP, CRM), sauvegardées dans un état cohérent ;
• les postes de travail s’ils contiennent des documents, ou à défaut une règle qui impose le stockage sur les serveurs ;
• les configurations : pare-feu, routeurs, annuaire Active DirectoryActive Directory (AD)Annuaire de Microsoft qui centralise les comptes, les mots de passe et les droits de la plupart des réseaux d’entreprise sous Windows : qui le contrôle contrôle tout le réseau., NAS, téléphonie ;
• les médias d’installation et les procédures : l’ANSSI demande de sauvegarder aussi de quoi reconstruire l’infrastructure de sauvegarde elle-même (logiciels, catalogue, procédure d’import, clés de chiffrement) ;
• les services en ligne : messagerie, partage de fichiers, site web, outils de gestion en ligne.

Microsoft 365, Google Workspace : le fournisseur ne sauvegarde pas tout à votre place

Microsoft et Google assurent la disponibilité de leurs services. Mais Microsoft, dans sa documentation sur la responsabilité partagée, indique que les données, les comptes et les accès restent sous la responsabilité du client, y compris en SaaS. Et ce qui est supprimé ou chiffré ne se récupère que dans des limites précises :

• Microsoft 365 : les éléments supprimés de SharePoint (et des fichiers OneDrive professionnels) restent 93 jours dans les corbeilles, puis disparaissent. Microsoft propose une option payante, Microsoft 365 Backup, dont les copies restent dans l’environnement Microsoft 365 : pour respecter le « 2 supports » et le « hors site », gardez aussi une copie ailleurs.
• Google Workspace : un administrateur peut récupérer des fichiers Drive dans les 25 jours qui suivent le vidage de la corbeille par l’utilisateur ; ensuite, Google les purge définitivement. Google Vault sert à conserver et à rechercher des données pour des besoins juridiques, et Google précise que Vault n’est pas une archive de données.
• Les autres outils en ligne (CRM, comptabilité, signature électronique) : vérifiez dans le contrat qu’un export complet et automatisable de vos données est possible.

Protéger la sauvegarde elle-même

Une sauvegarde est une cible. Pour une PME, retenez cinq mesures tirées du guide de l’ANSSI.

1. Une copie hors ligne ou immuable. Disque externe débranché et rangé hors des locaux, bande, ou stockage en ligne avec verrouillage pendant une durée fixée. Un simple partage réseau ou des instantanés (snapshots) accessibles depuis le réseau ne comptent pas.
2. Des comptes d’administration séparés. Les serveurs de sauvegarde ne doivent pas faire partie du domaine Active Directory de production, mais avoir leur propre authentification, avec des comptes d’administration dédiés et nominatifs, protégés par une double authentification (MFAAuthentification multifacteur (MFA)Connexion qui exige au moins deux preuves d’identité de natures différentes (ce que vous savez, ce que vous possédez, ce que vous êtes), pour qu’un mot de passe volé ne suffise plus., voir notre article sur la MFA en entreprise). Séparez si possible le rôle qui lance les sauvegardes de celui qui peut supprimer des copies.
3. Le chiffrementChiffrementProcédé qui rend des données illisibles pour quiconque ne possède pas la bonne clé, afin de protéger leur confidentialité lorsqu’elles sont stockées ou transmises., avec des clés en lieu sûr. Chiffrez surtout ce qui quitte vos locaux ou part dans le cloud, avec vos propres clés, avant l’envoi. Une clé perdue rend la sauvegarde inutilisable : gardez-la dans un coffre-fort de mots de passe et en copie hors ligne.
4. Des mises à jour et une surveillance. Appliquez les correctifs du logiciel de sauvegarde et du NAS, et lisez les rapports. Un volume anormal, une tâche désactivée ou une règle de conservation raccourcie sont des signaux d’alerte.
5. Un « bouton rouge ». En cas d’incident, la priorité est d’isoler l’infrastructure de sauvegarde du reste du réseau. Décidez à l’avance comment : quel câble, quel commutateur, qui a le droit de le faire.

Quelle solution choisir : comparatif

Une PME combine en général une copie locale rapide et une copie hors ligne ou immuable, hors site.

Tester la restauration : le « 0 » de 3-2-1-1-0

L’ANSSI comme l’agence américaine CISA le demandent : les sauvegardes doivent être testées régulièrement. L’ANSSI ajoute qu’une procédure de restauration doit être rédigée et régulièrement mise en œuvre. Un plan simple suffit pour commencer :

• chaque mois : restaurer quelques fichiers et une boîte aux lettres, choisis au hasard ;
• chaque trimestre : restaurer un serveur complet ou une base métier sur une machine isolée du réseau de production, à partir de la copie hors ligne, chronomètre en main ;
• chaque année : un exercice de reprise sur table avec la direction, pour valider l’ordre de redémarrage.

Consignez chaque test sur une fiche d’une page :

Test de restauration · 4e trimestre 2026
Élément testé     : serveur de fichiers, partage Comptabilité
Point restauré    : copie hors ligne du 1er novembre, 22:00
Restauré vers     : machine isolée, sans accès au réseau de production
Contrôles         : 20 fichiers ouverts au hasard, base comptable ouverte, droits vérifiés
Durée mesurée     : 3 h 40 (objectif RTO : 4 h), conforme
Écart constaté    : clé de chiffrement retrouvée en 25 min, procédure à préciser
Visa              : K. Diallo (informatique), A. Morel (direction)

La checklist trimestrielle

Une revue par trimestre, avec un compte rendu au dirigeant :

• Toutes les tâches de sauvegarde du trimestre ont réussi, et les volumes sont cohérents.
• Les nouveaux serveurs, postes et services en ligne sont bien dans le périmètre sauvegardé.
• La copie hors ligne a été faite et rangée hors site, ou le verrouillage immuable est actif avec la bonne durée.
• Un test de restauration complet a été mené, chronométré et comparé au RTO.
• La liste des comptes d’administration de la sauvegarde est à jour, les départs ont été retirés, la MFA est active.
• Le logiciel de sauvegarde, le NAS et leurs micrologiciels sont à jour.
• Les clés de chiffrement sont accessibles, sauvegardées hors ligne, et deux personnes savent les utiliser.
• La durée de conservation permet de remonter avant une intrusion de plusieurs semaines.
• La procédure de restauration imprimée et les contacts d’urgence sont à jour.

Reste à savoir si un attaquant pourrait atteindre vos sauvegardes depuis un poste compromis. C’est précisément ce que vérifie le test d’intrusion non destructif de KrakenShield, mené uniquement sur votre autorisation écrite : découvrir les capacités. Pour replacer la sauvegarde dans l’ensemble des protections contre les rançongiciels, lisez notre chapitre Rançongiciels.