Sauvegardes : la règle 3-2-1-1-0 expliquée et appliquée

Lundi, sept heures. Les postes affichent une demande de rançon. L’équipe informatique respire : il y a des sauvegardes, tous les soirs, sur un serveur dédié. Elle découvre une heure plus tard que ce serveur appartenait au même domaine que les autres, que l’attaquant y avait accès depuis dix jours, et qu’il a chiffré les sauvegardes avant le reste. Le scénario est assez courant pour figurer dans les guides des autorités de cybersécurité. Il illustre pourquoi la vieille règle de sauvegarde 3-2-1 a pris deux chiffres de plus.

Ce que signifie chaque chiffre

Trois copies : les données de production et deux sauvegardes. Une seule sauvegarde est un point de défaillance unique ; si elle est corrompue le jour où l’on en a besoin, il ne reste rien.

Deux supports différents : par exemple un stockage sur disque et un stockage objet, ou un disque et des bandes. L’idée est qu’une même panne, un même défaut de micrologiciel ou une même erreur de manipulation ne détruise pas toutes les copies.

Une copie hors site : dans un autre bâtiment, un autre centre de données ou chez un prestataire. Elle protège contre l’incendie, l’inondation, le vol ou la coupure prolongée d’un site.

Une copie hors ligne ou immuable : c’est l’ajout décisif. Une copie déconnectée du réseau (bande retirée de la bibliothèque, disque débranché) ou verrouillée contre toute modification et suppression pendant une durée fixée. Un attaquant qui obtient les droits d’administrateur ne peut ni la chiffrer ni l’effacer.

Zéro erreur : chaque sauvegarde est vérifiée, et sa restauration est testée. Une sauvegarde que l’on n’a jamais restaurée est une hypothèse, pas une garantie.

Appliquer la règle en six étapes

1. Inventorier ce qui doit être protégéServeurs, bases de données, postes critiques, mais aussi les données hébergées dans des logiciels en ligne, les configurations des équipements réseau et les comptes d’administration. L’oubli le plus fréquent concerne les services en ligne, supposés sauvegardés par l’éditeur.
2. Fixer deux délais par systèmeLa perte de données acceptable (combien d’heures de travail peut-on perdre ?) et la durée d’interruption acceptable (en combien de temps faut-il redémarrer ?). Ces deux valeurs, décidées avec les métiers et non par l’informatique seule, déterminent la fréquence et la technologie des sauvegardes.
3. Séparer les accèsLa console de sauvegarde et le stockage des copies ne doivent pas dépendre de l’annuaire de production. Comptes dédiés, authentification multifacteur, droits limités : c’est ce qui aurait évité le scénario du lundi matin.
4. Mettre en place la copie hors ligne ou immuableChoisir entre support déconnecté et stockage verrouillé selon le volume, le délai de restauration attendu et les compétences disponibles. Dans les deux cas, documenter qui peut lever la protection, et dans quelles conditions.
5. Tester la restauration, pour de vraiRestaurer régulièrement des fichiers, et périodiquement un système entier, dans un environnement isolé. Mesurer le temps réel : c’est souvent là que l’on découvre qu’une durée d’interruption promise de quatre heures en demande deux jours.
6. Écrire la procédure de repriseOrdre de redémarrage des systèmes, contacts, emplacement des copies, accès de secours. Une procédure stockée uniquement sur le serveur chiffré ne sert à rien : une version doit exister hors du système d’information.

Adapter la règle à sa taille

La règle n’impose pas une technologie. Une petite structure peut l’appliquer avec un stockage réseau local, un service de sauvegarde en ligne disposant d’un verrouillage des copies, et un disque externe déconnecté entre deux sauvegardes mensuelles. Une organisation plus grande combinera des copies sur disque pour les restaurations rapides, un stockage objet verrouillé sur un second site et, souvent, des bandes pour l’archivage longue durée.

Dans tous les cas, deux points ne se négocient pas : la copie que l’attaquant ne peut pas atteindre, et le test de restauration. Ce sont eux qui transforment une dépense de stockage en capacité de reprise.

Les services en ligne méritent une attention particulière, quelle que soit la taille. Messagerie, suite bureautique, gestion de la relation client, comptabilité : une part croissante des données vit chez des éditeurs. Leurs contrats prévoient en général une responsabilité partagée, où l’éditeur garantit la disponibilité de la plateforme mais pas la récupération d’un fichier supprimé par erreur il y a six mois, ni le retour en arrière après la compromission d’un compte. Il faut lire ces clauses, vérifier les durées de rétention proposées et, lorsqu’elles ne suffisent pas, prévoir une sauvegarde indépendante, stockée hors de la plateforme de l’éditeur. La règle 3-2-1-1-0 s’applique à ces données comme aux autres : c’est seulement la façon de produire les copies qui change.

Les erreurs qui annulent la règle

On peut appliquer les cinq chiffres sur le papier et rester vulnérable. Quatre erreurs reviennent souvent.

Une durée de conservation trop courte. Un attaquant peut rester plusieurs jours, voire plusieurs semaines dans un réseau avant de se manifester. Si les copies ne remontent qu’à une semaine, toutes peuvent contenir sa porte dérobée, ou des données déjà altérées. La durée de conservation doit permettre de revenir à un état sain, ce qui suppose de garder des copies plus anciennes, au moins pour les systèmes critiques.

Une copie hors site non chiffrée. La copie qui quitte le bâtiment, sur bande ou chez un prestataire, contient tout le patrimoine de données de l’organisation. Elle doit être chiffrée, et la clé conservée ailleurs que sur le système qu’elle sert à restaurer.

Des clés et des configurations oubliées. Restaurer des données ne suffit pas si l’on a perdu les clés de chiffrement, les mots de passe des comptes de service, la configuration du pare-feu ou l’annuaire. Ces éléments doivent faire partie du périmètre sauvegardé, et leur restauration doit être testée comme le reste.

Une alerte que personne ne lit. Les logiciels de sauvegarde signalent les échecs. Encore faut-il que ces messages arrivent à quelqu’un qui les traite. Une tâche qui échoue en silence depuis trois mois est l’un des constats les plus fréquents des examens de sauvegarde.

Ce que disent les cadres réglementaires

La directive NIS 2 cite explicitement la gestion des sauvegardes parmi les mesures de gestion des risques attendues des entités essentielles et importantes, à côté de la continuité des activités et de la reprise après sinistre. Dans le secteur financier, le règlement DORA, applicable depuis le 17 janvier 2025, impose des politiques de sauvegarde et de restauration et leur test. La norme ISO/IEC 27001:2022 comporte une mesure dédiée à la sauvegarde de l’information. Aucun de ces textes ne prescrit la règle 3-2-1-1-0 en tant que telle, mais elle constitue une façon claire et vérifiable de répondre à leurs exigences.

• Chaque système critique a une perte de données et une durée d’interruption acceptables, validées par les métiers.
• Au moins une copie est hors ligne ou immuable, et hors de portée des comptes de production.
• Les données des services en ligne sont couvertes, contrat vérifié à l’appui.
• Une restauration complète a été testée et chronométrée au cours des douze derniers mois.
• La procédure de reprise est accessible même si tout le système d’information est indisponible.

Pour évaluer votre dispositif face à ces exigences, notre expertise cybersécurité et conformité propose un examen des sauvegardes et un test de restauration accompagné. Et pour prouver, le jour d’un contrôle, que les tests ont bien eu lieu, la question rejoint celle de la traçabilité des décisions et des contrôles.

Questions fréquentes

Le cloud suffit-il comme copie hors site ?

Il peut jouer ce rôle, à condition que la copie ne soit pas accessible avec les mêmes comptes que le système de production, et qu'elle soit protégée contre la suppression ou la modification pendant une durée définie. Une synchronisation simple vers un espace en ligne n'est pas une sauvegarde : elle réplique aussi les fichiers chiffrés par un rançongiciel.

Les données de nos logiciels en ligne sont-elles sauvegardées par l'éditeur ?

Pas toujours, et rarement selon vos propres exigences. Les contrats des services en ligne prévoient en général une responsabilité partagée : l'éditeur assure la disponibilité de la plateforme, le client reste responsable de ses données. Il faut vérifier le contrat et, souvent, prévoir une sauvegarde indépendante.

À quelle fréquence tester une restauration ?

Il n'existe pas de fréquence universelle. Une pratique raisonnable consiste à tester régulièrement la restauration de fichiers isolés, et au moins une fois par an la restauration complète d'un système critique, en mesurant le temps réel nécessaire. Toute modification importante de l'infrastructure justifie un nouveau test.

Qu'impose NIS 2 en matière de sauvegarde ?

La directive NIS 2 range la gestion des sauvegardes parmi les mesures de gestion des risques que les entités concernées doivent mettre en œuvre, avec la continuité des activités et la reprise après sinistre. Le détail dépend de la transposition nationale et des textes d'application de chaque pays.