Règle 3-2-1 : sauvegarder les données d'une PME

La règle 3-2-1 tient en trois chiffres : trois copies de vos données, sur deux types de supports différents, dont une conservée hors site. Chaque chiffre neutralise un risque précis, de la panne de disque au sinistre du local. La CNIL et l’ANSSI la reprennent toutes deux comme socle minimal.

D’où vient la règle 3-2-1, et pourquoi elle tient encore

La formule ne vient pas du monde de la sécurité informatique. Le photographe américain Peter Krogh l’a énoncée en 2005, dans un ouvrage consacré à la gestion des fichiers numériques, pour protéger des catalogues d’images contre la panne de disque et la fausse manœuvre. Deux décennies plus tard, elle sert de socle aux recommandations publiques françaises.

L’ANSSI la reprend dans son guide « Sauvegarde des systèmes d’information, les fondamentaux », publié en octobre 2023 et révisé en novembre 2025. La CNIL la cite explicitement dans l’édition 2024 de son guide de la sécurité des données personnelles, en ajoutant qu’au moins une sauvegarde doit rester isolée et déconnectée du réseau de l’organisation.

Sa longévité tient à une qualité rare : la règle 3-2-1 se vérifie sans compétence technique. Trois nombres, trois questions, une réponse par question. Un dirigeant qui ignore ce qu’est un hyperviseur peut demander à son prestataire de compter devant lui. Aucune autre mesure de sécurité ne se contrôle aussi vite.

Le cadre juridique s’aligne sur cette exigence. L’article 32 du règlement général sur la protection des données réclame des moyens de rétablir la disponibilité des données et l’accès à celles-ci dans des délais appropriés en cas d’incident, ainsi qu’une procédure visant à tester et évaluer régulièrement l’efficacité des mesures adoptées. Compter les copies ne suffit donc pas : le texte impose de vérifier qu’elles fonctionnent.

Ce que chaque chiffre protège réellement

Une sauvegarde 3-2-1 n’est pas un empilement de précautions redondantes. Chaque chiffre répond à une famille de sinistres que les deux autres laissent passer.

Trois copies : la panne matérielle et la fausse manœuvre

La production compte pour une copie. Restent deux sauvegardes distinctes, et ce nombre n’a rien d’arbitraire : au moment précis où vous restaurez, la première sauvegarde est en cours d’utilisation, parfois sur un support fatigué, parfois incomplète. La seconde existe pour ce moment-là.

Les trois copies couvrent aussi un risque bien plus fréquent que la panne : la fausse manœuvre. Un dossier client supprimé le vendredi soir, un tableur écrasé par une version obsolète, un import qui remplace six mois de fiches. Ces incidents ne se voient pas tout de suite, ce qui déplace la question vers la rétention : combien de jours en arrière pouvez-vous remonter ?

Une copie unique laisse passer quatre scénarios courants :

• le support de sauvegarde tombe en panne le jour où vous en avez besoin ;
• la corruption d’un fichier se propage à la copie avant que quiconque la remarque ;
• la suppression date de trois semaines et la sauvegarde ne conserve que sept jours ;
• la restauration échoue en cours de route et abîme ce qui restait exploitable.

Deux supports : ne pas confier son sort à une seule technologie

Deux copies sur deux disques du même modèle, achetés le même jour, ne font pas deux supports. Elles partagent le même lot de production, le même micrologiciel, les mêmes défauts de série et souvent le même contrôleur. Le principe vise la diversité technique, pas le nombre d’exemplaires.

Les combinaisons qui tiennent réellement :

• un serveur interne et un stockage objet chez un hébergeur distant ;
• un stockage réseau et une bande magnétique rangée dans une armoire ;
• un poste de travail et un disque externe débranché après usage ;
• une machine virtuelle et une exportation vers un service en ligne indépendant.

Un point mérite d’être posé clairement, parce qu’il revient dans presque toutes les installations que je reprends : le RAID d’un boîtier de stockage ne constitue ni une copie ni un support supplémentaire. Il absorbe la défaillance d’un disque, rien d’autre. Le choix du matériel, le niveau de parité et le dimensionnement relèvent d’une autre discussion, traitée dans notre guide du NAS en entreprise ; la règle abordée ici décide de ce qui existe en dehors de ce boîtier.

Une copie hors site : l’incendie, le dégât des eaux, le vol

Les deux premiers chiffres protègent des données. Le troisième protège du lieu. Un incendie de local technique, une inondation de sous-sol, un cambriolage de nuit emportent tout ce qui se trouvait dans le bâtiment, serveur et disques de sauvegarde compris, puisque les seconds dorment presque toujours à côté du premier.

La CNIL demande au moins une copie stockée dans un lieu géographiquement distinct, avec le même niveau de protection que les données de production. Le chiffrement devient alors indispensable : une copie hors site voyage, se stocke chez un tiers, et parfois se perd.

Attention à la confusion la plus répandue du domaine : hors site ne signifie pas hors ligne. Un stockage distant monté en permanence sur le serveur se chiffre en même temps que lui lors d’une attaque par rançongiciel. Dans son Panorama de la cybermenace 2025, l’ANSSI indique que les TPE, PME et ETI représentent 48 % des victimes de rançongiciel portées à sa connaissance, pour 128 compromissions recensées sur l’année. Ces structures disposent rarement d’une copie que l’attaquant ne peut pas atteindre depuis le réseau.

Immuable, hors ligne, vérifiée : les variantes contemporaines

La formule d’origine date d’un temps où la menace principale s’appelait panne de disque. Le rançongiciel a changé la donne, parce qu’il cible délibérément les sauvegardes avant de chiffrer la production. Les éditeurs de solutions de sauvegarde, Veeam en tête, ont donc allongé la règle en 3-2-1-1-0 : un « 1 » supplémentaire pour une copie immuable ou totalement isolée, un « 0 » pour zéro erreur au contrôle d’intégrité.

Une copie immuable repose sur un verrouillage en écriture pour une durée fixée à l’avance. Pendant cette période, personne ne la modifie ni ne la supprime, pas même un compte d’administration compromis. Les stockages objet proposent cette fonction sous le nom de verrouillage d’objet, et certaines appliances de sauvegarde l’intègrent nativement.

L’ANSSI nuance toutefois la hiérarchie. Dans son guide, la bande magnétique reste le support hors ligne le plus efficace, et les solutions déconnectées demeurent plus robustes que les mécanismes d’écriture unique accessibles en ligne. Un support débranché résiste à distance, quel que soit le niveau de compromission du système d’information.

Quatre formes de sauvegarde hors ligne fonctionnent dans une PME :

• un disque externe branché pour la copie, puis rangé dans un autre bâtiment ;
• deux disques alternés chaque semaine, dont un conservé en dehors des locaux ;
• une cartouche magnétique sortie du lecteur aussitôt après écriture ;
• un espace distant en écriture seule, avec verrouillage temporel des versions.

Le « 0 » final change les habitudes plus que le reste. Il impose un contrôle automatique de l’intégrité des sauvegardes, avec alerte en cas d’échec, plutôt qu’un rapport vert que personne ne lit. Cette exigence rejoint les mesures de base décrites dans notre guide de cybersécurité pour les PME, où la sauvegarde arrive très haut dans l’ordre des priorités.

Mettre la règle en pratique selon la taille de la structure

Le principe reste identique de trois à cent postes. Le dispositif technique, lui, change radicalement.

Moins de dix postes, sans serveur

Premier obstacle : il n’existe souvent rien à sauvegarder de manière centralisée, parce que les fichiers vivent dispersés sur les disques des portables et sur des clés USB. Commencez donc par rassembler les dossiers de travail à un seul endroit, boîtier de stockage ou espace en ligne d’entreprise. Faute de quoi une stratégie de sauvegarde ne couvre qu’une fraction du patrimoine.

Le dispositif minimal tient ensuite en trois éléments : les fichiers centralisés, une sauvegarde automatique vers un service en ligne chiffré, et deux disques externes alternés dont un dort en dehors des locaux. Le coût annuel reste modeste au regard d’une semaine d’arrêt.

Les postes nomades méritent une attention particulière. Un commercial qui travaille hors ligne pendant trois jours détient des données que personne ne sauvegarde. Activez la synchronisation continue de son dossier de travail, puis vérifiez qu’elle tourne réellement plutôt que de la supposer active.

Un serveur, un stockage réseau ou des machines virtuelles

À cette échelle, la sauvegarde devient un système à part entière, avec ses propres règles de cloisonnement. L’ANSSI recommande d’isoler l’infrastructure de sauvegarde du reste du réseau et d’initier les flux depuis le serveur de sauvegarde vers les machines protégées, jamais l’inverse. Un poste compromis ne doit rien pouvoir pousser vers le dépôt.

Trois règles complètent ce cloisonnement :

• des comptes d’administration dédiés à la sauvegarde, distincts de ceux de la production ;
• un dépôt hébergé ailleurs que sur le stockage qu’il protège, sinon les deux disparaissent ensemble ;
• une authentification à plusieurs facteurs sur la console, cible privilégiée des attaquants.

Les machines virtuelles se sauvegardent au niveau de l’hyperviseur, en image complète, ce qui accélère la remise en service. Ajoutez une sauvegarde applicative des bases de données, car une image prise pendant une écriture peut restituer un fichier incohérent.

La messagerie et les outils en ligne, angle mort quasi systématique

Une PME entière peut respecter la règle sur ses fichiers et perdre l’essentiel de son activité par la messagerie. Les suites collaboratives fonctionnent sous un modèle de responsabilité partagée : le fournisseur garantit la disponibilité de son service, vous restez responsable du contenu. La corbeille et la rétention intégrée servent de filet court, quelques jours à quelques semaines, jamais d’archive.

Trois périmètres échappent presque toujours aux copies de sauvegarde d’une petite structure :

• les boîtes mail hébergées chez un fournisseur en ligne, et leurs pièces jointes ;
• les données saisies dans les logiciels métier en abonnement, devis, tickets, fiches clients ;
• les fichiers stockés dans les espaces personnels des collaborateurs plutôt que dans les dossiers d’équipe.

La capacité à récupérer ses données figure au premier rang des points à négocier avec un éditeur, sujet traité dans notre guide de la réversibilité logicielle. Réclamez à chacun sa durée de rétention réelle et sa procédure de restauration, par écrit. Pour le site internet et sa base de données, la démarche obéit à sa propre logique, décrite dans notre méthode de sauvegarde de site web.

La restauration, le seul test qui compte

Une sauvegarde n’existe pas tant que personne ne l’a restaurée. Le rapport vert de la console prouve qu’un traitement s’est terminé, pas qu’un fichier revient.

Deux curseurs cadrent l’exercice, et tous deux se décident par la direction, pas par l’informatique. Le délai maximal d’interruption acceptable fixe le temps dont vous disposez pour redémarrer. La perte de données admissible fixe le volume de travail que vous acceptez de ressaisir : une sauvegarde nocturne unique signifie jusqu’à vingt-quatre heures de saisie perdues. Ces deux valeurs se posent dans le plan de continuité d’activité, puis dictent la fréquence des copies.

L’ANSSI demande des sauvegardes testées régulièrement et une procédure de restauration documentée, réellement mise en œuvre. La CNIL formule la même exigence en vérifiant que les sauvegardes restent restaurables. Une cadence tenable dans une PME : un essai partiel chaque trimestre sur des fichiers réels choisis au hasard, un essai complet une fois par an sur un environnement séparé.

Chronométrez, et notez le résultat. Le premier essai révèle presque toujours les mêmes surprises :

• le mot de passe de la base de données ne figure nulle part ;
• la licence du logiciel métier exige une réactivation auprès de l’éditeur ;
• le débit de la liaison internet impose deux jours de téléchargement ;
• la seule personne qui connaît la procédure se trouve en congé ;
• la sauvegarde couvre les fichiers mais pas la configuration du serveur.

Une restauration testée transforme ces découvertes en corrections planifiées, au lieu de les laisser surgir un matin de crise. Le compte rendu d’essai, daté et signé, constitue aussi la preuve attendue par l’article 32 du règlement général sur la protection des données et par la plupart des assureurs cyber.

Les erreurs classiques, et le premier pas à faire cette semaine

Les mêmes défauts reviennent d’une reprise d’installation à l’autre, et aucun ne demande de budget pour être corrigé. La CNIL en recense plusieurs dans la rubrique des pratiques à proscrire de sa fiche consacrée aux sauvegardes :

• le disque de sauvegarde branché en permanence, chiffré en même temps que le serveur ;
• la sauvegarde jamais restaurée depuis son installation, parfois depuis des années ;
• le périmètre arrêté aux fichiers, sans la messagerie ni les logiciels en abonnement ;
• les alertes d’échec envoyées vers une adresse que plus personne ne relève ;
• la clé de chiffrement conservée uniquement sur le serveur qu’elle protège ;
• la rétention limitée à sept jours, insuffisante face à un chiffrement dormant ;
• le compte d’administration unique pour la production et pour la console de sauvegarde ;
• les postes nomades exclus du dispositif parce qu’ils se connectent rarement.

Premier pas concret : prenez une feuille et écrivez les trois copies existantes de vos données, leur support, leur emplacement physique. Si la troisième colonne répète deux fois la même adresse, vous connaissez déjà le chantier. Choisissez ensuite un fichier au hasard, demandez sa restauration, et chronométrez. Cette demi-heure vaut tous les schémas d’architecture.