Pendant longtemps, de nombreuses entreprises ont fait de la règle de sauvegarde 3-2-1 un dogme. Le principe : trois copies des données, deux types de supports et une copie hors site. Simple, logique, efficace… jusqu’au jour où elle ne suffit plus.
Pourtant, les risques actuels ont changé. Les ransomwares (rançongiciels) ciblent désormais les sauvegardes, et les erreurs humaines se propagent instantanément. De plus, les infrastructures sont hybrides et les données se dispersent entre le cloud, les serveurs locaux et les applications SaaS. Par conséquent, appliquer aveuglément la règle 3-2-1 crée un dangereux sentiment de sécurité.
C’est pourquoi la règle 3-2-1-1-0 voit le jour : non pas comme une mode technique, mais comme une réponse directe à des incidents réels.
Les limites de la règle de sauvegarde 3-2-1 traditionnelle
La règle 3-2-1 reste valable comme base. Cependant, le problème tient à ce qu’elle ne couvre pas :
Des sauvegardes chiffrées par le ransomware lui-même
Des suppressions accidentelles synchronisées sur toutes les copies
Le manque de tests de restauration
L’absence de preuve auditable
En effet, disposer de plusieurs copies ne garantit pas que l’une d’elles soit récupérable. C’est précisément là que l’évolution commence.
Ce que signifie vraiment la règle de sauvegarde 3-2-1-1-0
La règle 3-2-1-1-0 conserve la logique d’origine et ajoute deux niveaux critiques de résilience.
3 : Trois copies des données
Les données d’origine et au moins deux copies de sauvegarde.
2 : Deux types de supports différents
Par exemple, un disque et un stockage objet, ou un stockage local et le cloud.
1 : Une copie hors site
Elle protège contre les pannes physiques, les incendies ou les incidents locaux.
1 : Une copie immuable ou hors ligne
Voici le grand changement : une copie que personne ne peut modifier ni supprimer, pas même les administrateurs ou un malware.
0 : Zéro erreur constatée lors des tests de restauration
Sans tests réussis, la sauvegarde ne compte pas, car rien ne garantit que la restauration soit possible.
Pourquoi la copie immuable a tout changé
Le ransomware moderne ne s’attaque pas seulement aux systèmes de production : il recherche, chiffre et supprime aussi les sauvegardes. Ainsi, si toutes les copies sont réinscriptibles, elles sont toutes vulnérables.
La copie immuable élimine cet angle mort :
Personne ne peut la modifier pendant une période définie
Elle ne répond pas aux commandes de suppression
Elle conserve des versions intègres, même après une attaque
Autrement dit, il ne s’agit pas d’une redondance supplémentaire, mais d’un isolement logique.
Efficacité opérationnelle : Moins de chaos, plus de contrôle
Sans stratégie 3-2-1-1-0, chaque incident devient une exception. Par conséquent, les équipes courent après le problème, testent les sauvegardes dans l’improvisation et prennent des décisions sous pression.
Avec cette approche, au contraire :
L’équipe connaît les points de restauration
Les temps de restauration restent prévisibles
Chacun connaît ses responsabilités
Les tests font partie de la routine
De cette façon, l’activité ne se contente plus de réagir : elle exécute un plan.
Conformité légale et auditabilité : Du discours à la preuve
Aujourd’hui, les régulateurs et les auditeurs n’acceptent plus les réponses vagues. C’est pourquoi ils demandent :
Où se trouvent les sauvegardes ?
Qu’est-ce qui les protège contre les modifications ?
À quand remonte le dernier test de restauration ?
Existe-t-il une preuve documentée ?
Ainsi, la règle 3-2-1-1-0 répond à toutes ces questions. Le « 0 » (zéro erreur lors des tests) est le maillon qui transforme la sauvegarde en contrôle de conformité.
Autrement dit, sans tests documentés, il n’y a pas de preuve. Et sans preuve, il n’y a pas de conformité défendable.
Réduction des coûts : L’impact invisible d’une sauvegarde mal conçue
Chaque fois que la restauration échoue, les coûts apparaissent rapidement :
Des heures ou des jours d’arrêt
La perte de données critiques
Des consultants externes appelés en urgence
Une atteinte à la réputation
C’est pourquoi une copie immuable et des tests réguliers coûtent en général moins cher qu’un seul incident mal géré. La règle 3-2-1-1-0 n’a donc rien d’un excès : elle permet d’optimiser le risque.
Comment appliquer la règle 3-2-1-1-0 dans la réalité
Mettre en œuvre cette stratégie n’exige pas de révolution, mais demande de la discipline.
1. Classer les données et les systèmes
Toutes les données n’ont pas besoin du même niveau de protection. C’est pourquoi il importe d’identifier les données critiques, légales et opérationnelles.
2. Définir l’emplacement de chaque copie
La production, la sauvegarde principale, la copie externe et la copie immuable doivent avoir des rôles clairs.
3. Activer l’immuabilité avec des durées définies
Cependant, l’immuabilité n’est pas éternelle : sa durée doit s’aligner sur les exigences légales et opérationnelles.
4. Tester régulièrement la restauration
Restaurer des fichiers, des bases de données et des applications, puis vérifier aussi l’intégrité et le bon fonctionnement.
5. Tout documenter
Résultats, échecs, délais et corrections. Après tout, sans documentation, le « 0 » n’existe pas.
Le rôle de la gestion documentaire dans cette stratégie
Une plateforme de gestion documentaire bien intégrée :
Centralise les rapports de sauvegarde et de restauration
Garantit la gestion des versions et l’historique
Conserve des preuves auditables
Automatise les approbations et les révisions
La stratégie 3-2-1-1-0 tient ou tombe selon la capacité à prouver ce que l’on a fait. Et cette preuve est documentaire.
Erreurs courantes qui annulent la règle de sauvegarde
Disposer d’une copie « immuable » mal configurée
Ne jamais tester la restauration
Supposer que le cloud est automatiquement sûr
Ne pas aligner l’informatique sur les exigences légales
Traiter la sauvegarde comme une tâche technique isolée
Par conséquent, la règle ne fonctionne que si l’organisation la considère comme un processus métier, et non comme une simple liste de contrôle technique.
Chaque composante de la règle et le risque qu’elle couvre
| Composante | Risque couvert | Question de vérification |
|---|---|---|
| 3 copies | Défaillance d’une copie isolée | Existe-t-il au moins deux copies en plus des données d’origine ? |
| 2 supports | Défaillance d’un type de technologie | Les copies se trouvent-elles sur des supports ou des services différents ? |
| 1 hors site | Incendie, inondation ou incident physique | Une copie se trouve-t-elle dans un lieu indépendant ? |
| 1 immuable ou hors ligne | Ransomware et suppression malveillante ou accidentelle | Existe-t-il une copie que personne ne peut modifier pendant la durée définie ? |
| 0 erreur | Des copies qui existent, mais qui ne fonctionnent pas | Le dernier test de restauration s’est-il déroulé sans erreur, et a-t-on documenté le résultat ? |
RPO et RTO : Les deux chiffres que la direction doit connaître
La règle de sauvegarde définit comment protéger les copies. Cependant, la direction doit connaître deux autres éléments : la quantité de données qu’elle peut perdre et la durée d’arrêt acceptable. Le RPO, ou objectif de point de reprise, indique la perte maximale acceptable, mesurée en temps. Par exemple, avec un RPO de quatre heures, on perd au pire les quatre dernières heures de travail. En revanche, le RTO, ou objectif de délai de reprise, indique le temps maximal pour rétablir le service.
Ainsi, ces deux chiffres orientent toutes les décisions techniques : la fréquence des copies, leur emplacement, le type de support et l’investissement. De plus, il faut les définir système par système. En effet, une plateforme de gestion documentaire critique n’a pas les mêmes exigences qu’une archive historique.
Exemple : Une attaque un vendredi soir
Un vendredi soir, un ransomware chiffre les serveurs d’une entreprise, puis supprime les copies de sauvegarde auxquelles il peut accéder. Le lundi, l’équipe découvre que l’attaque a compromis toutes les copies réinscriptibles. Cependant, la copie immuable, configurée avec une période de rétention de trente jours, reste intacte. Comme l’équipe réalisait des tests de restauration chaque mois, elle sait exactement quelles étapes suivre et combien de temps elles prennent. Ainsi, l’entreprise rétablit ses systèmes critiques en quelques heures. Sa perte de données se limite à l’intervalle écoulé depuis la dernière copie.
Sans copie immuable ni tests, la même attaque aurait laissé l’entreprise face à deux mauvaises options : perdre ses données ou négocier avec les attaquants.
De plus, la reprise ne s’arrête pas à la restauration technique. L’organisation doit d’abord vérifier l’intégrité des données restaurées. Elle doit aussi comprendre comment l’attaquant a pénétré le système et corriger cette faille avant de reprendre l’activité normale. C’est pourquoi le plan de reprise doit inclure ces étapes, avec des responsables désignés.
Indicateurs à suivre
- pourcentage de systèmes critiques disposant d’une copie immuable ;
- date et résultat du dernier test de restauration, par système ;
- temps réel de restauration par rapport au RTO défini ;
- copies échouées ou incomplètes au cours du dernier mois.
Questions fréquentes sur la règle de sauvegarde 3-2-1-1-0
Une plateforme dans le cloud dispense-t-elle de cette règle ?
Non. Au contraire, il convient de vérifier dans le contrat ce que le fournisseur protège et pendant combien de temps. Il faut aussi savoir comment l’organisation peut récupérer ses données. Dans de nombreux services, le fournisseur et le client se partagent la responsabilité des copies, et l’organisation doit assumer sa part.
À quelle fréquence faut-il tester la restauration ?
En général, les systèmes critiques doivent faire l’objet de tests réguliers, par exemple mensuels ou trimestriels. Il faut aussi tester après chaque changement important de l’infrastructure. De plus, testez au moins une fois par an la restauration complète d’un système, et pas seulement de fichiers isolés.
Qui doit approuver la stratégie de sauvegarde ?
La direction, sur proposition du service informatique. Après tout, les valeurs de RPO et de RTO sont des décisions métier. Elles reflètent l’impact que l’organisation est prête à accepter.
Questions pour la direction générale
- Connaissons-nous le RPO et le RTO définis pour nos systèmes critiques ?
- Quand avons-nous testé pour la dernière fois la restauration complète d’un système ?
- Existe-t-il une copie qu’un attaquant disposant d’un accès administrateur ne pourrait pas supprimer ?
En somme, la règle 3-2-1-1-0 ne vaut que par la discipline avec laquelle on l’applique. C’est pourquoi les copies immuables, les tests réguliers et les preuves documentées doivent entrer dans la routine. Ils ne doivent pas rester dans la seule documentation du projet initial.
La véritable valeur de la règle de sauvegarde 3-2-1-1-0
L’évolution de la règle ne vient pas d’une sophistication technologique. Elle vient du fait que les défaillances coûtent plus cher et que les attaques gagnent en intelligence.
Pourtant, les entreprises résilientes ne se demandent pas combien de sauvegardes elles possèdent. Au contraire, elles se demandent :
Quelle sauvegarde est immuable ?
Laquelle a-t-on testée ?
Laquelle puis-je restaurer aujourd’hui ?
La règle 3-2-1-1-0 ne promet pas l’invulnérabilité. En revanche, elle promet quelque chose de plus précieux : une maîtrise consciente du risque. C’est ce qui distingue les organisations préparées de celles qui espèrent simplement que tout ira bien.
À lire aussi : Ransomware et sauvegardes : Comment garantir que la restauration est vraiment possible et Sauvegardes sur les plateformes SaaS.
Pour les recommandations nationales en matière de cybersécurité et de prévention des ransomwares, consultez le CNCS, le centre national de cybersécurité portugais.