Sauvegardes en PME : la règle 3-2-1 expliquée aux dirigeants
Trois copies, deux supports, une hors site : la règle 3-2-1 en langage clair, sa variante anti-rançongiciel et comment tester vos sauvegardes.
Presque toutes les PME que je rencontre me disent : « On a des sauvegardes. » C’est une bonne nouvelle. La question suivante est plus délicate : « Quand avez-vous restauré quelque chose pour la dernière fois? » Là, il y a souvent un silence.
Une sauvegarde n’a de valeur que le jour où on en a besoin. Voici comment vous assurer que ce jour-là, elle sera au rendez-vous.
La règle 3-2-1, en une phrase
Trois copies de vos données, sur deux supports différents, dont une hors site.
- 3 copies : vos données de travail, plus deux sauvegardes. Si une copie est corrompue, il en reste une autre.
- 2 supports : par exemple un appareil de sauvegarde dans vos locaux et un service infonuagique. Une même panne ne touche pas les deux.
- 1 hors site : une copie loin de vos bureaux. Un incendie, un dégât d’eau ou un vol ne doit pas emporter vos données avec votre équipement.
Cette règle existe depuis longtemps, et elle reste la base. Mais les rançongiciels ont changé la donne.
Pourquoi 3-2-1 ne suffit plus tout à fait
Un rançongiciel ne se contente pas de chiffrer vos fichiers. Les attaquants cherchent activement vos sauvegardes pour les détruire avant de passer à l’action, afin que vous n’ayez pas d’autre choix que de payer.
Si votre sauvegarde est accessible avec le même compte administrateur que votre réseau, elle peut tomber en même temps que le reste.
D’où la variante 3-2-1-1-0 :
- 1 copie immuable ou hors ligne : une sauvegarde qui ne peut pas être modifiée ni supprimée pendant une période donnée, même par un administrateur. C’est votre police d’assurance contre les rançongiciels.
- 0 erreur : les sauvegardes sont vérifiées et les restaurations testées, sans erreur.
Ce qu’il faut sauvegarder (et qu’on oublie)
| Élément | Souvent oublié? | Pourquoi c’est important |
|---|---|---|
| Serveur de fichiers | Non | Le cœur des documents de l’entreprise |
| Logiciel métier et sa base de données | Parfois | Dossiers clients, facturation, rendez-vous |
| Microsoft 365 (courriels, OneDrive, SharePoint, Teams) | Oui | Microsoft n’est pas votre service de sauvegarde |
| Postes de travail | Souvent | Fichiers enregistrés « sur le bureau » |
| Configuration du réseau et des pare-feu | Oui | Accélère énormément la remise en marche |
| Mots de passe et documentation | Oui | Sans eux, on restaure à l’aveugle |
Le cas de Microsoft 365 surprend souvent. Microsoft s’engage à ce que son service reste disponible, mais la responsabilité de vos données vous revient. Les corbeilles et la rétention ont des limites de temps, et une suppression massive ou un rançongiciel qui synchronise des fichiers chiffrés peut vous laisser sans version saine.
Les trois questions à poser à votre fournisseur
- Où sont nos sauvegardes, et combien de copies existe-t-il? Vous devriez pouvoir dessiner le schéma 3-2-1 de votre entreprise.
- Une copie est-elle immuable ou hors ligne? Si la réponse est vague, c’est non.
- Quand avez-vous restauré quelque chose pour la dernière fois, et combien de temps ça a pris? La réponse vous dit si la sauvegarde fonctionne et combien de temps vous seriez arrêté.
Tester, c’est la vraie protection
Un courriel « Sauvegarde réussie » confirme qu’une tâche s’est exécutée. Il ne confirme pas que vous pourrez récupérer vos données.
Un bon test de restauration :
- restaure réellement des fichiers, une boîte courriel ou un serveur complet dans un environnement de test;
- vérifie que les données sont lisibles et à jour;
- mesure le temps nécessaire, pour savoir combien de temps vous seriez arrêté en cas de vrai sinistre;
- est documenté, avec la date et le résultat.
Faites-le au moins quelques fois par année, et après chaque changement important : nouveau serveur, nouveau logiciel, migration.
Combien de temps garder les sauvegardes?
Ça dépend de vos obligations (fiscales, professionnelles, légales) et de votre tolérance au risque. Une règle pratique : gardez des points de restauration quotidiens pour quelques semaines, puis des copies mensuelles plus longtemps. Un rançongiciel peut dormir dans un réseau plusieurs semaines avant de se déclencher; une rétention trop courte peut ne contenir que des copies déjà infectées.
En résumé
- 3-2-1 : trois copies, deux supports, une hors site.
- Ajoutez une copie immuable contre les rançongiciels.
- Sauvegardez Microsoft 365 de façon indépendante.
- Testez les restaurations, mesurez le temps, documentez.
Pour savoir combien de temps vous pouvez être arrêté et combien de données vous pouvez perdre, lisez aussi mon article sur le plan de reprise après sinistre.
Vous n’êtes pas certain que vos sauvegardes tiendraient le coup? Écrivez-moi, on peut en parler.
Questions fréquentes
Qu'est-ce que la règle de sauvegarde 3-2-1?
Garder trois copies de vos données (l'original et deux sauvegardes), sur deux types de support différents, dont une copie conservée hors site. Ainsi, aucun incident unique ne peut tout détruire.
Microsoft 365 sauvegarde-t-il mes courriels et mes fichiers?
Microsoft assure la disponibilité de son service, mais la conservation des données a des limites de durée et ne protège pas contre toutes les suppressions ou un rançongiciel. Une sauvegarde indépendante de Microsoft 365 est recommandée.
À quelle fréquence faut-il tester une restauration?
Au minimum quelques fois par année, et après tout changement important. Le test doit restaurer réellement des fichiers ou un serveur, pas seulement vérifier que la tâche de sauvegarde a réussi.