Sécurité
Sauvegardes : la règle 3-2-1 expliquée aux dirigeants
Trois copies, deux supports, une hors site : la règle de base des sauvegardes, pourquoi Microsoft 365 ou Google Workspace ne suffisent pas, et l'importance de tester la restauration.
4 min de lecture
L'essentiel
- 3 copies, 2 supports différents, 1 copie hors site, et une copie hors d'atteinte des rançongiciels.
- La synchronisation cloud n'est pas une sauvegarde.
- Une sauvegarde jamais restaurée n'est qu'un espoir : testez au moins chaque trimestre.
Un rançongiciel, un serveur qui lâche, un fichier écrasé par erreur, un ordinateur volé : le jour où il faut restaurer des données, il est trop tard pour se demander si les sauvegardes étaient bien faites. La règle 3-2-1 est le socle de toute stratégie de sauvegarde. Elle tient en trois chiffres.
La règle 3-2-1
La version moderne : 3-2-1-1-0
Face aux rançongiciels, qui cherchent aussi à chiffrer ou supprimer les sauvegardes, la règle s'est enrichie :
- 1 copie hors ligne ou immuable : déconnectée, ou impossible à modifier ou supprimer pendant une durée donnée, même avec un compte administrateur.
- 0 erreur à la restauration : les sauvegardes sont vérifiées et les restaurations testées.
« Mes fichiers sont dans le cloud, ça suffit »
C'est l'idée reçue la plus répandue, et la plus dangereuse.
- La synchronisation n'est pas une sauvegarde. Un fichier supprimé ou chiffré par un rançongiciel est supprimé ou chiffré partout.
- Les services en ligne garantissent la disponibilité, pas la conservation. Microsoft 365 ou Google Workspace assurent que le service fonctionne, mais la corbeille et l'historique des versions ont des durées limitées. La protection de vos données contre la suppression reste en grande partie votre responsabilité.
- Un compte compromis peut tout effacer. Sans copie indépendante, il n'y a pas de retour en arrière.
Une sauvegarde indépendante de vos services en ligne (messagerie, fichiers, CRM) est donc indispensable.
Deux questions pour dimensionner vos sauvegardes
| Question | Ce qu'elle détermine | Exemple |
|---|---|---|
| Combien de travail puis-je accepter de perdre ? | La fréquence des sauvegardes | Une journée → sauvegarde quotidienne |
| Combien de temps puis-je rester à l'arrêt ? | La méthode et le support de restauration | Quelques heures → restauration rapide, préparée et testée |
Les informaticiens parlent de RPO (perte de données maximale acceptable) et de RTO (durée d'interruption maximale acceptable). Les réponses varient selon les systèmes : un site de vente et des archives n'ont pas les mêmes exigences.
Que faut-il sauvegarder ?
- les fichiers et documents partagés ;
- la messagerie ;
- les bases de données des applications métier et du site ;
- les données des services en ligne (CRM, outils de gestion), via leurs exports ou leurs API ;
- les configurations : serveurs, réseau, sites, pour reconstruire vite ;
- la documentation et les accès nécessaires à la restauration, stockés à part.
Tester, tester, tester
Une sauvegarde jamais restaurée n'est qu'un espoir.
Les causes d'échec sont nombreuses : sauvegarde incomplète, support corrompu, mot de passe de chiffrement perdu, procédure que personne ne connaît. Prévoyez un test de restauration au moins chaque trimestre pour vos données essentielles, et une simulation complète une fois par an.
Pour aller plus loin
Les sauvegardes sont l'un des 10 points de sécurité à vérifier dans votre PME, et un point essentiel de tout contrat d'infogérance. Dans notre offre d'infogérance, les sauvegardes sont régulières, testées, et accompagnées d'une procédure de restauration.