Sauvegardes : la règle 3-2-1-1-0 qui protège une PME face au rançongiciel

Lundi, 7 h 30. Les fichiers portent tous une extension inconnue. Un fichier texte sur le bureau annonce le montant de la rançon.

Le dirigeant est serein : les sauvegardes tournent toutes les nuits. Jusqu’à ce que l’équipe constate que le serveur de sauvegarde est chiffré lui aussi.

C’est devenu le scénario classique. Les attaquants ne se contentent plus de chiffrer vos données de production : ils cherchent d’abord vos sauvegardes, parce que c’est ce qui vous permettrait de dire non.

La parade tient en cinq chiffres : 3-2-1-1-0. Voici ce qu’ils veulent dire, et comment les appliquer dans une PME.

Pourquoi l’ancienne règle ne suffit plus

Pendant vingt ans, la référence s’appelait 3-2-1 : trois copies, deux supports, une copie hors site. Elle protégeait très bien contre l’incendie, le vol et la panne matérielle.

Elle ne protège pas contre un attaquant qui, une fois entré, dispose de plusieurs jours pour explorer votre réseau. S’il atteint votre console de sauvegarde avec des droits d’administrateur, il efface ou chiffre vos copies avant de déclencher l’attaque.

D’où deux chiffres ajoutés à la règle. Ce sont précisément eux qui font la différence face à un rançongiciel.

La règle 3-2-1-1-0, chiffre par chiffre

3 — Trois copies de vos données

La version originale, plus deux sauvegardes. Pas trois fichiers dans trois dossiers du même serveur : trois copies réellement distinctes.

2 — Sur deux types de supports différents

Un disque local et un stockage cloud, par exemple. L’objectif : qu’une défaillance touchant un type de matériel n’emporte pas tout.

1 — Une copie hors site

Dans un autre bâtiment, idéalement dans un autre datacenter. Un disque externe rangé dans le bureau d’à côté ne compte pas : l’incendie, le dégât des eaux et le cambriolage emportent les deux.

1 — Une copie que personne ne peut modifier

C’est le chiffre qui change tout. Cette copie est verrouillée pendant une durée que vous fixez : trente jours, par exemple. Pendant ce délai, elle ne peut être ni modifiée ni supprimée. Ni par un attaquant, ni par un administrateur, ni par vous.

C’est ce qui vous permet de restaurer même si l’attaquant a obtenu tous les droits sur votre réseau. On parle de sauvegarde immuable, ou de copie hors ligne quand il s’agit d’une bande physiquement déconnectée.

0 — Zéro erreur à la vérification

Le dernier chiffre est le plus négligé, et c’est celui qui décide de tout : vos sauvegardes sont-elles réellement restaurables ?

Une sauvegarde qui se termine sans message d’erreur n’est pas une sauvegarde vérifiée. Tant que personne n’a remonté les données dans un environnement de test, vous avez une intention, pas une garantie.

À retenir
Les deux derniers chiffres sont ceux qui répondent au rançongiciel. Le 1 immuable garantit qu’il reste une copie intacte. Le 0 garantit qu’elle fonctionne.

À quoi ça ressemble dans une PME

Concrètement, pour une entreprise de trente personnes avec quelques serveurs :

• Une sauvegarde quotidienne sur un stockage local, pour restaurer vite un fichier effacé par erreur.
• Une réplication vers un second datacenter, dans une autre ville.
• Une copie verrouillée trente jours, inaccessible en écriture.
• Un test de restauration documenté chaque trimestre, avec la date notée quelque part.

Chez HostMe, c’est le socle que nous déployons avec Veeam pour nos clients, sur nos deux datacenters français de Roubaix et Strasbourg. La copie verrouillée et les tests de restauration font partie du service, pas d’une option à cocher.

Les trois questions à poser à votre prestataire

• Où sont physiquement mes copies ? S’il n’y en a qu’une seule, dans un seul lieu, le dossier est clos.
• Une de mes copies est-elle verrouillée en écriture ? Si la réponse est non, un attaquant avec les droits d’administrateur peut tout effacer.
• À quelle date remonte la dernière restauration testée ? La seule bonne réponse est une date précise.

Ce que la sauvegarde ne règle pas

Soyons honnêtes sur un point : une sauvegarde bien construite vous évite de payer et vous remet en route. Elle n’empêche pas la publication de vos données si l’attaquant les a d’abord copiées.

C’est d’ailleurs la tendance relevée par l’ANSSI dans son Panorama de la cybermenace 2025 : le chiffrement recule au profit du vol de données suivi d’un chantage à la publication.

La sauvegarde reste donc votre filet de sécurité, pas votre seule protection. Elle se combine avec le contrôle des accès, la supervision et la capacité à détecter une intrusion avant qu’elle ne produise ses effets.

Un sujet de direction, pas seulement de technique

Trois évolutions ont déplacé ce sujet vers le bureau du dirigeant.

Les questionnaires de sécurité de vos clients comportent systématiquement une question sur la date de votre dernière restauration testée. Les assureurs cyber conditionnent de plus en plus leur couverture à l’existence d’une copie verrouillée. Et les nouvelles obligations européennes engagent directement la responsabilité des dirigeants sur les mesures de continuité.

Autrement dit, la question n’est plus « est-ce qu’on sauvegarde ? », mais « est-ce qu’on peut le prouver ? ».

À retenir
Passer de 3-2-1 à 3-2-1-1-0 ne demande pas de tout reconstruire. Il manque souvent deux choses : une copie verrouillée, et un test de restauration inscrit à l’agenda.

Où en sont vos sauvegardes ?

Vous ne savez pas si une de vos copies est réellement verrouillée, ni quand la dernière restauration a été testée ? Notre diagnostic risques et dépendances dure 30 minutes : un ingénieur passe en revue vos sauvegardes, votre plan de reprise, vos accès et votre capacité de détection. Vous repartez avec un compte rendu écrit et les écarts à combler. Gratuit et sans engagement.

Demander mon diagnostic risques

La règle 3-2-1-1-0 est une bonne pratique de référence, popularisée par Veeam. Tendances de la menace : ANSSI, Panorama de la cybermenace 2025.