Règle de sauvegarde 3-2-1 expliquée : locale, cloud ou 3-2-1-1-0, quelle stratégie de sauvegarde pour protéger les données ?

La règle de sauvegarde 3-2-1 expliquée

La méthode 3-2-1 est une règle simple de sauvegarde des données, devenue une référence parmi les stratégies de protection des données : il ne suffit pas d’avoir une sauvegarde, il faut trois copies de données réparties ainsi :

Cette stratégie répond à une idée : aucune copie unique n’est fiable. Un disque dur tombe en panne, un NAS est chiffré par un ransomware, un local brûle. En multipliant les copies, les supports et les lieux, la stratégie 3-2-1 évite qu’un seul incident emporte à la fois les données de production et leur copie de sauvegarde. Elle permet de protéger les données contre la panne, le sinistre et la malveillance.

• 3 copies de vos données : les données de production et deux copies de sauvegarde.
• 2 types de supports différents : par exemple un NAS ou une sauvegarde sur un disque dur au bureau, et un stockage cloud.
• 1 copie hors site : une sauvegarde externe ou externalisée, à l’abri d’un sinistre du local, sur un autre type de support que la copie locale.

De la règle 3-2-1 au standard 3-2-1-1-0 : une stratégie de protection face aux ransomwares

La règle de sauvegarde 3-2-1-1-0 complète la méthode historique face aux ransomwares. Le premier « 1 » ajoute une copie immuable ou hors ligne : une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant sa durée de rétention, même avec un compte d’administration compromis. Le « 0 » exige zéro erreur à la restauration : les sauvegardes sont vérifiées et testées, pas seulement exécutées.

Pour une PME dont l’activité dépend de ses fichiers, de sa messagerie ou de ses bases de données, la stratégie 3-2-1-1-0 est aujourd’hui la stratégie de sauvegarde robuste de référence.

Mettre en œuvre une stratégie de sauvegarde 3-2-1 dans une PME

Mettre en œuvre cette stratégie commence par un inventaire : quelles sont les données critiques, où se trouvent-elles, quel volume de données faut-il protéger, et combien de temps l’entreprise peut-elle s’en passer ? Serveurs, postes, bases de données, applications métier et tenant Microsoft 365 n’ont pas les mêmes besoins.

Viennent ensuite le choix du type de sauvegarde — complète, incrémentale ou différentielle —, la sauvegarde automatique planifiée, le chiffrement de chaque sauvegarde stockée hors site et la durée de rétention. La mise en place d’une stratégie de backup ne s’arrête pas à l’outil : une bonne stratégie de sauvegarde se vérifie par des restaurations régulières.

La vitesse de restauration : sauvegarde locale ou sauvegarde dans le cloud

C’est au moment de restaurer qu’une sauvegarde révèle sa valeur, et les scénarios n’ont rien de comparable : récupérer un fichier écrasé, remonter une base de données, reconstruire un serveur complet. Le bon réflexe consiste à définir, pour chaque scénario, le délai de reprise acceptable — c’est la notion de RTO — puis à vérifier que l’architecture envisagée peut le tenir.

La copie locale excelle sur les cas courants : les données sont sur place, la restauration ne transite par aucun lien. Le cloud seul impose de faire redescendre les données par internet ; restaurer un fichier reste simple, reconstruire un serveur entier dépend des volumes et du débit disponible. La règle 3-2-1 tranche ce dilemme : le quotidien se restaure depuis la copie locale, la copie hors site sert de recours pour les scénarios graves.

Ransomware : la sécurité des données sauvegardées

Les attaques par ransomware cherchent fréquemment à chiffrer ou à effacer les sauvegardes avant de frapper la production, précisément pour empêcher la restauration. Un disque branché en permanence ou un NAS accessible depuis le réseau avec des comptes partagés subit alors le même sort que les serveurs qu’il est censé protéger.

Le cloud seul améliore la situation à une condition : que les accès soient cloisonnés, avec des identifiants dédiés, distincts des comptes d’administration du réseau. L’architecture 3-2-1 va plus loin : elle sépare les copies et cloisonne les accès aux sauvegardes, de sorte qu’un même événement ait moins de chances de compromettre l’ensemble du dispositif.

La dépendance au lien internet, dans les deux sens

Avec un dispositif entièrement cloud, le lien internet devient un maillon du plan de sauvegarde : les travaux y transitent, et chaque restauration l’emprunte en sens inverse. Une coupure suspend les deux. Pour un site dont la connexion est modeste, fenêtre de sauvegarde et délais de restauration doivent être examinés avant de s’engager.

La sauvegarde locale seule échappe à cette contrainte — c’est l’un de ses vrais atouts. La règle 3-2-1 en hérite : la copie locale reste exploitable sans le lien, la copie externalisée n’étant sollicitée que si le local n’est plus utilisable. La dépendance à internet devient un cas de repli, pas une condition de fonctionnement.

L’immutabilité : la copie que réclame le standard 3-2-1-1-0

Une copie immuable ne peut être ni modifiée ni supprimée pendant une durée définie, y compris avec des droits d’administration. Face à un attaquant disposant de privilèges élevés — le scénario type d’un ransomware abouti —, elle est conçue pour rester exploitable là où les copies ordinaires peuvent être chiffrées ou effacées.

L’immutabilité existe sur certains équipements locaux comme chez des hébergeurs cloud ; ce n’est pas l’exclusivité d’un modèle. Elle ne remplace pourtant ni la copie hors site — elle ne protège pas d’un incendie si elle se trouve dans le local — ni les tests : une copie intacte mais incomplète reste inexploitable. Dans une architecture 3-2-1, elle vient en renfort, avec une durée définie selon la criticité des données.

Les tests : ce qui sépare une sauvegarde d’une hypothèse

Des journaux verts ne prouvent pas qu’une copie est exploitable : un travail « réussi » peut produire une restauration incomplète ou corrompue. Le seul contrôle probant consiste à restaurer réellement — un fichier, une machine virtuelle, une boîte aux lettres —, à vérifier l’intégrité du résultat, puis à documenter l’exercice.

Ce critère départage moins les architectures que les pratiques : une sauvegarde locale testée chaque trimestre vaut mieux qu’un dispositif 3-2-1 sophistiqué que personne ne restaure. Notre position est simple : la fréquence des tests, comme les objectifs de reprise (RTO) et de perte de données admissible (RPO), s’écrit dans le contrat de service.