La règle de sauvegarde 3-2-1 : vos données sont-elles vraiment protégées ?

Un rançongiciel chiffre le serveur un lundi matin. Un employé vide par erreur un dossier partagé. Un portable tombe en panne juste avant une échéance. Dans les trois cas, une seule question compte : peut-on tout récupérer, et jusqu’à quelle date ? La règle 3-2-1 est la réponse la plus simple que recommandent les autorités en cybersécurité. Voici ce qu’elle demande, et pourquoi Microsoft 365 ne la remplace pas.

La règle 3-2-1, en une phrase

Le Centre canadien pour la cybersécurité la résume ainsi : gardez trois copies de vos données, soit l’original et deux sauvegardes, sur deux types de supports différents, dont une copie hors site (ITSAP.40.002).

Chaque chiffre a une raison.

• Trois copies, parce qu’une sauvegarde unique peut elle-même être corrompue, effacée ou chiffrée.
• Deux supports, parce qu’une même panne (un disque, un appareil, un fournisseur) ne doit pas toucher toutes les copies.
• Une copie hors site, parce qu’un incendie, un dégât d’eau ou un vol au bureau emporte tout ce qui s’y trouve.

Pourquoi une copie hors ligne change tout contre les rançongiciels

Un rançongiciel chiffre ce qu’il peut atteindre. Une sauvegarde branchée en permanence au réseau est donc souvent chiffrée avec le reste. Le Centre canadien recommande des sauvegardes hors ligne, branchées seulement au besoin, que les cybermenaces comme les rançongiciels ne peuvent pas cibler (ITSAP.40.002). Son guide sur les rançongiciels va plus loin : au moins deux sauvegardes stockées hors ligne, impossibles à joindre par votre réseau ou votre connexion Internet, avec une copie secondaire possible chez un fournisseur infonuagique (ITSM.00.099).

Le même guide rappelle un point que bien des dirigeants découvrent trop tard : payer la rançon ne garantit pas le retour des données.

Microsoft 365 n’est pas une sauvegarde complète

Beaucoup de PME pensent que leurs courriels et leurs fichiers sont « dans le nuage », donc en sécurité. Microsoft 365 garde effectivement les éléments supprimés pendant un certain temps, mais ce temps est court et prévu pour corriger une erreur, pas pour reprendre après une attaque.

• Exchange Online garde les éléments supprimés définitivement 14 jours par défaut, et jusqu’à 30 jours si un administrateur le règle (Microsoft).
• SharePoint garde les éléments de la corbeille 93 jours, après quoi ils sont supprimés pour de bon (Microsoft).

Microsoft vend d’ailleurs une offre distincte, la Sauvegarde Microsoft 365, facturée selon l’espace protégé, qui couvre SharePoint, OneDrive et Exchange et dont les cas d’usage nommés sont les rançongiciels et les suppressions accidentelles ou malveillantes (Microsoft). Si une telle offre existe, c’est que la corbeille ne suffit pas.

Une erreur remarquée après trois semaines, un compte compromis qui efface une boîte aux lettres, un employé parti dont le OneDrive a été supprimé : dans ces cas, seule une vraie sauvegarde, gardée ailleurs, permet de revenir en arrière.

À quelle fréquence sauvegarder ?

La bonne fréquence dépend de ce que vous accepteriez de perdre. Le Centre canadien décrit trois façons de faire, qui se combinent (ITSAP.40.002) :

• la sauvegarde complète, qui copie tout, à faire périodiquement (chaque semaine ou chaque mois) et avant toute mise à niveau importante ;
• la sauvegarde différentielle, qui copie ce qui a changé depuis la dernière sauvegarde complète ;
• la sauvegarde incrémentielle, qui copie ce qui a changé depuis la dernière sauvegarde, quelle qu’elle soit.

En pratique, une PME combine souvent une sauvegarde complète hebdomadaire et des sauvegardes plus légères chaque jour. Ce qui compte est de choisir ce rythme à l’avance, par écrit, plutôt que de le découvrir le jour d’une panne.

Le test de restauration : la seule preuve qui compte

Une sauvegarde qui n’a jamais été restaurée est une promesse, pas une preuve. Le Centre canadien recommande de tester régulièrement la reprise à partir des sauvegardes (ITSAP.40.002), par exemple tous les mois (ITSM.00.099).

Un test utile répond à trois questions :

1. Les données reviennent-elles ? Restaurer un dossier, une boîte aux lettres, une machine.
2. Combien de temps dure la reprise ? La durée réelle mesurée, pas celle de la fiche technique.
3. Jusqu’à quand ? La date de la plus récente copie intacte, donc ce qui serait perdu.

Par où commencer dans une PME de 10 à 100 employés

1. Faire l’inventaire de ce qui doit survivre : serveurs, postes clés, courriels, fichiers partagés, applications métier.
2. Vérifier les trois chiffres : combien de copies existent vraiment, sur combien de supports, et laquelle est hors site et hors ligne.
3. Chiffrer les données sensibles, comme le recommande le Centre canadien, et pour une sauvegarde infonuagique, vérifier la sécurité du fournisseur, sa gestion des incidents et l’endroit où les données sont gardées (ITSAP.40.002).
4. Couvrir Microsoft 365 par une sauvegarde à part, de Microsoft ou d’un fabricant comme Veeam (voir notre page Sauvegarde Veeam).
5. Tester une restauration et noter le résultat, chaque mois.

Pour qu’un test de restauration et l’état des sauvegardes fassent partie d’un suivi régulier, la revue de sécurité mensuelle de MPJM vous remet chaque mois un rapport écrit de ce qui s’est passé sur votre réseau.

Et maintenant ?

Vous ne savez pas combien de copies de vos données existent vraiment, ni laquelle survivrait à un rançongiciel ? Demandez l’analyse réseau gratuite de MPJM.