La règle de sauvegarde 3-2-1, expliquée à un dirigeant de PME

Pourquoi ce sujet, et pourquoi maintenant

La sauvegarde est le sujet dont personne ne veut parler jusqu'au jour où elle est la seule chose qui compte. Ce jour-là, il est trop tard pour bien faire.

Le contexte a changé. Le rançongiciel n'est plus un fléau réservé aux grands groupes : d'après le rapport 2025 de Verizon sur les compromissions de données, il est présent dans 44 % des compromissions analysées — et cette part grimpe à 88 % pour les petites et moyennes entreprises. Autrement dit : quand une PME est touchée, c'est presque toujours par un logiciel qui chiffre ses fichiers et réclame une rançon.

Et les attaquants ont compris où se trouve le vrai point de bascule. Ils ne se contentent plus de chiffrer vos serveurs : ils cherchent d'abord vos sauvegardes, pour les effacer ou les chiffrer elles aussi. Une sauvegarde intacte transforme une demande de rançon en simple contretemps ; une sauvegarde détruite vous laisse le choix entre payer et tout perdre. C'est exactement ce point que la règle 3-2-1 vient protéger.

La règle 3-2-1, en une phrase

Elle tient dans une consigne : gardez au moins 3 copies de vos données, sur 2 types de supports différents, dont 1 conservée hors de vos locaux. Chacun de ces chiffres répond à un risque précis.

3 copies : contre l'effacement et la corruption

Vos données de production, plus deux sauvegardes. Pourquoi deux et pas une ? Parce qu'une sauvegarde peut être corrompue, incomplète, ou avoir échoué en silence la nuit où vous en aviez besoin. Avec deux copies indépendantes, la probabilité que les deux soient inutilisables en même temps devient négligeable. La copie de production ne compte pas comme une sauvegarde : c'est justement elle que vous cherchez à protéger.

2 supports différents : contre la panne matérielle

Deux copies sur le même serveur, ou sur deux disques du même boîtier, partagent le même destin : une panne d'alimentation, une surtension, un vol, et les deux disparaissent ensemble. Répartir les copies sur des supports de nature différente — un serveur d'un côté, un stockage réseau (NAS) ou un service cloud de l'autre — casse cette dépendance. Le principe est simple : deux copies ne doivent jamais pouvoir mourir de la même cause.

1 copie hors site : contre le sinistre et le rançongiciel

C'est le maillon que les PME négligent le plus, et c'est le plus important. Un incendie, un dégât des eaux, un cambriolage ou un rançongiciel qui se propage sur le réseau local peuvent emporter d'un coup tout ce qui se trouve dans vos murs — y compris la sauvegarde branchée juste à côté du serveur. Une copie tenue à l'écart, dans un autre lieu ou dans un cloud, est ce qui reste debout quand le site est à terre. Pour la plupart des PME, ce « 1 » externalisé est le chantier prioritaire.

Les erreurs qu'on rencontre le plus souvent

La règle est simple ; ce sont les fausses bonnes idées qui la vident de sa substance.

• Confondre synchronisation et sauvegarde. Un dossier partagé qui se synchronise en temps réel (le lecteur d'équipe habituel) n'est pas une sauvegarde : si un fichier est chiffré ou supprimé, la modification se propage aussitôt à toutes les copies. La synchronisation recopie l'erreur ; la sauvegarde en garde une version d'avant.
• Laisser la sauvegarde branchée en permanence. Un disque externe toujours connecté, ou un partage réseau accessible depuis les postes, sera chiffré en même temps que le reste le jour de l'attaque. Une bonne sauvegarde est hors de portée du poste qu'elle protège.
• Ne jamais tester la restauration. Une sauvegarde qu'on n'a jamais restaurée est une hypothèse, pas une garantie. On découvre trop souvent le fichier illisible, la base incomplète ou le mot de passe oublié au pire moment. Restaurer pour de vrai, ne serait-ce qu'un dossier, une fois par trimestre, est le seul test qui vaille.

3-2-1-1-0 : ce que la menace rançongiciel a ajouté

Face aux attaques qui visent les sauvegardes elles-mêmes, une extension de la règle s'est imposée ces dernières années. On y ajoute deux exigences : 1 copie immuable — écrite une fois, impossible à modifier ou à effacer pendant une durée définie, même avec un compte administrateur compromis — et 0 erreur, c'est-à-dire une sauvegarde dont la restauration a été vérifiée. Ces deux ajouts ne remplacent pas le 3-2-1 : ils le blindent contre un adversaire qui, désormais, sait chercher vos copies de secours avant de frapper.

Un mot sur la rançon, puisque la question revient toujours : les autorités françaises, de l'ANSSI à cybermalveillance.gouv.fr, déconseillent de payer. Payer ne garantit jamais de récupérer ses données, alimente le modèle économique des attaquants, et ne vous met à l'abri d'aucune récidive. Une sauvegarde qui tient est, très concrètement, ce qui vous permet de refuser.

Ce qu'une PME peut faire cette semaine

Rien de tout cela ne réclame le budget d'un grand groupe :

• Faire l'inventaire de ce qui est vital. Comptabilité, fichier clients, devis et factures, boîtes mail, documents de production : listez ce dont l'absence bloquerait l'activité. C'est ce périmètre-là qu'il faut sauvegarder en priorité.
• Compter vos copies. Combien avez-vous de copies réelles de ces données aujourd'hui, et sur quels supports ? Beaucoup de PME découvrent qu'elles n'en ont qu'une, ou deux sur le même appareil.
• Sortir une copie des murs. C'est le « 1 » de la règle, le plus rentable : un cloud de sauvegarde ou un support tournant conservé ailleurs suffit à changer de catégorie de risque.
• Isoler la sauvegarde. Elle ne doit pas être accessible en écriture depuis les postes de travail au quotidien. Immuabilité côté cloud, ou support déconnecté après copie.
• Programmer un test de restauration. Une date dans l'agenda, un dossier restauré, la preuve que ça marche. C'est le contrôle qui distingue une sauvegarde d'une illusion de sauvegarde.

Cette logique de cloisonnement — empêcher qu'un seul incident emporte tout — est la même que celle que nous appliquons quand nous séparons les réseaux d'un établissement, ou quand nous rappelions, à propos de la vague de failles SharePoint, qu'on ne peut plus miser uniquement sur la prévention. La sauvegarde, c'est le filet en dessous : elle n'empêche pas la chute, elle décide de sa gravité.

Notre lecture

La sauvegarde n'a rien de spectaculaire. Elle ne se voit pas, ne se vante pas, et on ne pense à elle qu'une fois — celle de trop. C'est précisément pour ça qu'elle est reléguée, année après année, au bas de la liste des priorités.

Pourtant, aucun autre investissement de sécurité n'offre un rapport aussi favorable : quelques dizaines d'euros par mois et une heure de mise en place contre la survie de l'entreprise le jour d'une attaque. Le bon moment pour vérifier que votre règle 3-2-1 tient debout, c'est aujourd'hui — jamais le matin où vous en avez besoin.

Source chiffrée : Verizon, 2025 Data Breach Investigations Report (part du rançongiciel dans les compromissions, dont celles des PME). Les recommandations sur le refus du paiement des rançons émanent de l'ANSSI et de cybermalveillance.gouv.fr.