Qu’est-ce que la règle 3-2-1 et pourquoi structure-t-elle toute stratégie de sauvegarde ?
La règle 3-2-1 est un cadre de référence en sauvegarde informatique : conserver 3 copies de chaque donnée critique, sur 2 supports différents, dont 1 hors ligne selon la formulation de la CNIL — en pratique, une copie déconnectée du réseau et le plus souvent hébergée ailleurs. Ce triptyque limite le risque qu’un incident unique — panne, incendie, ransomware — détruise simultanément l’original et ses secours.
Pour un dirigeant, ce modèle 3-2-1 se lit comme une police d’assurance à trois niveaux. La première copie est la donnée en production, celle que vos équipes utilisent au quotidien. La deuxième vit sur un support local rapide, typiquement un NAS ou un serveur dédié, qui permet une restauration de données en quelques minutes après une suppression accidentelle. La troisième copie part ailleurs : cloud, datacenter distant, disque emporté chez un tiers. C’est elle qui vous sauve d’un sinistre physique ou d’une attaque qui chiffre tout le site.
La CNIL cite explicitement ce cadre comme « état de l’art en matière de sauvegarde » (Source : CNIL – Sécurité : Sauvegarder, 2024). Ce n’est donc pas un choix technique parmi d’autres, mais une base attendue en cas de contrôle ou de sinistre. Le risque est documenté : dans son Panorama de la cybermenace 2025, l’ANSSI établit que les PME, TPE et ETI représentent 48 % des victimes de rançongiciel en 2025, contre 37 % un an plus tôt (Source : ANSSI, Panorama de la cybermenace 2025). Sans sauvegarde hors site correctement isolée, l’impact d’une telle attaque devient très souvent irréversible pour une PME.
Comment appliquer la règle 3-2-1 en PME sans complexité technique ?
Traduire ce principe dans une TPE ou PME de 5 à 50 postes tient en trois décisions concrètes : quelles données sauvegarder, sur quels supports, à quelle fréquence. Nul besoin d’infrastructure lourde. Un NAS local bien configuré, un service de stockage cloud professionnel et une routine claire suffisent à couvrir l’essentiel.
Commencez par cartographier les données vraiment critiques : comptabilité, bases clients, dossiers en cours, messagerie, fichiers métier. Tout n’a pas la même valeur, et vouloir tout sauvegarder de la même façon fait exploser les coûts sans améliorer la résilience. Un dirigeant doit pouvoir répondre à deux questions simples : combien de temps peut-on tourner sans ces données (RTO), et combien de données peut-on se permettre de perdre entre deux sauvegardes (RPO) ?
Vient ensuite le choix des supports. Le NAS interne assure la copie locale, avec réplication automatique depuis les postes et serveurs. Le choix entre sauvegarde externalisée et interne dépend de votre volume, de votre bande passante et de vos obligations RGPD. Une solution cloud managée apporte la copie hors site, idéalement avec immuabilité des données — c’est-à-dire une rétention verrouillée, impossible à effacer même par un administrateur compromis. Cette couche est devenue déterminante face aux ransomwares qui ciblent désormais les sauvegardes en priorité.
Enfin, planifiez. Une sauvegarde automatique quotidienne, une vérification hebdomadaire des journaux, un test de restauration au moins trimestriel : ces trois rendez-vous constituent le socle d’une sauvegarde vraiment fiable en PME. Sans test régulier, vous n’avez pas une sauvegarde, vous avez une hypothèse.
Quelles sont les erreurs fréquentes qui font échouer une règle 3-2-1 ?
Une checklist d’auto-évaluation utile pour un dirigeant tient en cinq questions : mes sauvegardes tournent-elles vraiment, sont-elles isolées du réseau principal, une copie est-elle réellement hors site, ai-je testé une restauration récente, mon prestataire peut-il documenter un plan de reprise d’activité (PRA) ? Un « non » sur l’un de ces points annule tout le dispositif.
L’erreur la plus courante consiste à confondre synchronisation et sauvegarde. Un dossier partagé qui se réplique en temps réel entre plusieurs machines ne vous protège pas d’une suppression ni d’un chiffrement malveillant : l’effacement se propage aussi vite que les données. Sans historique de versions et sans rétention verrouillée, ce n’est pas une stratégie 3-2-1, c’est une illusion de sécurité.
Deuxième piège : la copie « hors site » qui n’en est pas une. Un disque externe branché en permanence sur le serveur, un NAS secondaire dans la même armoire, un cloud accessible avec les mêmes identifiants que le domaine Active Directory… tout cela partage le même destin que la production en cas d’attaque. Une sauvegarde hors site doit être physiquement ou logiquement isolée, avec des accès distincts.
Troisième angle mort : l’absence de test. Beaucoup de PME découvrent le jour du sinistre que les fichiers de sauvegarde sont corrompus, incomplets ou trop anciens. Sans mesure de vos RTO et RPO réels — et non théoriques — vous naviguez à l’aveugle. Un test de restauration documenté, même partiel, chaque trimestre, change la donne. C’est aussi ce qui permet à Cyber-LID de dialoguer avec un dirigeant en termes de continuité d’activité, pas de jargon technique.
Comment auto-évaluer sa conformité à la règle 3-2-1 en 5 minutes ?
Prenez cinq minutes, ouvrez votre console de sauvegarde et répondez à quatre questions : combien de copies existent, sur quels supports, où se trouve la copie hors site, quand date la dernière restauration réussie ? Si vous hésitez sur une seule réponse, votre dispositif n’est pas conforme.
Commencez par lister vos jeux de données critiques : messagerie, comptabilité, fichiers métiers, bases applicatives. Pour chacun, notez le nombre de copies actives et le support de chaque copie. Un tableur de dix lignes suffit. C’est souvent à ce moment qu’on découvre qu’un serveur applicatif n’est sauvegardé nulle part, ou qu’un partage RH dépend d’une seule synchronisation.
Vérifiez ensuite l’isolement. La copie distante est-elle protégée par un compte séparé, avec une immuabilité des données activée ? Votre stockage cloud accepte-t-il une rétention verrouillée sur trente jours minimum ? Ces deux réglages font la différence entre une réplication utile et une cible de plus pour un ransomware.
Terminez par le test : datez la dernière restauration complète. Si elle remonte à plus d’un trimestre, planifiez-la cette semaine.
Pourquoi la règle 3-2-1 évolue-t-elle vers le 3-2-1-1-0 en 2026 ?
Le modèle historique protège du sinistre matériel, mais pas d’un chiffrement massif orchestré depuis l’intérieur du réseau. Les éditeurs ajoutent deux exigences : une copie immuable qu’aucun administrateur ne peut supprimer, et zéro erreur lors des tests de restauration. C’est cette double garantie qui définit désormais une sauvegarde vraiment résiliente.
Les attaques récentes ciblent d’abord les sauvegardes elles-mêmes. Un attaquant qui obtient les droits d’administration passe plusieurs jours à cartographier l’environnement, puis efface les points de reprise avant de déclencher le chiffrement. L’immuabilité des données répond à ce scénario : une fois écrite, la copie ne peut être ni modifiée ni détruite avant la fin d’une fenêtre définie, y compris par le compte qui l’a créée.
Le « 0 » complète le dispositif. Une sauvegarde qui échoue silencieusement, un journal applicatif corrompu, un incrémental cassé : autant de bombes à retardement. Les outils modernes vérifient l’intégrité applicative après chaque cycle et alertent au moindre écart. Pour un dirigeant de PME, cette évolution ne complique rien : elle se pilote via le prestataire, avec un rapport mensuel lisible qui remplace les tableaux de bord techniques.
Questions fréquentes
Quelle est la différence entre sauvegarde et synchronisation ?
Une synchronisation réplique les modifications en temps réel : si un fichier est supprimé ou chiffré, la copie subit le même sort dans la seconde. Une sauvegarde conserve un historique versionné, isolé, restaurable à une date antérieure. La règle 3-2-1 impose cette logique d’historique, pas une simple copie miroir qui partagerait le destin de la production.
Le cloud suffit-il comme unique sauvegarde ?
Non. Un stockage cloud unique reste une seule copie, sur un seul support, chez un seul fournisseur. Une panne du prestataire, une erreur de facturation ou un compte compromis suffisent à tout perdre. Le cloud est un excellent maillon hors site, à condition de le combiner avec une copie locale et une rétention verrouillée.
À quelle fréquence tester une restauration ?
Un test partiel trimestriel et un test complet annuel constituent un rythme raisonnable pour une PME. L’objectif : mesurer vos RTO et RPO réels, identifier les jeux de données oubliés et vérifier que les procédures documentées fonctionnent sans le collaborateur qui les a rédigées. Un test non documenté ne vaut pas grand-chose devant un assureur.
Combien de temps conserver les sauvegardes ?
Trente jours glissants couvrent la plupart des incidents opérationnels. Pour la comptabilité et les données RH, prévoyez des points mensuels sur douze mois, plus une archive annuelle. Le RGPD impose de ne pas conserver au-delà du nécessaire : documentez votre politique de rétention et purgez automatiquement les données personnelles hors durée légale.
La règle 3-2-1 est-elle obligatoire légalement ?
Elle n’est pas inscrite dans la loi, mais la CNIL la cite comme état de l’art. En cas de contrôle après une violation, l’absence de sauvegarde conforme aggrave la responsabilité du dirigeant. Pour les entités qui seront concernées par NIS2 — la transposition française est encore en cours —, disposer d’un plan de reprise d’activité (PRA) testé fera partie des exigences de continuité attendues.
Vérifier votre dispositif prend une matinée et évite des semaines d’arrêt. Cyber-LID accompagne les dirigeants de PME du Val-d’Oise et de l’Oise pour auditer, structurer et tester leur règle 3-2-1 sans jargon ni surdimensionnement. Notre offre de sauvegarde informatique pour PME couvre l’installation sur disque dur, le cloud sécurisé et l’audit du dispositif existant. Un état des lieux honnête vaut mieux qu’une architecture théorique : échangeons sur votre stratégie de sauvegarde. Vous saurez en une heure où vous en êtes vraiment.
Selon le Panorama de la cybermenace 2025 de l’ANSSI (Source : ANSSI, 2025), les PME, TPE et ETI restent la catégorie d’entités la plus affectée par les rançongiciels, ce qui confirme l’urgence de sauvegardes réellement isolées.
À propos de Cyber-LID
Cyber-LID est une société d’infogérance et de cybersécurité basée à Viarmes (95), dédiée aux PME, TPE et indépendants sans service informatique interne. L’approche repose sur un interlocuteur unique, la proximité et des solutions réalistes adaptées à chaque structure. Pour aller plus loin sur ce sujet, consultez notre panorama des types de sauvegarde informatique pour PME, qui détaille les critères de choix selon votre volumétrie et vos contraintes métier.
