La règle 3-2-1 aide à répartir les copies et les modes de défaillance. Elle ne garantit pas, à elle seule, une reprise après attaque. Le guide ANSSI sur la sauvegarde des systèmes d’information, publié en octobre 2023, insiste notamment sur la sauvegarde hors ligne, les comptes d’administration dédiés et les restaurations régulièrement vérifiées. La stratégie doit préciser ce qui sera restauré, depuis quelle copie et par qui si la production et son administration sont compromises.
1. La règle 3-2-1 expliquée
| Chiffre | Signification | Objectif |
|---|---|---|
| 3 | 3 copies des données (production + 2 sauvegardes) | Redondance |
| 2 | 2 types de supports différents | Résilience matérielle |
| 1 | 1 copie hors site (off-site) | Résilience géographique |
Originaire de la photographie professionnelle (années 2000), la règle s’est imposée comme standard IT.
2. Ce que signifie 3-2-1-1-0
L’expression 3-2-1-1-0 est utilisée dans l’industrie pour ajouter une protection contre la modification des copies et une vérification de leur restauration. Elle ne constitue pas une obligation légale générale ni une garantie de zéro incident. Décrivez le mécanisme retenu : copie déconnectée, rétention empêchant la suppression, séparation des comptes ou combinaison de mesures.
L’ANSSI présente sa propre recommandation 3-2-1 avec trois copies distinctes, dont les données en production, des supports différents et une copie hors ligne. Une copie distante accessible avec les mêmes droits que la production n’offre pas la même protection qu’une copie réellement isolée.
3. Vérifier le mécanisme de protection
Les bandes non réinscriptibles, les fonctions de verrouillage d’objets et certains dépôts de sauvegarde proposent des protections différentes. Pour l’offre envisagée, vérifiez le mode activé, les droits de suppression, la durée verrouillée et les exceptions administratives. Une option disponible dans un catalogue ne prouve pas qu’elle protège vos copies.
Demandez une démonstration de suppression avec un compte d’administration ordinaire, puis avec les droits les plus élevés prévus par le contrat. Documentez les résultats. Vérifiez séparément la protection des clés : une copie intacte mais définitivement indéchiffrable ne permet pas de reprendre le service.
4. Air gap : la sauvegarde déconnectée
L’air gap physique reste la défense ultime :
- Bandes LTO stockées en coffre (ignifuge, 1h résistance)
- Disques externes rotatifs sortis du site
- Cassette dans un autre datacenter sans liaison réseau
Le dimensionnement des bandes, lecteurs, rotations et lieux de stockage dépend des volumes et du temps de récupération attendu. Demandez une proposition chiffrée sur votre scénario.
5. RPO et RTO : définir les besoins
| Indicateur | Définition | Lien sauvegarde |
|---|---|---|
| RPO (Recovery Point Objective) | Perte de données acceptable | Fréquence sauvegarde |
| RTO (Recovery Time Objective) | Délai de remise en service | Type sauvegarde + bande passante |
Exemples purement hypothétiques pour discuter les besoins, sans valeur de norme sectorielle :
- ERP industrie : RPO 4h, RTO 8h
- E-commerce : RPO 15 min, RTO 2h
- Banque core : RPO 0, RTO < 1h (synchronisation continue)
- Bureautique : RPO 24h, RTO 24-48h
6. Architecture cible 2026
Schéma de travail hypothétique pour discuter les dépendances :
[Production] -> [Backup local rapide (NAS)] -> [Backup off-site (cloud)]
-> [Backup immuable (S3 Object Lock)]
-> [Backup offline (bandes LTO)]
Pour une PME :
[Production] -> [Backup local (NAS)] -> [Backup cloud avec immuabilité]
7. Comparer les offres avec vos dépendances
Demandez la liste des applications, bases et configurations couvertes dans votre architecture. La sauvegarde de fichiers ne garantit pas la cohérence d’une base transactionnelle. Vérifiez les conditions d’export du SaaS, les interfaces disponibles et la possibilité de restaurer une version compatible de l’application.
Dans l’essai, incluez une restauration sans l’annuaire principal et sans la personne qui administre habituellement l’outil. Le résultat révèle les dépendances aux comptes, aux licences, aux clés et à la documentation. Comparez les coûts de stockage, de récupération, de transfert et d’assistance, avec les volumes réellement testés.
8. Tests de restauration : la clé
Une copie réussie doit être complétée par une vérification de restauration. Exemple de programme interne à adapter au risque et aux changements :
| Test | Fréquence | Périmètre |
|---|---|---|
| Restauration fichier unique | Hebdomadaire | 1-2 fichiers test |
| Restauration VM | Mensuelle | 1 VM aléatoire |
| Restauration applicative | Trimestrielle | 1 application métier |
| Restauration complète site | Annuelle | Exercice grandeur nature |
Consignez les échecs et refaites l’exercice après correction. La fréquence retenue doit permettre de détecter une dégradation avant qu’une reprise réelle soit nécessaire.
9. Sauvegarde et RGPD
Les sauvegardes contiennent des données personnelles ; elles relèvent du RGPD :
- Inscription au registre des traitements
- Durée de conservation justifiée (alignée sur la donnée d’origine + délai opérationnel)
- Chiffrement recommandé
- Effacement : prévoir le traitement du droit à l’oubli, le cycle des copies et la prévention de la réintroduction des données après restauration
- Analyse de violation en cas de perte : apprécier le risque et les conditions de notification des articles 33 et 34
10. Séparer les pouvoirs de destruction
Identifiez les comptes capables d’effacer la production, de modifier les tâches de sauvegarde et de supprimer les copies. Réduisez les possibilités de cumuler ces pouvoirs. Utilisez des comptes dédiés, limitez les droits et protégez l’administration selon le risque. Surveillez aussi les modifications de configuration, les volumes anormaux et les tâches désactivées.
Préparez l’accès de secours hors du système susceptible d’être indisponible. La procédure doit expliquer qui autorise son utilisation, où sont les éléments nécessaires et comment l’opération est tracée. Un secret placé uniquement dans le coffre numérique que l’on doit restaurer crée une dépendance circulaire.
11. Sauvegarde cloud et qualifications
Si votre besoin exige une offre qualifiée SecNumCloud, vérifiez l’offre et le périmètre exacts dans la liste officielle de l’ANSSI. La qualification d’un service ne s’étend pas automatiquement à tous les produits d’un groupe. Elle ne dispense pas de qualifier vos données, les accès, les transferts et les obligations contractuelles.
Le cloud peut constituer une copie distante, mais reste dépendant de comptes, de réseaux et d’un fournisseur. Prévoyez les conditions de récupération si votre abonnement, votre accès principal ou une région technique devient indisponible.
12. Relier la sauvegarde à vos obligations
L’article 32 du RGPD vise notamment la capacité de restaurer la disponibilité et l’accès aux données dans des délais appropriés après un incident. La durée de conservation des copies doit rester justifiée ; une obligation d’archiver une pièce ne signifie pas qu’il faut garder indéfiniment toutes les sauvegardes du système.
Pour les entités concernées, NIS 2 et DORA comportent également des exigences de continuité et de sauvegarde. Déterminez leur applicabilité et les textes techniques pertinents dans un dossier séparé. Ne transformez pas une recommandation de fréquence ou une durée d’archivage sectorielle en règle universelle.
Dossier de preuve d’une restauration
Pour chaque exercice, relevez le service concerné, la copie choisie, son horodatage, les éléments exclus et l’environnement de restauration. Notez le début de l’opération, les étapes bloquées et le moment où le métier a pu utiliser le service. Le délai technique de copie et la reprise réellement validée par l’utilisateur sont deux mesures distinctes.
Exemple hypothétique : une équipe restaure sa facturation depuis une copie saine, mais découvre que la configuration d’envoi des factures manque. Elle peut ouvrir la base, sans pouvoir reprendre la prestation complète. Le compte rendu doit conclure à une reprise partielle, identifier la configuration absente et programmer une nouvelle vérification. Déclarer l’exercice réussi parce que les fichiers sont revenus masquerait le défaut utile à corriger.
Conservez un résultat de contrôle métier : ouverture d’un dossier, rapprochement d’un total ou exécution d’une opération fictive. Évitez d’exposer inutilement les données réelles dans l’environnement d’exercice. Vérifiez les droits et la suppression de cet environnement après le contrôle.
Enfin, reliez le résultat au PCA et à la PSSI. Une action corrective indique le responsable, l’échéance et la preuve attendue. Le prochain exercice doit vérifier cette action, et pas seulement reproduire le dernier scénario qui fonctionnait déjà.