Sauvegardes d'une PME : appliquer la règle 3-2-1

Pourquoi les sauvegardes sont une cible

Une sauvegarde sert le jour où tout le reste a échoué. Les attaquants le savent : l'ANSSI note qu'il est fréquent qu'un attaquant tente de chiffrer, d'effacer ou de rendre indisponible l'infrastructure de sauvegarde avant de déclencher un rançongiciel. Une sauvegarde rangée à côté du serveur, branchée en permanence sur le même réseau, partira avec lui. Elle ne protège pas non plus d'un incendie, d'un dégât des eaux ou d'un vol.

La règle 3-2-1 telle que l'ANSSI la formule

Dans son guide « Sauvegarde des systèmes d'information : les fondamentaux » (version 1.1 du 27 novembre 2025), l'ANSSI recommande d'appliquer la règle « 3-2-1 » : trois copies distinctes des données, c'est-à-dire les données en production et deux sauvegardes, stockées sur des supports différents, dont une hors ligne.

Hors ligne veut dire déconnectée de tout système informatique, pas seulement rangée ailleurs. L'ANSSI juge une sauvegarde hors ligne indispensable, même si elle est moins fréquente que les sauvegardes en ligne. La CNIL reprend la même règle.

Cybermalveillance.gouv.fr ne cite pas la règle par son nom, mais ses conseils vont dans le même sens : plusieurs sauvegardes sur des supports différents, une copie conservée dans un autre lieu que les données d'origine, et un support de sauvegarde déconnecté de l'ordinateur ou du réseau quand il ne sert pas.

À quoi cela ressemble dans une PME

Prenons une PME dont les fichiers et les dossiers de gestion sont sur un serveur au bureau. La première copie est l'original, sur le serveur. La deuxième est une sauvegarde automatique, chaque jour, sur un autre support : un stockage réseau dédié, par exemple. La troisième est la copie hors ligne : un support qui n'est branché que le temps de la sauvegarde puis rangé ailleurs, ou une bande. L'ANSSI note que la bande magnétique reste le moyen le plus efficace pour la sauvegarde hors ligne.

Une copie dans le nuage peut tenir le rôle de la copie hors site, sous conditions. L'ANSSI considère toutefois qu'une sauvegarde hors ligne reste plus robuste qu'une sauvegarde en ligne, même protégée contre l'effacement.

Combien de fois sauvegarder, et combien de temps garder

Il n'y a pas de fréquence imposée. L'ANSSI demande de partir de deux questions : combien de données l'entreprise peut-elle perdre au plus, et combien de temps peut-elle rester arrêtée ? Un fichier sur lequel on travaille toute la journée peut, selon Cybermalveillance, demander plusieurs sauvegardes par jour. Dans une entreprise, mieux vaut écrire la procédure : qui sauvegarde, quoi, et à quelle fréquence.

Pour la durée de conservation, l'ANSSI donne un exemple de répartition : quinze jours de sauvegardes journalières, un an de sauvegardes mensuelles et cinq ans de sauvegardes annuelles. Les anciennes versions servent quand un fichier a été abîmé sans que personne le voie tout de suite.

Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde

Les deux sources insistent : il faut tester. L'ANSSI demande de tester les sauvegardes régulièrement et de rédiger une procédure de restauration, mise en œuvre elle aussi régulièrement. Restaurer de temps en temps un dossier sur un autre poste et vérifier qu'il s'ouvre suffit déjà à éviter les mauvaises surprises.

Pensez aussi à ce qui permet de se servir des données : l'ANSSI recommande de sauvegarder les médias d'installation et la configuration des applications métier, et Cybermalveillance les logiciels indispensables à l'exploitation des données. Une base de comptabilité sans le logiciel qui la lit ne sert pas à grand-chose.

Protéger les sauvegardes elles-mêmes

• Chiffrer les sauvegardes, surtout celles qui quittent le bureau, et protéger l'accès à l'outil de sauvegarde par un mot de passe unique et robuste.
• Ne pas mettre les serveurs de sauvegarde dans le même domaine Windows que la production : un compte volé ne doit pas ouvrir les deux.
• En cas d'attaque, isoler d'abord la sauvegarde du reste du réseau, puis vérifier qu'elle ne contient pas déjà le code de l'attaquant avant de restaurer.
• Surveiller l'âge des supports et des logiciels de sauvegarde : un outil qui n'est plus mis à jour ne garantit plus la sécurité des copies.

La liste à vérifier

• Trois copies des données, sur deux supports différents.
• Au moins une copie hors ligne, débranchée hors des sauvegardes.
• Une copie hors du bureau.
• Une fréquence choisie selon la perte de données acceptable, et écrite.
• Un test de restauration régulier.
• Des sauvegardes chiffrées et un accès protégé.

Nous mettons en place et suivons les sauvegardes de nos clients dans le cadre de leur infrastructure informatique, et nous les vérifions lors d'un audit de cybersécurité. Pour aller plus loin sur la protection du poste et du réseau, lisez aussi notre article sur les mesures de cybersécurité de base.