Sauvegarde 3-2-1-1 : la règle qui sépare ceux qui survivent à un ransomware

Une attaque ransomware réussie peut paralyser une PME pendant plusieurs jours à plusieurs semaines — l'agence européenne de cybersécurité ENISA classe le ransomware comme l'une des menaces majeures pour les organisations européennes¹. Le facteur déterminant n'est pas la prévention — qui peut être contournée — mais la qualité de la sauvegarde et de la procédure de restauration. La règle 3-2-1-1, recommandée notamment par la CISA américaine et par l'ANSSI dans ses guides anti-rançongiciel², reste aujourd'hui la meilleure boussole.

La règle 3-2-1-1, en clair

• 3 copies de vos données (l'original + 2 sauvegardes)
• sur 2 supports différents (disque + bande, ou disque + cloud)
• dont 1 hors site (géographiquement distant)

Cette règle, formulée par le photographe Peter Krogh il y a vingt ans, reste pertinente : elle protège contre trois familles de risques distinctes — défaillance matérielle, sinistre local, attaque ciblée.

Pourquoi elle ne suffit plus seule

Les ransomwares modernes ont évolué. Ils ne se contentent plus de chiffrer la production : ils chassent activement les sauvegardes avant de déclencher le chiffrement. L'attaquant prend généralement la main pendant plusieurs semaines avant l'attaque, le temps de :

• Cartographier votre infrastructure
• Identifier vos comptes administrateurs
• Localiser et supprimer vos sauvegardes
• Exfiltrer des données sensibles (double extorsion)

C'est pourquoi la règle 3-2-1-1 a évolué vers 3-2-1-1-0 :

• 1 copie supplémentaire immuable (impossible à modifier ou supprimer)
• 0 erreur lors des tests de restauration (vérification systématique)

L'immuabilité, en pratique

Une sauvegarde immuable est une copie qui ne peut être ni écrasée, ni chiffrée, ni supprimée pendant une durée définie — même par un administrateur muni des bons droits.

Trois approches dominent :

1. Stockage objet avec verrou (S3 Object Lock, Azure Blob Immutable, équivalents)

Le standard actuel. La copie est figée pendant N jours (typiquement 30 à 90), même contre un compte root compromis.

2. Bande magnétique (LTO)

Méthode historique, toujours efficace : une bande sortie du robot et stockée hors site est physiquement injoignable par l'attaquant.

3. Appliance de sauvegarde durcie

Coffre-fort matériel avec OS verrouillé, sans accès SSH ni API d'administration depuis le réseau de production.

Les tests de restauration : non négociables

Une sauvegarde non testée est une sauvegarde imaginaire. Nous avons accompagné des entreprises qui pensaient sauvegarder depuis des années — et qui ont découvert, le jour J, que leur sauvegarde était corrompue, partielle ou totalement vide.

Le test idéal est trimestriel et porte sur :

• Un dossier complet restauré sur un environnement isolé
• Une base de données complète remontée
• Un serveur entier restauré (au moins une fois par an)

Le temps de restauration mesuré devient votre RTO réel (Recovery Time Objective). C'est cette valeur, et non celle promise par votre prestataire, qui compte.

RTO, RPO : les deux indicateurs

Tout plan de sauvegarde doit fixer deux objectifs explicites :

• RTO (Recovery Time Objective) : combien de temps acceptable pour redémarrer ?
• RPO (Recovery Point Objective) : quel volume de données acceptable de perdre ?

Pour un cabinet d'avocats, le RPO typique est de 1 heure (sauvegarde toutes les heures). Pour une PME industrielle, 4 heures est souvent acceptable. Ces valeurs guident toute l'architecture en amont.

Le coût d'une sauvegarde sérieuse — ordres de grandeur

Pour une PME de 20 à 50 postes avec un serveur de fichiers et une base métier, voici les ordres de grandeur que nous observons en infogérance (à ajuster selon volumétrie, RTO/RPO visés et durée de rétention) :

• Sauvegarde locale + cloud immuable : typiquement 200 à 400 €/mois HT
• Tests de restauration trimestriels : inclus dans le forfait infogérance Pro
• Audit annuel de cohérence : 1 à 2 jours d'ingénieur

À mettre en regard du coût d'une interruption d'activité prolongée suite à un ransomware — perte d'exploitation, salaires non productifs, communication de crise, notification CNIL — qui se chiffre rapidement en dizaines de milliers d'euros pour une PME, sans compter l'atteinte à la réputation. Le coût exact dépend du chiffre d'affaires journalier et de la durée d'indisponibilité ; un devis personnalisé reste le seul moyen d'obtenir une fourchette fiable pour votre cas.

Ce que nous mettons en place chez nos clients

• Sauvegarde locale sur appliance dédiée (RTO court)
• Sauvegarde cloud immuable chez un hébergeur souverain (RPO maîtrisé)
• Rotation hebdomadaire d'une copie hors ligne pour les structures critiques
• Tests de restauration trimestriels documentés
• Reporting mensuel sur la cohérence des sauvegardes

Le tout dans le cadre du forfait infogérance, sans surcoût caché.

Pour aller plus loin

Notre offre Cybersécurité couvre l'ensemble des chantiers : audit, EDR, MFA, sauvegardes immuables, PCA/PRA.

Demandez votre pré-diagnostic gratuit pour évaluer en 15 questions où en est votre stratégie de sauvegarde.

Sources

Note de transparence : nous avons retiré toute statistique non vérifiable publiquement (par exemple le mythe « 60 % des PME ferment dans les six mois après un ransomware », dont la source originelle est introuvable et la méthodologie contestée). Si une affirmation vous semble douteuse, écrivez-nous — nous corrigerons ou retirerons.

Footnotes

1. ENISA, Threat Landscape (rapport annuel). Le ransomware figure régulièrement parmi les menaces majeures identifiées. Voir enisa.europa.eu. ↩

2. ANSSI, Guide pour anticiper et gérer une attaque par rançongiciel (cert.ssi.gouv.fr) ; CISA, Ransomware Guide (cisa.gov). Les deux recommandent explicitement la règle 3-2-1-1 (et son évolution 3-2-1-1-0) ainsi que la mise en place de copies immuables et de tests de restauration réguliers. ↩