Face à un ransomware, une PME ne peut pas compter sur la chance. Quand les fichiers sont chiffrés, l’activité peut s’arrêter net, et le paiement d’une rançon ne garantit jamais la récupération des données. La sauvegarde 3-2-1 apporte une réponse simple, reconnue et efficace pour reprendre la main sans dépendre des cybercriminels.
En quelques lignes :
Je vous recommande d’appliquer la règle 3-2-1, idéalement la variante 3-2-1-1-0, pour pouvoir restaurer rapidement vos données et ne pas dépendre d’une demande de rançon.
- Inventaire complet : recensez dossiers partagés, bases de données, e-mails et suites cloud (M365, Google Workspace) puis fixez des RPO / RTO adaptés.
- Architecture 3-2-1 pratique : copie locale pour restaurations rapides, copie cloud immuable (Object Lock) et copie hors ligne (bande LTO ou disque déconnecté).
- Automatisation et séparation : programmez les tâches, surveillez les échecs et séparez les comptes entre production et sauvegarde.
- Tests réguliers : restaurez un fichier chaque mois et une machine complète au moins une fois par an, documentez les résultats.
- Gouvernance des clés et rétention : assurez-vous de la gestion des clés de chiffrement et définissez des durées de rétention (30–90 jours, archives à plus long terme si besoin).
Pourquoi la sauvegarde 3-2-1 est indispensable face aux ransomwares pour une PME
Un ransomware est un logiciel malveillant qui bloque l’accès aux données en les chiffrant, puis exige une somme d’argent pour fournir une clé de déchiffrement. Dans les faits, l’entreprise se retrouve souvent paralysée, avec des postes inutilisables, des dossiers inaccessibles et parfois même les outils de production hors service.
Pour une PME, le choc est souvent plus fort que pour un grand groupe. Les moyens de défense sont plus limités, l’environnement informatique est parfois moins segmenté, et les sauvegardes sont parfois stockées sur les mêmes systèmes que la production. C’est précisément ce qui rend la méthode 3-2-1 si intéressante, car elle réduit fortement le risque de perdre à la fois les données de travail et les copies de secours.
Les recommandations de plusieurs organismes de cybersécurité vont dans ce sens, notamment le NCSC britannique et la CISA, qui insistent sur des sauvegardes résistantes aux attaques et régulièrement testées. L’idée centrale est simple : seule une restauration depuis une copie saine, indépendante et inaccessible à l’attaque permet de sortir d’un incident ransomware sans négocier avec l’attaquant.
Définition détaillée de la règle 3-2-1 et de l’extension 3-2-1-1-0
La règle 3-2-1 repose sur une logique de redondance intelligente. Elle consiste à conserver trois copies de chaque donnée, à savoir l’original et deux sauvegardes. Ces copies doivent ensuite être réparties sur deux types de supports différents, afin d’éviter qu’une même panne ou une même faiblesse technique n’anéantisse tout. Enfin, une copie doit être conservée hors site, dans un lieu séparé du réseau principal.
Cette copie hors site joue un rôle majeur. Si le local brûle, si un vol survient, ou si un ransomware se propage sur le réseau interne, la copie externe reste disponible. Elle doit être physiquement ou logiquement isolée, par exemple sur un stockage cloud immuable, sur une bande déconnectée, ou dans un autre bâtiment. Cet isolement limite la capacité d’un malware à atteindre toutes les copies en même temps.
La variante 3-2-1-1-0, plus adaptée aux attaques modernes
La règle 3-2-1 a été renforcée par une version plus défensive, la formule 3-2-1-1-0. Le premier ajout correspond à une copie immuable ou hors ligne, parfois décrite comme air-gapped. Cette copie ne peut pas être modifiée par un ransomware, même si le réseau principal est compromis.
Le second ajout vise zéro erreur, ce qui signifie que les restaurations doivent être testées systématiquement. Une sauvegarde non testée peut donner un faux sentiment de sécurité. Les références actuelles en cybersécurité considèrent cette approche comme une bonne pratique solide contre les ransomwares, surtout dans les environnements où l’activité dépend fortement de la donnée.
Le tableau ci-dessous résume les différences entre les deux approches.
| Règle | Principe | Apport contre le ransomware |
|---|---|---|
| 3-2-1 | 3 copies, 2 supports, 1 hors site | Réduit le risque de perte totale et facilite la reprise |
| 3-2-1-1-0 | 3 copies, 2 supports, 1 hors site, 1 immuable ou hors ligne, 0 erreur | Renforce la résistance face aux attaques qui ciblent aussi les sauvegardes |
Comment mettre en œuvre la sauvegarde 3-2-1 dans une PME
La première étape consiste à inventorier les données à protéger. Il ne faut pas se limiter aux dossiers partagés. Une PME doit aussi penser aux bases de données, aux configurations des serveurs, aux identifiants de service, aux e-mails et aux documents métiers. Sans cette cartographie, certaines informations critiques peuvent rester en dehors du plan de sauvegarde.
Un schéma courant associe une copie locale rapide, une copie cloud immuable et une copie hors ligne. La copie locale, sur NAS ou disque externe, sert à restaurer vite un fichier ou une machine. La copie cloud, protégée par une fonction d’immuabilité comme Object Lock, apporte une défense forte contre la modification ou la suppression. La copie hors ligne, sur bande LTO ou disque USB déconnecté après usage, ajoute une couche d’isolement supplémentaire.
Voici une combinaison souvent utilisée dans les PME :
- Copie locale sur NAS ou disque dédié pour une restauration immédiate.
- Copie cloud immuable avec une durée de rétention de 30 à 90 jours.
- Copie hors ligne sur bande LTO, disque déconnecté ou support physique stocké ailleurs.
La fréquence doit être adaptée au niveau de risque. Une sauvegarde locale et une sauvegarde cloud se font souvent chaque jour, voire toutes les heures pour les données très sensibles. La copie hors site peut être quotidienne ou hebdomadaire selon l’activité. Dans certains contextes, on conserve aussi des snapshots quotidiens sur 30 jours, des versions hebdomadaires sur 12 semaines, des versions mensuelles sur 12 mois, puis des archives annuelles jusqu’à 7 ans pour répondre à des obligations de conservation.
Des outils comme un NAS Synology associé à Veeam Backup & Replication sont souvent cités pour gérer une architecture hybride. Des services de stockage objet comme Wasabi, avec immuabilité activée, peuvent servir de copie cloud. Pour la partie hors ligne, les bandes LTO-9 ou un disque dédié déconnecté restent des options courantes. Les entreprises qui utilisent M365 ou Google Workspace ont aussi intérêt à mettre en place une sauvegarde indépendante, car le fournisseur SaaS ne remplace pas une politique de protection interne.
La cyberassurance peut compléter la stratégie en couvrant certains coûts et en précisant les garanties attendues pour une PME : cyberassurance PME.
L’automatisation est un point de vigilance majeur. Il faut programmer les tâches, vérifier qu’elles s’exécutent bien et s’assurer que toutes les sources sont incluses. Une sauvegarde incomplète ou silencieusement en échec vaut peu de chose au moment d’une crise. Il est aussi recommandé de cloisonner le réseau de sauvegarde et de ne pas réutiliser les mêmes identifiants d’administration entre la production et l’infrastructure de secours.
Bonnes pratiques, tests et erreurs à éviter
Une sauvegarde utile est une sauvegarde testée. La bonne habitude consiste à restaurer régulièrement un fichier aléatoire, par exemple une fois par mois, afin de vérifier que les données sont bien lisibles. Il est aussi pertinent de restaurer une machine virtuelle complète dans un environnement isolé, pour mesurer la capacité réelle de reprise et vérifier que les dépendances sont bien maîtrisées.
Ces tests permettent de calculer des indicateurs très concrets, comme le RPO, c’est-à-dire la perte de données maximale acceptable, et le RTO, qui correspond au temps de reprise acceptable. Dans une PME, ces valeurs doivent être réalistes, documentées et connues à l’avance. Sans cela, le plan de reprise reste théorique.
Le tableau suivant résume quelques erreurs fréquentes et leurs effets.
| Erreur fréquente | Conséquence | Bonne réponse |
|---|---|---|
| Deux copies sur le même support | Défaillance commune, perte simultanée | Varier les supports et les technologies |
| Absence de test de restauration | Sauvegarde inutilisable le jour de l’incident | Tester chaque mois et documenter les résultats |
| Mêmes identifiants pour production et sauvegarde | Propagation plus facile du ransomware | Segmenter les accès et séparer les comptes |
| Clés de chiffrement mal gérées | Perte d’accès aux sauvegardes chiffrées | Mettre en place une gestion rigoureuse des clés |
Les solutions cloud immuables sont aujourd’hui particulièrement adaptées aux attaques modernes. Le verrouillage des écritures et les durées de rétention de 30 à 90 jours protègent la copie de secours contre une suppression malveillante. En parallèle, un test complet de reprise une fois par an, incluant toutes les étapes du plan, permet de valider la cohérence de l’ensemble.
Les guides du NCSC et de la CISA rappellent aussi qu’une gestion robuste des clés de chiffrement est indispensable. Si les sauvegardes sont chiffrées, il faut pouvoir retrouver les clés sans dépendre d’une machine compromise ou d’un compte inaccessible. C’est un point souvent négligé, alors qu’il peut bloquer toute restauration.
Cas concrets d’application en PME et adaptation aux besoins spécifiques
Dans une PME classique, la stratégie peut être pensée pour résister à plusieurs risques à la fois. Le ransomware n’est pas le seul danger. Un incendie, un vol de matériel ou une panne majeure peuvent aussi rendre les données inaccessibles. C’est là que la copie hors site prend tout son sens, surtout si elle est stockée chez un autre fournisseur ou dans un autre bâtiment.
Un scénario de déploiement fréquent consiste à combiner un NAS pour la sauvegarde locale, un stockage cloud Wasabi avec immuabilité activée, et une bande LTO ou un disque déconnecté pour la copie hors ligne. Ce type d’architecture donne de la souplesse, tout en maintenant un bon niveau de protection. Pour les entreprises qui travaillent déjà dans Microsoft 365 ou Google Workspace, une sauvegarde indépendante des suites collaboratives évite de confondre disponibilité du service et protection des données.
Le choix de la stratégie dépend aussi de la taille de la structure et de ses contraintes. Pour une petite entreprise, mieux vaut souvent une solution simple, automatisée et administrée par un prestataire local ou via un service cloud bien cadré. Le bout n’est pas d’empiler les outils, mais de construire un dispositif lisible, stable et exploitable rapidement.
La réglementation compte également. La loi NIS2 et d’autres obligations peuvent renforcer les exigences de sécurité et de conservation pour certaines entreprises. Certaines données doivent être conservées pendant une durée définie, ce qui impose une politique de rétention adaptée. Le RPO et le RTO doivent eux aussi refléter l’impact réel d’un arrêt d’activité. Une société qui facture chaque jour n’a pas le même besoin qu’un cabinet dont les délais de reprise peuvent être plus souples.
Enfin, la documentation change tout. Un plan de sauvegarde écrit, partagé, mis à jour et compris par l’équipe réduit les zones d’ombre au moment critique. La formation des utilisateurs et des administrateurs permet aussi de détecter plus vite un incident, de réagir plus proprement et de restaurer sans improvisation.
En résumé, la sauvegarde 3-2-1, enrichie par la logique 3-2-1-1-0, offre à une PME un cadre solide pour survivre à une attaque ransomware et repartir sur des bases saines.
Un commentaire