Sauvegardes d'entreprise : la règle 3-2-1, l'immuabilité et le test de restauration
Comment organiser des sauvegardes qui résistent à un rançongiciel : règle 3-2-1, copie hors ligne ou immuable, objectifs de reprise, test de restauration et coûts.
Une sauvegarde utile est une sauvegarde que l'on sait restaurer, dans un délai connu, et qu'un attaquant ne peut pas effacer. La règle de référence est le 3-2-1 : trois copies des données, sur deux supports différents, dont une copie hors site. Face aux rançongiciels, qui cherchent désormais à détruire les sauvegardes avant de chiffrer les données, on y ajoute une copie hors ligne ou immuable, et surtout un test de restauration régulier. Sans test, vous ne savez pas si vous avez une sauvegarde ou seulement l'impression d'en avoir une.
La règle 3-2-1 expliquée
- 3 copies : les données de production et au moins deux sauvegardes.
- 2 supports différents : par exemple un disque ou un NAS sur site et un stockage dans le cloud, pour qu'une même panne ne détruise pas tout.
- 1 copie hors site : à distance, pour résister à un incendie, un dégât des eaux ou un vol.
Les spécialistes recommandent d'étendre cette règle en « 3-2-1-1-0 » : une copie hors ligne ou immuable en plus, et zéro erreur après vérification de la restauration. Ce n'est pas une norme légale, mais une bonne pratique répandue.
Immuable, hors ligne, isolée : quelle différence ?
| Approche | Principe | Résiste à | Point de vigilance |
|---|---|---|---|
| Copie hors ligne | Support déconnecté (disque débranché, bande) | Rançongiciel, suppression malveillante | Exige une discipline de rotation et de rangement physique |
| Stockage immuable | Les données ne peuvent être ni modifiées ni supprimées pendant une durée définie | Rançongiciel, erreur d'administration, compte administrateur volé | Bien configurer la durée de rétention ; vérifier que le fournisseur garantit réellement l'immuabilité |
| Copie isolée par comptes séparés | Identifiants différents de ceux de la production | Compromission de l'annuaire principal | Nécessite un MFA et une gestion stricte de ces comptes |
| Sauvegarde cloud avec versions | Historique de versions des fichiers | Suppression accidentelle, chiffrement partiel | Ne protège pas toujours contre un administrateur compromis |
Définir ses objectifs de reprise
Deux notions guident le dimensionnement :
- RPO (Recovery Point Objective) : quantité de données que vous acceptez de perdre, exprimée en temps. Un RPO de 24 heures signifie qu'une sauvegarde quotidienne suffit.
- RTO (Recovery Time Objective) : durée maximale d'interruption que vous acceptez avant la reprise.
Plus ces valeurs sont courtes, plus la solution est coûteuse. Posez-vous la question pour chaque système : la comptabilité peut parfois attendre trois jours, le système de prise de commande ou de planification beaucoup moins.
Exemple chiffré illustratif
Une entreprise de 30 postes sauvegarde 2 To de données. Hypothèse de coût du stockage externalisé : 15 euros par To et par mois pour une copie immuable. Le coût annuel est de 2 x 15 x 12 = 360 euros, auquel s'ajoute un logiciel de sauvegarde à 1 500 euros par an et un NAS local amorti à 400 euros par an. Total approximatif : 2 260 euros par an. À comparer au coût d'un arrêt de plusieurs jours, qui peut dépasser plusieurs milliers d'euros par jour selon l'activité. Ces montants sont des hypothèses de calcul, non des prix constatés.
Que sauvegarder exactement ?
- Les données métier : fichiers partagés, bases de données, comptabilité, paie, CRM.
- Les serveurs complets quand une restauration rapide est nécessaire (sauvegardes d'images système).
- La messagerie et les documents en ligne : un service cloud n'est pas automatiquement sauvegardé selon vos besoins. Les fournisseurs protègent leur infrastructure, mais la restauration de données supprimées par erreur ou malveillance dépend de vos paramètres et de vos contrats.
- Les configurations : équipements réseau, pare-feu, annuaire, clés de chiffrement, sans lesquelles la restauration est difficile.
- Les postes : utile si des données importantes y sont stockées localement ; sinon, mieux vaut centraliser les fichiers.
N'oubliez pas les clés de déchiffrement et les mots de passe nécessaires pour rouvrir la sauvegarde, stockés séparément et hors ligne.
Le test de restauration : l'étape que l'on saute
Planifiez un test au moins deux fois par an, plus après tout changement important :
- Choisissez un système critique et une sauvegarde récente.
- Restaurez-la sur une machine de test, sans toucher à la production.
- Vérifiez que les données sont intactes et que l'application démarre.
- Chronométrez : comparez le temps réel à votre RTO.
- Notez les écarts (documentation manquante, mot de passe introuvable, espace insuffisant) et corrigez-les.
Une restauration réussie sur un fichier isolé ne prouve pas que vous saurez restaurer un serveur complet après un incident majeur. Au moins une fois par an, simulez la reconstruction d'un système entier.
Sauvegardes et rançongiciel : les réflexes
- Les attaquants cherchent d'abord à repérer et détruire les sauvegardes : isolez-les par des comptes distincts, un MFA et, si possible, de l'immuabilité.
- Ne reconnectez jamais une sauvegarde à un réseau potentiellement infecté avant d'avoir assaini l'environnement.
- Conservez plusieurs générations : certaines attaques restent dormantes des semaines, et la dernière sauvegarde peut déjà être contaminée.
- Documentez la procédure de reprise dans un document imprimé, car vos outils de documentation pourraient être inaccessibles.
La conduite à tenir pendant une attaque est détaillée dans le guide sur que faire après une cyberattaque.
Les erreurs les plus courantes
- Croire que la synchronisation cloud est une sauvegarde : un fichier supprimé ou chiffré se synchronise aussi.
- Laisser les sauvegardes sur le même domaine d'administration que la production.
- Ne jamais vérifier les alertes d'échec : une sauvegarde qui échoue en silence depuis des mois est fréquente.
- Négliger les données hébergées chez des tiers, les applications en ligne et les équipements mobiles.
- Ne pas prévoir la bande passante de restauration : récupérer plusieurs téraoctets depuis le cloud prend des heures, voire des jours.
Aspects réglementaires
Les sauvegardes contiennent des données personnelles : elles sont soumises au RGPD, notamment pour la sécurité (article 32), la durée de conservation et la sous-traitance si un prestataire les héberge. Choisissez un hébergeur offrant des garanties sur la localisation des données et formalisez la relation par un contrat. La CNIL publie des recommandations sur la sécurité des données personnelles, utiles pour définir vos durées de conservation. Pour les mesures prioritaires, voir le plan d'action sur 90 jours.
Questions fréquentes
Combien de temps conserver les sauvegardes ?
Cela dépend de vos besoins métier, de vos obligations de conservation comptables et du RGPD. Prévoyez plusieurs générations, par exemple quotidiennes sur plusieurs semaines et mensuelles sur plusieurs mois, selon vos contraintes.
Un NAS suffit-il ?
Un NAS est une copie locale utile, mais insuffisante seule : il est exposé aux mêmes risques que le réseau. Ajoutez une copie hors site et une copie immuable ou hors ligne.
Faut-il chiffrer les sauvegardes ?
Oui, en particulier celles hébergées hors de l'entreprise. Conservez la clé séparément, car sans elle la restauration est impossible.
Sources et références
- ANSSI — guides sur la sauvegarde et la protection contre les rançongiciels.
- Cybermalveillance.gouv.fr — fiche pratique sur les sauvegardes.
- CNIL — sécurité des données personnelles et sous-traitance.
