La réponse en bref. Prévoyez trois copies au total, dont les données de travail, sur deux types de supports, avec une copie hors site. Ajoutez une protection contre la suppression des sauvegardes : être ailleurs ne suffit pas si le même compte peut tout effacer. Vérifiez enfin qu'une copie se restaure réellement.
Sommaire
Que signifie exactement 3-2-1 ?
La formulation classique décrit 3 copies, 2 types de supports, 1 copie hors site. Les trois comprennent l'original : il faut donc deux sauvegardes supplémentaires. Recommandation conjointe CISA, FBI et ACSC, section « Mitigations ».
L'ANSSI, recommandation R11, emploie une variante avec une copie hors ligne. Retenez les deux besoins : survivre à un incident sur le site et garder une copie inaccessible à une attaque du système connecté.
Lire le schéma en texte
Trois copies : données sur serveur à disques ; sauvegarde sur équipement distinct à disques ; sauvegarde sur bande dans un autre lieu sécurisé, déconnectée après écriture. Deux supports : disque et bande. Prévoir lecteur, transport et clés pour la reprise.
Hors site, hors ligne ou immuable : quelle différence ?
| Propriété | Ce qu'elle apporte | Ce qu'il reste à vérifier |
|---|---|---|
| Hors site : autre lieu physique | Une copie survit à la perte du bâtiment. | Des accès compromis peuvent-ils aussi la supprimer ? |
| Hors ligne : support déconnecté | La copie n'est pas joignable par le réseau pendant sa déconnexion. | Rotation, stockage protégé et disponibilité du lecteur. |
| Immuable : modification ou suppression bloquée selon un mécanisme et une durée définis | Une protection contre l'altération pendant la période configurée. | Mode réel, durée, privilèges permettant de contourner la protection et récupération des clés. |
Une copie peut cumuler plusieurs propriétés. Un disque débranché dans le bureau reste exposé au même incendie. Un stockage cloud reste en ligne. L'ANSSI distingue l'immutabilité en ligne et le hors ligne ; ils ne sont pas automatiquement équivalents. Guide, section 3.5.
Quel montage simple pour une PME ?
Voici un exemple pédagogique, à adapter au volume et aux délais nécessaires :
- Les documents de travail résident sur un serveur à disques.
- Un équipement distinct conserve une sauvegarde locale pour les restaurations courantes.
- Une sauvegarde sur bande est sortie du lecteur et conservée dans un autre lieu sécurisé.
Ce montage illustre bien deux supports, disque et bande. Il implique lecteur, rotation, transport et garde des clés. Ce n'est pas une prescription d'achat : une solution cloud peut convenir, après examen de la séparation des accès, de la conservation, des coûts de récupération et du délai de rapatriement.
Posez une question concrète : si notre serveur et son compte administrateur deviennent inutilisables, comment retrouve-t-on une copie et ses moyens de restauration ? Les comptes d'administration des sauvegardes doivent être dédiés. ANSSI, R14 et R15.
Le NAS, le RAID ou la synchronisation suffisent-ils ?
Un NAS est un équipement de stockage. Il peut recevoir une sauvegarde ; deux dossiers sur ce même appareil ne créent pas deux équipements indépendants.
Le RAID aide à supporter certaines pannes de disque. Il ne fournit pas, à lui seul, une version antérieure après suppression d'un fichier.
La synchronisation répercute des changements. Si une suppression se propage, il faut pouvoir retrouver une version conservée ou une sauvegarde indépendante. Vérifiez les fonctions réelles du service ; pour vos documents cloud, consultez le guide de récupération Microsoft 365.
Que vérifier avec votre prestataire ?
Remplissez une ligne par copie : emplacement, support, fréquence, durée de conservation, accès d'administration et dernier test. Ne cochez « vérifié » qu'avec une preuve et un responsable.
Couvrir les erreurs découvertes tardivement
Une suppression peut être découverte plusieurs semaines après les faits. Définissez l’historique nécessaire avec le responsable des données et testez un point ancien choisi, en plus du dernier disponible. Lors d’un incident, faites préserver les points identifiés comme sains avant qu’une rotation habituelle les élimine. La durée pertinente dépend des usages et du délai de détection ; un nombre de jours unique ne convient pas à toutes les activités.
À utiliser maintenant
Cartographie des copies de sauvegarde
Décrivez chaque copie et la preuve associée. Faites compléter les informations inconnues par l’administrateur ; ne saisissez aucun mot de passe.
Remplir la fiche
Aucun envoi ni enregistrement automatique. Téléchargez vos réponses avant de quitter la page.
Cette fiche ne certifie pas l’architecture. Plusieurs copies peuvent partager une même faiblesse : bâtiment, compte, clé ou fournisseur.
Passez ensuite au test de restauration avec fichiers fictifs. Le nombre de copies ne dit pas quelle quantité de travail vous perdrez ni quand l'équipe pourra reprendre.
Un doute sur vos copies actuelles ? Faites le point avec Initial Infra, avec la liste des équipements et les garanties de votre prestataire.