La règle 3-2-1, et le moment où elle ne suffit plus

Conservez trois copies de vos données, sur deux types de supports différents, dont une externalisée. Voilà toute la règle. Elle a traversé trente ans d’évolutions techniques parce que chaque chiffre répond à une manière différente de perdre des données.

Reprenons l’escalier de secours du guide sauvegarde et restauration. Trois copies, c’est disposer de plus d’une sortie. Deux types de supports, c’est s’assurer que les deux sorties ne sont pas faites du même matériau, celui qui cède dans le même incendie. Une copie externalisée, c’est admettre que le bâtiment entier peut disparaître.

Ce que protège chaque chiffre

Trois copies couvrent le cas ordinaire : un disque lâche, un fichier est supprimé, quelqu’un écrase un tableur. La production plus deux sauvegardes signifie qu’une sauvegarde peut être corrompue ou en cours de rotation sans vous laisser à découvert.

Deux types de supports couvrent la défaillance corrélée. Deux jeux de sauvegarde sur la même baie partagent un contrôleur, une version de firmware et une alimentation. Quand cet élément commun tombe, les deux copies tombent ensemble, et vous découvrez que vous n’aviez jamais eu deux copies.

Une copie externalisée couvre le site lui-même : incendie, dégât des eaux, vol, ou un bâtiment auquel vous n’avez plus accès. C’est le chiffre le plus souvent satisfait sur le papier seulement, généralement par un disque rangé dans la même pièce que le serveur.

Là où la règle ne suffit plus

La règle suppose que les défaillances sont accidentelles. Un rançongiciel ne l’est pas, et il cherche précisément les sauvegardes.

Si votre serveur de sauvegarde est intégré au domaine et joignable avec les identifiants déjà dérobés, vos trois copies sont trois cibles. Les attaquants suppriment ou chiffrent couramment les dépôts de sauvegarde avant de toucher à la production, justement pour que payer devienne la seule option.

C’est pourquoi les recommandations actuelles ajoutent deux conditions aux trois chiffres d’origine :

• Une copie immuable ou hors ligne. Un stockage qui ne peut être ni modifié ni supprimé pendant une durée définie, ou un support physiquement déconnecté. L’objectif est une copie que des identifiants volés ne peuvent pas atteindre.
• Zéro erreur au test de restauration. Non pas « la tâche indique un succès », mais une restauration documentée ayant produit des données exploitables.

Une note sur la conservation

Contrairement à ce que suggère une lecture purement technique, la durée de conservation n’est pas un choix libre : obligations comptables et fiscales d’un côté, exigences du RGPD sur les durées de conservation de l’autre. Les deux s’appliquent à la même sauvegarde. Vérifiez le cadre qui s’impose à votre structure avant de fixer des durées en fonction du seul espace disque disponible.

Ce qu’il faut vérifier cette semaine

Ouvrez votre configuration de sauvegarde et répondez honnêtement à trois questions. Où se trouve physiquement chaque copie ? Quels identifiants peuvent supprimer chacune d’elles ? Quand quelqu’un a-t-il restauré depuis chacune pour la dernière fois, et quoi exactement ?

Si la troisième question reste sans réponse, vous avez un calendrier de sauvegarde et pas encore une stratégie. Cet écart mérite plus d’attention que n’importe quelle modification du calendrier.