La règle 3-2-1 tient en une phrase : gardez 3 copies de vos données, sur 2 supports différents, dont 1 hors de vos locaux. C’est simple, peu coûteux à mettre en place, et c’est ce qui fait la différence le jour où un disque lâche, où un PC est volé ou où un rançongiciel chiffre vos fichiers.
La règle 3-2-1, en clair
3 copies : vos données « vivantes » (celles sur lesquelles vous travaillez) plus deux sauvegardes. Une seule sauvegarde, c’est un seul point de défaillance : si elle est corrompue ou incomplète le jour où vous en avez besoin, vous n’avez plus rien.
2 supports différents : par exemple un serveur de fichiers (NAS) au bureau et un stockage dans le cloud. L’idée est qu’une même panne, un même bug ou une même erreur ne puisse pas toucher toutes les copies en même temps.
1 copie hors site : un incendie, un dégât des eaux ou un cambriolage emportent tout ce qui se trouve dans le bâtiment, sauvegardes comprises. Une copie doit donc vivre ailleurs : dans un centre de données, ou au minimum sur un disque rangé dans un autre lieu.
Avec la montée des rançongiciels, on parle souvent d’une version renforcée, la règle 3-2-1-1-0 : une copie supplémentaire hors ligne ou non modifiable, et zéro erreur constatée lors des tests de restauration. On y revient plus bas.
Quoi sauvegarder dans une PME ?
La bonne question n’est pas « quels fichiers ? » mais « qu’est-ce qui m’empêcherait de travailler demain matin si je le perdais ? ». En pratique, quatre familles reviennent dans presque toutes les entreprises :
Les PC et portables
Documents, bureau, dossiers téléchargés, fichiers locaux de logiciels métier. Beaucoup de données vivent encore « juste sur le PC » sans que personne le sache.
Serveur, NAS, logiciels métier
Comptabilité, gestion commerciale, bases de données, partages réseau. À sauvegarder avec un outil qui sait copier une base en cours d’utilisation sans la corrompre.
Microsoft 365 ou Google Workspace
E-mails, OneDrive, SharePoint, Teams. Hébergé ailleurs ne veut pas dire sauvegardé (voir la partie suivante).
Le site internet
Fichiers et base de données du site, à sauvegarder ensemble. Chez QWEB, nos hébergements sont sauvegardés automatiquement sur 7 jours glissants : vous pouvez revenir à l’état de n’importe lequel des 7 derniers jours.
N’oubliez pas les éléments moins visibles : la configuration du pare-feu et de la box, les licences et codes d’activation des logiciels, les mots de passe (dans un gestionnaire de mots de passe, lui aussi sauvegardé).
Microsoft 365 n’est pas une sauvegarde au sens strict
C’est l’idée reçue la plus répandue. Microsoft s’appuie sur un modèle de responsabilité partagée : Microsoft garantit que ses serveurs fonctionnent, que les données sont répliquées entre ses centres de données et que le service reste disponible. Mais les données elles-mêmes, les comptes et les accès restent sous votre responsabilité.
Concrètement, Microsoft 365 offre des filets de sécurité, pas une sauvegarde complète. Un fichier supprimé dans SharePoint ou OneDrive reste dans les corbeilles 93 jours. Un e-mail supprimé puis retiré du dossier « Éléments supprimés » reste récupérable 14 jours par défaut (l’administrateur peut porter ce délai à 30 jours). Au-delà, ou si c’est le compte entier qui a été supprimé, vidé par un pirate ou chiffré via la synchronisation OneDrive, les retours en arrière deviennent limités ou impossibles.
Pour vos données Microsoft 365, une vraie sauvegarde copie régulièrement les boîtes mails, OneDrive, SharePoint et Teams vers un espace indépendant, avec un historique long. Microsoft propose désormais son propre service payant (Microsoft 365 Backup), et des éditeurs spécialisés en proposent aussi.
Face aux rançongiciels : la copie qu’on ne peut pas toucher
Un rançongiciel chiffre vos fichiers et réclame une rançon pour les rendre. Les attaquants savent que la sauvegarde est votre porte de sortie : ils la cherchent en premier. Un disque USB branché en permanence ou un NAS accessible depuis tous les postes sera chiffré en même temps que le reste.
Une synchronisation n’est pas une sauvegarde. OneDrive, Dropbox ou Google Drive recopient fidèlement vos fichiers, y compris quand ils viennent d’être chiffrés ou supprimés.
Gardez au moins une copie hors ligne ou non modifiable (on parle de sauvegarde « immuable ») : un disque débranché après chaque sauvegarde, ou un stockage cloud qui interdit toute suppression pendant une durée fixée.
Protégez l’accès à la sauvegarde par un compte dédié, avec double authentification, qui ne sert à rien d’autre.
Pour aller plus loin, le site public Cybermalveillance.gouv.fr publie des fiches pratiques destinées aux entreprises, sur les sauvegardes comme sur la conduite à tenir en cas d’attaque.
Une sauvegarde non testée n’existe pas
Beaucoup d’entreprises découvrent le jour de la panne que la sauvegarde s’était arrêtée depuis des mois, qu’elle oubliait un dossier ou qu’elle ne se restaure pas. Le seul moyen d’en être sûr, c’est d’essayer, à froid, quand tout va bien :
- Vérifiez les rapports chaque semaine. Un logiciel de sauvegarde envoie des alertes : quelqu’un doit les lire, et réagir à un échec.
- Restaurez un fichier au hasard chaque mois. Un document, un e-mail, un dossier : il doit revenir intact et s’ouvrir.
- Faites un vrai test une ou deux fois par an. Remontez un serveur ou un logiciel métier complet sur une autre machine, et chronométrez.
- Notez la procédure. Qui fait quoi, où sont les accès, combien de temps cela prend. Le jour J, ce n’est pas le moment de chercher.
Ce test répond aussi à deux questions à se poser avec son prestataire : combien de données pouvez-vous vous permettre de perdre (une heure, une journée ?), et combien de temps pouvez-vous rester sans outil ? Les réponses fixent la fréquence des sauvegardes et le choix des solutions.
$ qweb aide --sujet=sauvegardeDes sauvegardes qui se restaurent vraiment
QWEB fait le point sur ce que vous sauvegardez déjà, met en place une stratégie 3-2-1 adaptée à vos postes, serveurs et Microsoft 365, et vérifie qu’elle fonctionne.
