En bref : La règle 3-2-1 sauvegarde exige trois copies de vos données, sur deux types de supports différents, dont une copie hors site. Elle existe pour qu’aucun sinistre unique, feu, rançongiciel ou erreur humaine, ne puisse détruire à la fois vos données originales et toutes leurs copies. C’est une pratique, pas une case à cocher.
La plupart des PME ont une sauvegarde. Peu ont une sauvegarde qui respecte réellement les trois conditions de la règle. La différence ne se voit pas tant qu’un sinistre ne survient pas, et c’est exactement le problème : elle se découvre au pire moment, celui où il est trop tard pour la corriger.
Ce guide décrit la règle telle qu’elle s’applique à une PME québécoise, ce que la plupart des gens appellent tout simplement un « backup ». Il démonte aussi trois faux sentiments de sécurité qui la vident de son sens sans que personne ne s’en aperçoive :
- la tâche de sauvegarde « verte » jamais vérifiée
- le NAS installé dans la même pièce que le serveur
- l’infonuagique présumé infaillible
Personne ne remet en question sa sauvegarde tant que rien ne va mal. Un employé efface un dossier par erreur, un poste est chiffré par un rançongiciel, un disque lâche un vendredi soir : c’est à ce moment précis que la question change de nature. Elle ne demande plus « avons-nous une sauvegarde », elle demande « pouvons-nous vraiment restaurer, à partir d’où, et en combien de temps ». La règle 3-2-1 sauvegarde existe pour que la réponse à cette deuxième question ne dépende jamais d’un seul point de défaillance.
Dans cet article
C’est quoi, la règle 3-2-1 sauvegarde ?
La règle 3-2-1 sauvegarde est une pratique de continuité informatique, pas une norme officielle au sens légal. Elle repose sur une idée simple : aucun mécanisme de protection unique ne survit à tous les scénarios de perte de données. Elle se résume en trois chiffres.
Trois copies de vos données : l’original, plus deux copies distinctes. Deux types de supports différents : pas deux disques identiques dans le même boîtier, mais des supports qui ne partagent pas la même vulnérabilité, un disque local et un service infonuagique par exemple. Une copie hors site : séparée, physiquement ou logiquement, du lieu où vivent vos données originales, pour qu’un même sinistre ne puisse pas les atteindre toutes les deux en même temps.
Le principe rejoint l’esprit de la norme ISO 22301, consacrée à la continuité d’activité, sans qu’il soit nécessaire d’être certifié pour l’appliquer. Le Centre canadien pour la cybersécurité publie aussi des guides destinés aux PME qui vont dans le même sens.
Le tableau suivant résume les trois composantes de la règle et l’erreur la plus fréquente observée pour chacune.
| Composante | Ce qu’elle exige | Erreur fréquente observée |
|---|---|---|
| 3 copies | L’original, plus deux copies indépendantes | Compter une copie et sa réplique automatique comme deux copies distinctes |
| 2 supports | Deux technologies de stockage réellement différentes | Deux disques identiques branchés sur le même serveur |
| 1 copie hors site | Isolée du lieu et du réseau des données originales | Un NAS dans la pièce voisine, sur le même réseau |
Chacune de ces trois lignes a l’air simple sur papier. C’est dans l’application que les PME perdent une des trois conditions sans s’en rendre compte.
Pourquoi une sauvegarde automatique n’est-elle pas une garantie ?
Une tâche de sauvegarde qui affiche un crochet vert confirme une seule chose : un script s’est exécuté sans erreur signalée. Elle ne confirme pas que les fichiers copiés sont complets, ni qu’ils sont restaurables, ni que la base de données n’a pas été capturée à mi-transaction.
Ce faux sentiment de sécurité n’est la faute de personne en particulier. Une sauvegarde configurée il y a deux ans, jamais revue depuis, continue de tourner même si le dossier qu’elle protège a changé de nom, ou si le service qu’elle visait a été remplacé par un autre. Le voyant reste vert, comme un feu de circulation qui reste au vert même si la route est coupée plus loin. Les données utiles, elles, ne sont plus dedans depuis longtemps.
C’est souvent le même mécanisme qui explique pourquoi vos TI tiennent au duct tape : des correctifs empilés au fil des années, personne n’a le mandat de tout revalider, et l’ensemble tient tant que rien ne casse. La seule façon de savoir qu’une sauvegarde fonctionne, c’est de restaurer réellement un échantillon de données et de vérifier qu’il s’ouvre, se lit et correspond à l’original.
Un scénario revient souvent. Un logiciel de comptabilité change de version, sa base de données change de format ou d’emplacement, et le script de sauvegarde continue de copier l’ancien chemin, devenu vide. Le rapport quotidien indique un succès pendant des mois.
Le jour où quelqu’un a besoin d’une restauration, la copie existe, mais elle est vide ou périmée. Personne n’a menti, personne n’a été négligent : le contrôle qui aurait détecté l’écart n’existait tout simplement pas.
Un NAS dans le même local compte-t-il comme une copie hors site ?
Un NAS installé dans le même local que le serveur ne compte pas comme une copie hors site. Un NAS, un boîtier de stockage en réseau (Network Attached Storage), est un excellent outil pour la deuxième copie sur un support différent, mais il ne la remplace jamais.
Un NAS installé dans la même pièce, le même local technique ou le même bâtiment que le serveur qu’il protège partage les mêmes risques physiques :
- un feu
- un dégât d’eau
- un vol
- une panne électrique qui touche les deux appareils en même temps
Un rançongiciel qui se propage sur le réseau ne fait pas de distinction non plus. Il chiffre tout ce qui lui est accessible, serveur et NAS compris, si les deux sont visibles l’un de l’autre sans barrière.
Le test est simple. Si un même événement peut détruire ou rendre inaccessibles vos données originales et votre copie en même temps, ce n’est pas une copie hors site au sens de la règle 3-2-1 sauvegarde, peu importe où le NAS est physiquement rangé.
Le nuage me protège-t-il automatiquement ?
Un fournisseur infonuagique protège son infrastructure, pas vos données contre vos propres erreurs. C’est l’un des malentendus les plus coûteux en entreprise. Il assure les pannes de disque, les défaillances matérielles et la redondance entre ses propres centres de données, rien de plus.
Ce partage des responsabilités a un nom, le modèle de responsabilité partagée. Le fournisseur garde le nuage debout. Ce qui arrive à l’intérieur, la suppression accidentelle d’un dossier, un compte compromis par hameçonnage, une mauvaise configuration qui rend un espace de stockage accessible à tous, reste sous votre responsabilité.
Au Québec, la Loi 25 exige des mesures de sécurité raisonnables pour protéger les renseignements personnels que vous détenez. Une copie de données qui existe uniquement dans le service infonuagique que vous utilisez au quotidien, sans copie distincte ni hors site, ne satisfait pas cette exigence si ce service est justement celui qui est compromis.
Comment appliquer la règle 3-2-1 sauvegarde dans une PME ?
L’application concrète tient en cinq gestes. Aucun n’exige un budget de grande entreprise, mais chacun exige une décision claire, pas une présomption.
- Inventoriez ce qui doit vraiment être protégé : bases de données, dossiers partagés, configurations serveur, courriels si vous les hébergez vous-même. Un inventaire incomplet produit une sauvegarde incomplète, peu importe la sophistication de l’outil.
- Choisissez deux supports réellement différents pour vos deux copies additionnelles, un stockage local et un service infonuagique distinct de celui où vivent vos données de production, par exemple.
- Isolez la copie hors site logiquement, pas seulement géographiquement. Une copie hors site mais toujours connectée en permanence au même réseau reste exposée à un rançongiciel qui se propage. Une copie déconnectée après chaque sauvegarde, ou rendue immuable pendant une période fixe, résiste à ce scénario.
- Documentez qui est responsable de vérifier chaque copie, et à quelle fréquence. Une tâche sans propriétaire nommé finit par ne plus être surveillée par personne.
- Planifiez un test de restauration à intervalle régulier, pas seulement une vérification que le voyant est vert.
Une PME qui n’a pas d’équipe TI interne dédiée n’a pas à construire tout cela seule. Un fournisseur infogéré ou un service de sauvegarde géré peut assumer une partie de ces gestes, à condition que le contrat précise clairement lequel des deux, le client ou le fournisseur, est responsable de chaque copie et de chaque test. Une responsabilité qui n’appartient à personne par écrit finit par n’appartenir à personne dans les faits.
Ces cinq gestes ne couvrent qu’une partie de la continuité informatique. Le plan de relance, les délais de restauration acceptables et les tests qui en découlent font l’objet d’un traitement complet dans notre guide sur les sauvegardes, le plan de relance et les tests.
Une chose revient souvent dans nos audits : des dirigeants convaincus de respecter la règle 3-2-1 sauvegarde découvrent, une fois leurs sauvegardes vérifiées de façon indépendante, qu’une des trois conditions manque. Ce n’est pas une question de mauvaise volonté. C’est une question de vérification. Un audit TI indépendant confirme, preuves à l’appui, si vos trois copies existent réellement, sur des supports réellement différents, avec une copie réellement isolée.
Pour aller plus loin avec Factero :
Foire aux questions
La règle 3-2-1 est-elle une exigence légale au Québec ?
Non. C’est une pratique reconnue en continuité informatique, pas une obligation prévue par un texte de loi. La Loi 25 exige tout de même des mesures de sécurité raisonnables pour les renseignements personnels, et une sauvegarde qui ne respecte aucune des trois conditions de la règle a peu de chances de satisfaire cette exigence en cas d’incident.
Une copie infonuagique suffit-elle à elle seule ?
Non. Une seule copie, même infonuagique, reste une seule copie. Elle ne répond ni à l’exigence des trois copies, ni à celle des deux supports différents, et elle dépend entièrement de la sécurité du compte infonuagique qui héberge vos données de production.
Faut-il tester ses sauvegardes, et à quelle fréquence ?
Oui, et l’absence de test est la faille la plus fréquente que révèlent nos audits. La fréquence dépend de la criticité des données, mais une sauvegarde jamais testée équivaut, en pratique, à une sauvegarde dont personne ne connaît l’état réel.
Un fournisseur infogéré qui gère déjà nos sauvegardes couvre-t-il automatiquement la règle 3-2-1 ?
Pas automatiquement. Un fournisseur peut couvrir une partie ou l’ensemble des trois conditions, mais seulement si son contrat le précise noir sur blanc : combien de copies, sur quels supports, avec quel niveau d’isolation pour la copie hors site. Un dirigeant qui n’a jamais vu cette description par écrit ne sait pas réellement ce qu’il a acheté.
La règle 3-2-1 suffit-elle encore contre les rançongiciels ?
Pas à elle seule si aucune copie n’est isolée. Elle protège bien contre une panne matérielle ou un sinistre physique, mais un rançongiciel qui se propage sur le réseau peut atteindre une copie hors site si elle reste connectée en permanence aux mêmes identifiants. La condition qui fait la différence : au moins une copie déconnectée entre les sauvegardes, ou rendue immuable pour une période fixe.
