Sauvegarde 3-2-1 : la règle qui sauve les PME des ransomwares

En 2025, l'ANSSI a recensé plus de 4 000 incidents cyber signalés par des entreprises françaises. Parmi elles, une écrasante majorité de PME. Le coût moyen d'une attaque par ransomware pour une PME est estimé à sur devis, et 75 % des entreprises touchées qui n'ont pas de sauvegarde fiable ferment dans les 6 mois.

La parade existe, elle est connue depuis 20 ans, et elle s'appelle la règle 3-2-1.

La règle 3-2-1, c'est quoi ?

• 3 copies de vos données (la production + 2 sauvegardes)
• Sur 2 supports différents (disque local + bande / NAS / cloud)
• Dont 1 copie hors site (cloud, datacenter distant, disque chez un dirigeant)

L'idée : aucun sinistre unique (incendie, vol, ransomware, erreur humaine) ne peut détruire vos 3 copies.

Pourquoi le « hors site » est non négociable

Un ransomware moderne chiffre tout ce qu'il atteint, y compris les partages réseau et les NAS connectés. Si votre sauvegarde est sur le NAS de l'open space, elle sera chiffrée en même temps que la production. La copie hors site, déconnectée ou immuable, est votre dernier rempart.

Les supports modernes

Support	Avantages	Inconvénients
NAS Synology / QNAP	Rapide, simple	Vulnérable si connecté en permanence
Disques externes rotatifs	Air gap réel	Manipulation manuelle
Bande LTO	Très longue durée, immuable	Investissement initial
Cloud S3 (Wasabi, OVH)	Hors site géographique	Coûts à long terme
Proxmox Backup Server distant	Dédupliqué, vérifié	Nécessite un site distant

La règle 3-2-1-1-0 (version moderne)

Veeam a popularisé une variante :

• 3 copies
• 2 supports
• 1 hors site
• 1 immuable (impossible à modifier ou supprimer, même par un admin)
• 0 erreur lors du test de restauration

L'immuabilité (S3 Object Lock, snapshots ZFS verrouillés) est aujourd'hui le seul vrai antidote au ransomware.

Et la fréquence ?

Posez-vous deux questions :

• RPO (Recovery Point Objective) : combien de données pouvez-vous vous permettre de perdre ? 1 jour ? 1 heure ?
• RTO (Recovery Time Objective) : combien de temps pouvez-vous être à l'arrêt ?

Pour une PME typique : sauvegarde horaire des bases de données, quotidienne des fichiers, hebdomadaire complète externalisée.

Le test de restauration

Une sauvegarde jamais testée n'existe pas. Programmez un test de restauration complet tous les mois sur un environnement isolé. Mesurez le temps, documentez les écarts. Le jour de l'incident, vous serez prêt.

Combien ça coûte ?

Pour 500 Go de données critiques :

• NAS Synology + Proxmox Backup Server : sur devis one-shot
• Stockage cloud Wasabi (immuable) : ~sur devis/To/mois
• Infogérance + supervision : 100 à sur devis/mois

Soit environ sur devis la première année. À comparer aux sur devis d'un sinistre.