La règle de sauvegarde 3-2-1 expliquée

Que dit exactement la règle 3-2-1 ?

La règle 3-2-1 est un principe de bon sens formalisé par les professionnels de la sauvegarde informatique :

• 3 copies de chaque donnée importante : l'original en production, plus deux sauvegardes distinctes.
• 2 supports différents : par exemple un NAS local et un stockage cloud. L'idée : une défaillance qui touche un type de support (panne de disque, ransomware chiffrant le réseau) ne doit pas toucher l'autre.
• 1 copie hors site : physiquement ailleurs que dans vos locaux, pour survivre à un incendie, un dégât des eaux, un cambriolage — ou un ransomware qui chiffre tout ce qui est connecté au réseau local.

Chaque chiffre répond à un scénario de perte réel. Une seule sauvegarde peut être corrompue ou avoir échoué la veille de l'incident. Deux sauvegardes sur le même NAS disparaissent ensemble si le NAS brûle. Deux copies dans le même bâtiment disparaissent ensemble en cas de sinistre. La règle 3-2-1 casse ces scénarios un par un.

Pourquoi c'est indispensable, chiffres à l'appui

Les causes de perte de données en entreprise sont banales : panne matérielle, suppression accidentelle par un utilisateur, vol d'ordinateur portable, et de plus en plus souvent attaque par ransomware. Dans ce dernier cas, les attaquants cherchent systématiquement à chiffrer ou détruire les sauvegardes accessibles depuis le réseau avant de chiffrer la production : une sauvegarde uniquement locale et connectée en permanence ne protège plus de grand-chose.

Autre point souvent oublié : les données dans Microsoft 365 ou Google Workspace ne sont pas éternellement récupérables. Les corbeilles ont des durées de rétention limitées ; une sauvegarde tierce de Microsoft 365 reste nécessaire.

Comment mettre en place le 3-2-1 dans une PME

1. Identifiez ce qui doit être sauvegardé. Serveurs de fichiers, bases de données, messagerie, postes des dirigeants, applications métier. Classez par criticité : que pouvez-vous vous permettre de perdre, et sur quelle profondeur d'historique ?
2. Choisissez la copie locale (support n°1). Un NAS ou un serveur de sauvegarde dédié, avec des sauvegardes automatiques quotidiennes et un historique de versions. La copie locale sert aux restaurations rapides du quotidien : fichier écrasé, poste en panne.
3. Ajoutez la copie hors site (support n°2). Le plus simple aujourd'hui : une réplication chiffrée vers un cloud de sauvegarde, idéalement hébergé en France ou dans l'UE pour la conformité RGPD. L'alternative historique — disques ou bandes emportés hors site — fonctionne encore mais dépend de la discipline humaine. Le comparatif complet est dans notre guide sauvegarde cloud vs locale.
4. Rendez une copie inaltérable. La variante moderne « 3-2-1-1-0 » ajoute : 1 copie hors ligne ou immuable (stockage objet verrouillé, bande déconnectée), et 0 erreur vérifiée par des tests. C'est la parade spécifique aux ransomwares.
5. Automatisez et supervisez. Une sauvegarde manuelle finit toujours par être oubliée. Chaque tâche doit remonter son statut, et un échec doit déclencher une alerte traitée — c'est typiquement ce qu'assure une supervision informatique ou un contrat d'infogérance.
6. Testez la restauration. Une sauvegarde n'existe que si on a déjà restauré avec. Testez un fichier chaque mois, une machine complète chaque trimestre, et chronométrez : ce temps de restauration alimente votre plan de reprise d'activité.

Les erreurs qui vident la règle de sa substance

• La copie « hors site » sur un disque USB… branché en permanence au serveur. Un ransomware le chiffrera avec le reste. Hors site signifie déconnecté du réseau de production.
• La synchronisation confondue avec la sauvegarde. OneDrive ou Dropbox répliquent aussi les suppressions et les chiffrements : c'est de la synchronisation, pas un historique de sauvegarde.
• Aucun test de restauration. Découvrir que les sauvegardes étaient vides le jour du sinistre est un classique des interventions d'urgence.
• Oublier les données cloud (messagerie, SharePoint, CRM SaaS) sous prétexte que « c'est déjà dans le cloud ».
• Ne pas chiffrer la copie externalisée, alors qu'elle contient toutes les données de l'entreprise.

Point d'attention : la règle 3-2-1 protège les données, pas l'activité. Pour redémarrer vite après un sinistre, il faut aussi un plan : voyez notre guide du PRA informatique.