La règle 3-2-1 consiste à garder 3 copies de vos données, sur 2 supports différents, dont 1 déconnectée du réseau. C'est la recommandation de l'ANSSI comme de la CNIL. Son intérêt est simple : si un rançongiciel chiffre vos ordinateurs et tout ce qui leur est connecté, la copie hors ligne reste intacte et vous pouvez repartir.
01Pourquoi une sauvegarde « classique » ne suffit plus
Un rançongiciel est un logiciel malveillant qui rend vos fichiers illisibles, puis exige une rançon pour les débloquer. En 2025, 128 compromissions par rançongiciel ont été portées à la connaissance de l'ANSSI, et les PME, TPE et ETI restent la catégorie de victimes la plus touchée, avec 48 % des cas (Panorama de la cybermenace 2025, ANSSI, mars 2026).
La plupart des petites entreprises sauvegardent déjà : parmi les TPE/PME équipées d'au moins un dispositif de sécurité, 78 % déclarent faire des sauvegardes (baromètre Cybermalveillance.gouv.fr 2025, OpinionWay, 588 entreprises interrogées). Le problème est ailleurs. Comme le rappelle l'ANSSI, « il est fréquent qu'un attaquant tente de chiffrer, d'effacer ou de rendre indisponible l'infrastructure de sauvegarde » (guide « Sauvegarde des systèmes d'information – Les fondamentaux », version 1.1, novembre 2025). Un disque branché en permanence ou un serveur de stockage accessible depuis le réseau peut être chiffré en même temps que le reste.
Autre confusion fréquente : la synchronisation n'est pas une sauvegarde. Un dossier synchronisé dans le cloud recopie aussi les suppressions et les fichiers chiffrés. Certains services conservent un historique des versions, mais cela ne remplace pas une vraie sauvegarde.
02La règle 3-2-1 expliquée simplement
- 3 copies : vos données de travail, plus deux sauvegardes distinctes.
- 2 supports différents : par exemple un serveur de stockage et un espace de sauvegarde en ligne, pour qu'une seule panne ne détruise pas tout.
- 1 copie hors ligne : sur un support déconnecté du réseau, donc hors d'atteinte d'un attaquant.
L'ANSSI juge cette copie hors ligne « indispensable », même si elle est moins fréquente que les sauvegardes quotidiennes ; à défaut, et sous conditions, une copie hors site en ligne peut s'y substituer (recommandation R12 du guide cité plus haut). La CNIL reprend la même règle dans ses règles essentielles de sécurité des données, mises à jour en juin 2026. Elle recommande aussi de stocker au moins une sauvegarde sur un site géographiquement distinct (fiche « Sauvegarder », mars 2024) : en cas d'incendie ou de cambriolage, une copie rangée dans le même bureau ne sert à rien.
Et la « 3-2-1-1-0 » ?
Vous croiserez peut-être cette variante chez les éditeurs de logiciels de sauvegarde. Ce n'est pas une norme officielle. Elle distingue une copie hors site (le premier « 1 ») et une copie isolée ou immuable (le second « 1 »), et ajoute zéro erreur lors des tests de restauration (le « 0 »). Ces deux ajouts rejoignent les recommandations de l'ANSSI, détaillées ci-dessous.
03Hors ligne ou immuable : la copie que l'attaquant ne peut pas toucher
Une copie hors ligne est stockée sur un support débranché : disque externe rangé après usage, bande magnétique. Pour l'ANSSI, la bande reste le moyen le plus efficace pour cet usage ; dans une TPE, des disques externes en alternance sont plus simples à gérer.
Une copie immuable reste en ligne, mais le stockage interdit toute modification ou suppression pendant une durée définie. On parle de stockage WORM, pour write once, read many : écrire une fois, lire plusieurs fois. L'ANSSI considère le hors ligne plus robuste, mais admet un compromis : des sauvegardes régulières sur un stockage immuable, complétées par une copie hors ligne moins fréquente.
Dernier point, souvent oublié : les accès à la sauvegarde doivent être distincts de ceux du réseau de l'entreprise. Si le même mot de passe administrateur ouvre tout, l'attaquant qui l'a volé efface aussi vos sauvegardes. Protégez ces comptes avec la double authentification.
04Rétention et tests : les deux angles morts
La durée de rétention fixe jusqu'à quelle date vous pouvez remonter. Une intrusion ou une suppression accidentelle est parfois découverte des semaines plus tard : garder seulement les sept dernières nuits ne suffit pas. L'ANSSI donne en exemple 15 jours de sauvegardes journalières, 1 an de mensuelles et 5 ans d'annuelles, à adapter à votre activité.
Les tests de restauration sont le seul moyen de savoir si vos sauvegardes fonctionnent. L'ANSSI demande que les sauvegardes soient « testées régulièrement » et qu'une procédure de restauration soit rédigée. Une sauvegarde jamais restaurée reste une hypothèse.
À retenir
Une sauvegarde qui vous protège d'un rançongiciel est déconnectée (ou immuable), conservée assez longtemps et testée régulièrement.
05Cloud ou NAS : que choisir ?
Les deux sont complémentaires.
| Support | Atouts | Limites |
|---|---|---|
| NAS (serveur de stockage dans vos locaux) | Restauration rapide, sans dépendre d'internet | Exposé au rançongiciel s'il reste connecté, et aux sinistres des locaux |
| Sauvegarde en ligne (cloud) | Hors site par nature, immuabilité possible | Restauration limitée par le débit internet, hébergement à vérifier |
| Disque externe débranché | Réellement hors ligne, peu coûteux | Demande de la discipline : le brancher, puis le débrancher et l'emporter |
Pour le cloud, l'ANSSI appelle à la vigilance sur deux points : la localisation des sauvegardes dans l'Union européenne et leur chiffrement par l'entreprise elle-même avant l'envoi.
06Exemple concret : une TPE de 5 postes
Prenons un cabinet de 5 personnes, avec ses dossiers sur un NAS et une messagerie en ligne.
- Copie 1 : les données de travail, sur le NAS.
- Copie 2 : chaque nuit, une sauvegarde automatique et chiffrée vers un stockage en ligne immuable, hébergé en Europe.
- Copie 3 : chaque semaine, une copie sur un disque externe, débranché ensuite et emporté hors des locaux, en alternance avec un second disque.
- Messagerie et fichiers en ligne : une sauvegarde dédiée, car ces données ne passent pas par le NAS.
- Rétention : par exemple 30 jours de sauvegardes journalières et 12 mois de mensuelles.
- Contrôle : un rapport de sauvegarde vérifié chaque jour, la restauration d'un dossier chaque mois et un test complet chaque trimestre.
Ce schéma est un exemple, à ajuster selon votre volume de données et la durée d'arrêt que votre activité peut supporter.
En résumé
- 3 copies, 2 supports, 1 hors ligne : c'est la règle recommandée par l'ANSSI et la CNIL.
- La copie hors ligne ou immuable est celle qui vous sauve d'un rançongiciel.
- Une sauvegarde n'est fiable que si sa restauration a été testée.
- Prévoyez une rétention de plusieurs semaines, voire de plusieurs mois.
Pour mettre en place ou vérifier votre stratégie de sauvegarde, découvrez nos solutions de cloud et sauvegarde ou contactez-nous.