La règle 3-2-1 aide à éviter qu’un incident, une erreur ou un rançongiciel détruise toutes les copies d’une entreprise. Sa valeur dépend toutefois de l’isolement, de la rétention et des tests de restauration.
Rédaction : Cybersécurité Solution.
Synthèse documentaire préparée à partir des sources institutionnelles et des documentations officielles citées dans l’article. Consulter notre méthodologie éditoriale.
Vérification éditoriale : 12 août 2026. Ce contenu a une vocation informative et ne constitue pas un conseil technique personnalisé.
Cette page présente des informations générales issues de publications officielles. Cybersécurité Solution ne réalise aucune intervention technique et ne fournit pas de conseil personnalisé. Chaque environnement doit être examiné selon son contexte par un professionnel compétent.
La sauvegarde est souvent présentée comme une opération automatique et rassurante : un logiciel copie les fichiers, un voyant reste vert et l’entreprise considère le sujet comme réglé. Pourtant, les incidents montrent régulièrement qu’une copie peut être incomplète, corrompue, accessible à l’attaquant ou impossible à restaurer dans les délais nécessaires.
La règle 3-2-1 fournit un principe simple : conserver au moins trois exemplaires des données, sur deux types de supports ou environnements différents, avec une copie située hors du lieu principal. Elle ne désigne ni un produit ni une architecture universelle. Elle sert de cadre pour éviter qu’une même panne ou une même compromission atteigne toutes les copies.
Pour une TPE ou une PME, l’enjeu n’est pas de sauvegarder absolument tout de la même manière. Les fichiers comptables, la base clients, les documents de production et les configurations techniques n’ont pas les mêmes exigences de fréquence, de conservation et de délai de reprise. Une stratégie utile commence donc par les activités à rétablir.
Ce guide explique la logique 3-2-1, les erreurs fréquentes et les questions à examiner avec un prestataire. Il ne fournit pas de configuration personnalisée : le choix des supports, du chiffrement et des durées doit être adapté aux données, aux contrats et aux obligations de l’organisation.
Le fichier de travail constitue une première copie ; deux sauvegardes supplémentaires réduisent le risque qu’une erreur ou une panne unique supprime toute possibilité de récupération. Les copies doivent être réellement distinctes, et non plusieurs versions stockées dans le même espace compromis.
La diversité limite les défaillances communes. Une copie locale et une copie dans un service cloud peuvent répondre à cette logique, à condition que les identifiants, droits et mécanismes de suppression ne permettent pas à un même incident de tout atteindre.
Une copie située ailleurs protège contre un sinistre physique et certains incidents locaux. Face aux rançongiciels, l’isolement logique est tout aussi important : une sauvegarde toujours connectée avec des droits administrateur identiques peut être chiffrée ou supprimée en même temps que les données de production.
La synchronisation réplique rapidement les modifications entre plusieurs appareils. Elle est pratique pour travailler, mais elle peut aussi propager une suppression ou un chiffrement. L’archivage conserve des documents sur une longue durée pour des besoins juridiques ou métiers. La sauvegarde vise la récupération après une perte, une erreur ou un incident.
Un même service peut combiner certaines fonctions, mais les objectifs restent différents. Une entreprise qui possède des fichiers synchronisés sur trois ordinateurs n’a pas nécessairement trois sauvegardes : si la suppression est reproduite partout, aucune copie indépendante ne subsiste.
La stratégie commence par un inventaire simple : quelles données permettent de facturer, produire, livrer, communiquer ou respecter les obligations légales ? Où sont-elles stockées ? Qui les administre ? Combien de temps l’activité peut-elle fonctionner sans elles ?
Les réponses conduisent à deux indicateurs souvent utilisés en continuité : la quantité de données que l’organisation accepte de perdre entre deux copies et le temps maximal souhaité pour reprendre une fonction. Sans ces repères, la fréquence de sauvegarde est choisie au hasard et la capacité de restauration reste inconnue.
Les sauvegardes constituent une cible prioritaire lors d’une attaque. Un compte administrateur unique utilisé à la fois pour la production et pour les copies augmente le risque. La séparation des droits, l’authentification multifacteur, la journalisation et les mécanismes d’immutabilité peuvent limiter la suppression ou la modification non autorisée.
Le prestataire peut expliquer qui possède les droits de suppression, comment les accès sont révoqués lorsqu’un salarié part et quelles alertes existent en cas d’échec ou de volume inhabituel. Une console accessible depuis la même messagerie compromise que les autres services mérite une attention particulière.
Un test de restauration vérifie que les fichiers peuvent être lus, que les droits sont correctement rétablis et que la documentation permet à une personne autorisée d’effectuer l’opération. Il peut porter sur un document, une boîte mail, une base de données ou une application complète selon le niveau de risque.
La fréquence des tests dépend de la criticité et des changements techniques. Une migration, un changement de prestataire ou une nouvelle application justifie souvent un test supplémentaire. Le compte rendu doit indiquer la date, le périmètre, le temps nécessaire et les anomalies rencontrées.
Ces éléments doivent apparaître dans les documents contractuels ou dans une description technique compréhensible. Une promesse générale de « sauvegarde sécurisée » ne permet pas d’évaluer la couverture réelle ni les responsabilités de chacun.
La fréquence de sauvegarde doit partir d’une question métier : combien d’heures ou de jours de travail l’entreprise peut-elle réellement perdre ? Les données de facturation, commandes ou production peuvent demander une fréquence différente des archives documentaires. Cette décision doit être documentée plutôt que déduite d’un réglage par défaut du fournisseur.
Utiliser une application cloud ne signifie pas automatiquement disposer d’une sauvegarde correspondant aux besoins de l’entreprise. Il faut vérifier la rétention, les possibilités de restauration, les suppressions définitives, les exports et la récupération en cas de perte d’accès au compte principal.
Au-delà de la capacité de stockage, le contrat doit préciser les responsabilités, les délais de restauration, la localisation et la protection des données, la réversibilité, la suppression en fin de contrat et l’assistance disponible en cas d’incident.
La règle 3-2-1 reste un repère utile parce qu’elle oblige à penser la diversité et l’isolement des copies. Elle ne remplace cependant ni l’inventaire, ni la gestion des accès, ni les tests. Une stratégie qui respecte les chiffres mais ignore la restauration peut donner une fausse impression de sécurité.
Pour une petite entreprise, la maturité se mesure par des preuves simples : une liste des données prioritaires, une copie réellement isolée, des alertes suivies et un test documenté. Ces éléments permettent de savoir non seulement si les données sont copiées, mais si l’activité pourra réellement reprendre.
Pas nécessairement. La synchronisation peut reproduire les suppressions et les modifications. Il faut vérifier l’existence de versions indépendantes, la rétention et la capacité de restauration.
Elle peut constituer un élément de la stratégie, mais un disque toujours connecté reste exposé aux pannes, vols et rançongiciels. Son stockage, sa rotation et ses tests doivent être organisés.
Il n’existe pas de fréquence universelle. Elle dépend de la criticité, du rythme des changements et des obligations de l’entreprise. Les tests doivent être suffisamment réguliers pour détecter une défaillance avant une crise.
Le RGPD impose des mesures de sécurité adaptées au risque, mais ne prescrit pas cette règle précise. La méthode 3-2-1 est un moyen reconnu d’organiser la résilience et la disponibilité des données.
Les liens ci-dessous permettent de consulter les recommandations et dispositifs publics utilisés pour préparer cet article.
Liens vérifiés le 22 juillet 2026.