Sauvegarder les données de l'entreprise : la règle 3-2-1 expliquée

Le disque dur d’un portable lâche sans prévenir, un collaborateur supprime par erreur le dossier des devis, un rançongiciel chiffre le serveur : dans les trois cas, la seule question qui compte est « avons-nous une copie récente, et peut-on la récupérer ? ». La règle 3-2-1 est la méthode la plus simple pour pouvoir répondre oui à coup sûr.

La règle 3-2-1 en clair

Elle tient en trois chiffres :

• 3 copies des données : l’original que vous utilisez au quotidien, plus deux sauvegardes ;
• 2 supports différents : par exemple le disque de l’ordinateur et un disque externe, ou un serveur de stockage réseau et un service en ligne ;
• 1 copie hors site : stockée ailleurs que dans les locaux, pour survivre à un incendie, un dégât des eaux ou un cambriolage.

L’idée est de ne jamais dépendre d’un seul point de défaillance. Un même événement (une panne, un vol, une attaque) ne doit pas pouvoir détruire toutes les copies en même temps.

La variante 3-2-1-1-0

Les rançongiciels (en anglais ransomware) ont changé la donne : ils cherchent activement les sauvegardes accessibles depuis le réseau pour les chiffrer aussi. D’où une version renforcée de la règle :

Le quatrième chiffre est le plus important face aux attaques. Un disque externe resté branché en permanence n’est pas une copie hors ligne : s’il est visible par l’ordinateur, il est visible par le logiciel malveillant.

Que faut-il sauvegarder ?

Commencez par dresser la liste de ce dont l’entreprise ne peut pas se passer. Pour une TPE, on retrouve généralement :

• les documents de travail : devis, contrats, dossiers clients, plans, photos de chantier ;
• les données des logiciels métier : facturation, comptabilité, caisse, gestion de stock ;
• les e-mails et les carnets d’adresses ;
• les fichiers de configuration : paramètres du site web, du logiciel de caisse, de la messagerie ;
• les documents à conserver légalement, dont les durées sont rappelées dans notre article sur la conservation des factures et documents.

Et les logiciels en ligne ?

C’est l’angle mort le plus fréquent. Beaucoup de dirigeants pensent que leurs données hébergées chez un éditeur de logiciel en ligne sont « forcément sauvegardées ». L’éditeur protège en général son infrastructure, mais pas nécessairement contre une suppression faite par vous-même, ni contre la disparition de votre compte. Vérifiez si un export régulier est possible, et ce que prévoit le contrat : c’est le sujet de notre article sur la réversibilité et la propriété des données en SaaS.

De même, un service de synchronisation de fichiers n’est pas une sauvegarde : si un fichier est supprimé ou chiffré sur l’ordinateur, la modification se propage aussitôt à toutes les copies synchronisées. Certains services conservent un historique des versions ou une corbeille, ce qui aide, mais il faut en connaître la durée et les limites.

Un exemple de mise en place

Voici un schéma hypothétique, adapté à une structure de quelques postes :

1. Copie 1 (l’original) : les fichiers sur les ordinateurs ou le serveur de stockage du bureau.
2. Copie 2 (sur place, automatique) : une sauvegarde quotidienne vers un serveur de stockage réseau ou un disque dédié, avec plusieurs versions conservées.
3. Copie 3 (hors site) : une sauvegarde chiffrée vers un service en ligne, ou un disque externe emporté chaque semaine hors des locaux et rangé débranché.

Pour la copie hors ligne, la méthode la plus simple reste la rotation de deux disques externes : l’un est branché le temps de la sauvegarde puis rangé ailleurs, l’autre prend le relais la semaine suivante. Ainsi, une copie est toujours déconnectée.

Fréquence et durée de conservation

La bonne fréquence dépend d’une question simple : combien de travail pouvez-vous accepter de refaire ? Si perdre une journée de facturation est supportable, une sauvegarde quotidienne suffit. Si ce n’est pas le cas, il faut des sauvegardes plus rapprochées.

Conservez aussi plusieurs générations : une sauvegarde de la veille, une de la semaine précédente, une du mois précédent. Un fichier corrompu ou un chiffrement passé inaperçu peut n’être découvert qu’au bout de plusieurs jours ; une seule copie, écrasée chaque nuit, contiendrait alors déjà les données abîmées.

Le test de restauration, le maillon oublié

Une sauvegarde qu’on n’a jamais restaurée est une hypothèse, pas une garantie. Fixez-vous un rendez-vous régulier, par exemple chaque trimestre :

• choisir au hasard quelques fichiers et les restaurer dans un dossier à part ;
• vérifier qu’ils s’ouvrent et qu’ils sont à jour ;
• une fois par an, simuler la perte d’un poste complet et chronométrer la remise en route ;
• noter le résultat, la date et les difficultés rencontrées.

Ce test révèle souvent des surprises : un dossier oublié dans le périmètre, une sauvegarde arrêtée depuis des semaines sans alerte, un mot de passe de chiffrement que personne ne retrouve.

Les erreurs les plus fréquentes

• Laisser le disque de sauvegarde branché en permanence.
• Garder toutes les copies dans le même bureau.
• Confondre synchronisation et sauvegarde.
• Ne pas chiffrer une copie qui quitte les locaux, alors qu’elle contient des données clients : en cas de perte, cela peut constituer une violation de données au sens du RGPD (voir le RGPD dans une TPE).
• Ne jamais vérifier les journaux ou alertes de sauvegarde.

La sauvegarde est la première des mesures de cybersécurité essentielles : c’est elle qui permet de repartir quand toutes les autres protections ont échoué.

Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.