Un cabinet d'architectes de Québec était fier de ses sauvegardes. Chaque nuit, un NAS copiait le serveur de fichiers, et tous les plans étaient en plus synchronisés dans OneDrive. Deux copies, deux endroits : le patron dormait tranquille.
Puis un rançongiciel a frappé. Le NAS, accessible avec le même compte administrateur que le serveur, a été effacé en premier. OneDrive, lui, a fidèlement synchronisé les fichiers chiffrés sur tous les postes. En quelques heures, les « deux copies » étaient inutilisables.
Ce scénario fictif illustre le piège le plus courant : avoir des sauvegardes ne veut pas dire pouvoir restaurer. La règle 3-2-1-1-0 existe précisément pour combler cet écart.
En bref
- 3 copies de vos données, sur 2 supports différents, dont 1 hors site, 1 hors ligne ou immuable, et 0 erreur lors des tests de restauration.
- Les attaquants cherchent et détruisent les sauvegardes avant de chiffrer : une copie que l'on peut effacer avec les identifiants du réseau n'est pas une protection.
- La synchronisation (OneDrive, Google Drive, Dropbox) n'est pas une sauvegarde, et Microsoft 365 ou Google Workspace ne remplacent pas une vraie copie de vos données.
Pourquoi tant de sauvegardes échouent le jour J
Le problème n'est presque jamais l'absence de sauvegarde. C'est l'une de ces trois erreurs :
La synchronisation prise pour une sauvegarde. Un service de synchronisation reproduit les changements partout, y compris les suppressions et le chiffrement. Les versions précédentes aident parfois, mais elles n'ont pas été conçues pour restaurer des milliers de fichiers d'un coup.
La sauvegarde à portée de l'attaquant. Un NAS joint au domaine, un disque externe branché en permanence, une console de sauvegarde accessible avec le compte administrateur habituel : tout ce que l'attaquant peut atteindre, il peut l'effacer. Et dans une attaque par rançongiciel, les sauvegardes sont la cible prioritaire.
La restauration jamais testée. La tâche affiche « réussie » depuis deux ans, mais personne n'a jamais essayé de remettre le serveur en marche à partir de la copie. Le jour J, on découvre qu'il manque la base de données du logiciel comptable, ou qu'il faut trois jours pour tout télécharger.
La règle 3-2-1-1-0, chiffre par chiffre
La règle 3-2-1 est recommandée par le Centre canadien pour la cybersécurité, qui insiste aussi sur une copie hors ligne et sur des tests réguliers. Les deux chiffres ajoutés, 1 et 0, ciblent précisément le rançongiciel.
| Chiffre | Ce qu'il exige | Exemple pour une PME de 25 employés |
|---|---|---|
| 3 copies | Les données de production plus deux sauvegardes | Serveur de fichiers, NAS au bureau, copie infonuagique |
| 2 supports | Deux types de stockage différents | Disques du NAS et stockage infonuagique |
| 1 hors site | Une copie physiquement ailleurs | Centre de données d'un fournisseur au Canada |
| 1 hors ligne ou immuable | Une copie impossible à modifier ou à effacer, même par un administrateur | Stockage infonuagique avec immuabilité de 30 jours, ou disque débranché en rotation |
| 0 erreur | Des restaurations testées et vérifiées | Test trimestriel documenté, avec temps de reprise mesuré |
Le guide sur les rançongiciels du Centre canadien pour la cybersécurité va dans le même sens : conserver des sauvegardes hors ligne, inaccessibles depuis le réseau, et les tester régulièrement.
Immuable, hors ligne, isolé : ce que ça veut dire concrètement
Immuable signifie qu'une fois écrite, la copie ne peut être ni modifiée ni supprimée pendant une période fixée, même avec des droits d'administrateur. Plusieurs services de stockage infonuagique et logiciels de sauvegarde offrent cette option, souvent appelée verrouillage d'objet ou WORM (write once, read many). C'est la façon la plus pratique de respecter le « 1 » pour une PME.
Hors ligne signifie physiquement déconnecté : un disque ou une cassette que l'on débranche et que l'on range ailleurs. C'est efficace, mais cela dépend d'une discipline humaine. Une rotation oubliée pendant les vacances de la construction, et la seule copie hors ligne date de trois semaines.
Isolé est la condition commune aux deux : la sauvegarde ne doit pas partager l'identité du réseau qu'elle protège.
- La console de sauvegarde a ses propres comptes, distincts de ceux du domaine.
- Ces comptes sont protégés par un MFA résistant à l'hameçonnage.
- Le serveur de sauvegarde n'est pas joint au domaine Windows.
- Les alertes de suppression ou de modification de la rétention sont envoyées à quelqu'un qui les lit.
Et Microsoft 365 ou Google Workspace ?
C'est la question qui surprend le plus de dirigeants. Microsoft et Google s'engagent sur la disponibilité de leurs services, pas sur la récupération de vos données après une erreur humaine, un employé malveillant ou un compte compromis qui efface tout.
Les corbeilles, l'historique des versions et les outils de restauration intégrés offrent un filet de sécurité, mais pour une durée limitée et sans couvrir tous les scénarios. Et un attaquant qui prend le contrôle d'un compte administrateur peut aussi vider ces corbeilles.
Une sauvegarde tierce de vos boîtes de courriel, de OneDrive, de SharePoint ou de Google Drive, stockée hors de votre locataire et avec ses propres identifiants, complète la règle 3-2-1-1-0 pour vos données infonuagiques.
Pour comparer les outils, posez quatre questions. Où les données sont-elles stockées, et peuvent-elles rester au Canada ? Les copies peuvent-elles être rendues immuables ? Peut-on restaurer un seul courriel, ou une boîte entière à une date précise ? La console de sauvegarde a-t-elle son propre MFA, distinct de vos comptes administrateurs Microsoft ou Google ? Un outil qui échoue à l'une de ces questions laisse une brèche à l'attaquant.
RPO et RTO : décider à l'avance combien vous pouvez perdre
Deux questions déterminent la conception de vos sauvegardes, et c'est la direction, pas le technicien, qui doit y répondre :
- RPO (objectif de point de reprise) : combien de travail pouvez-vous perdre ? Si la réponse est « une journée », une sauvegarde nocturne suffit. Si c'est « une heure », il faut des copies plus fréquentes.
- RTO (objectif de temps de reprise) : combien de temps pouvez-vous rester arrêtés ? Restaurer quelques téraoctets depuis l'infonuagique peut prendre des jours si personne ne l'a prévu.
L'enjeu est bien réel : selon une étude de CDW, la reprise après un incident prend en moyenne 25,7 jours pour les petites organisations canadiennes. Établissez aussi l'ordre de restauration : le logiciel de gestion et la comptabilité d'abord, les archives de 2015 en dernier. Ces décisions ont leur place dans votre plan de réponse aux incidents.
Checklist : ne pas oublier le « 0 »
- Une restauration de fichiers testée chaque mois, choisie au hasard
- Une restauration complète d'un serveur ou d'un système critique testée chaque trimestre
- Le temps de restauration mesuré et comparé au RTO fixé par la direction
- Les résultats consignés : date, système, durée, problèmes rencontrés
- La procédure de restauration écrite et accessible même si le réseau est en panne
- Les rapports d'échec de sauvegarde lus et corrigés dans la semaine
- L'immuabilité et la rétention vérifiées après chaque changement de configuration
Ces preuves de tests servent aussi ailleurs : les assureurs demandent souvent comment vous sauvegardez et si vous testez vos restaurations, comme nous l'expliquons dans notre guide sur le questionnaire d'assurance cyber.
En conclusion
La règle 3-2-1-1-0 se résume à une idée : au moins une copie de vos données doit survivre à un attaquant qui contrôle tout votre réseau, et vous devez avoir prouvé que vous savez la restaurer.
Si vos sauvegardes reposent sur une seule personne, un seul NAS ou une seule console, c'est le moment de les revoir. Notre accompagnement continu inclut ce genre de vérification récurrente : tests de restauration, revue des alertes et ajustement de la rétention, pour que le « 0 » reste vrai d'un trimestre à l'autre.
Questions fréquentes
Une sauvegarde infonuagique compte-t-elle comme copie hors site ?+
Oui, si elle est stockée chez un fournisseur distinct, à l'extérieur de vos locaux. Par contre, elle n'est pas automatiquement hors ligne ni immuable : si l'attaquant peut s'y connecter avec vos identifiants habituels, il peut l'effacer. Vérifiez que l'immuabilité est activée et que l'accès est protégé par des identifiants distincts et un MFA.
Combien de temps faut-il conserver les sauvegardes ?+
Assez longtemps pour revenir à un état antérieur à l'intrusion, qui peut remonter à plusieurs jours ou semaines avant le chiffrement. Un modèle courant combine des copies quotidiennes sur quelques semaines et des copies mensuelles sur plusieurs mois. Vérifiez aussi vos obligations de conservation (fiscales, professionnelles, contractuelles) avec votre comptable ou votre conseiller juridique.
Un disque dur externe suffit-il pour une petite entreprise ?+
Il peut servir de copie hors ligne s'il est débranché après chaque sauvegarde, chiffré et rangé ailleurs qu'à côté du serveur. Mais seul, il ne respecte pas la règle : il suffit d'un oubli de rotation pour que la seule copie soit branchée au moment de l'attaque. Combinez-le avec une sauvegarde infonuagique immuable.
Les sauvegardes doivent-elles être chiffrées ?+
Oui. Le Centre canadien pour la cybersécurité recommande de chiffrer les données sensibles, y compris les copies de sauvegarde. Une sauvegarde volée contient souvent tous vos renseignements personnels, ce qui peut constituer un incident de confidentialité au sens de la Loi 25. Gardez la clé de chiffrement ailleurs que dans la sauvegarde elle-même.