Sauvegarde 3-2-1 et sauvegarde immuable : pourquoi la règle 3-2-1 ne suffit plus face aux ransomwares

En bref : la règle 3-2-1 de sauvegarde consiste à garder 3 copies de vos données, sur 2 supports différents, dont 1 hors site. Une sauvegarde immuable est une copie que personne, pas même un administrateur, ne peut modifier ni supprimer avant une date fixée. La première protège d’une panne ou d’un incendie ; la seconde protège d’un ransomware. En 2026, une PME a besoin des deux, réunies dans la règle 3-2-1-1-0.

La règle 3-2-1 a été pensée pour les disques qui tombent en panne et les bureaux qui brûlent. Elle reste juste. Mais les ransomwares modernes ne cassent pas vos disques : ils cherchent vos sauvegardes, les chiffrent en premier, puis s’attaquent à la production. Une copie que l’attaquant peut atteindre n’est pas une protection. Pour un dirigeant de PME marocaine, la question n’est donc plus « avons-nous une sauvegarde ? », mais « si un attaquant prend la main sur notre réseau cette nuit, que restera-t-il demain matin pour redémarrer la facturation, la comptabilité et la messagerie ? ». Ce guide explique ce qui a changé, ce que recouvre concrètement le mot « immuable », et comment passer de la règle 3-2-1 à la règle 3-2-1-1-0 sans refaire toute votre infrastructure.

La règle 3-2-1 de sauvegarde : définition

La règle classique, que l’on trouve aussi écrite « sauvegarde 3 2 1 » ou « règle 321 », tient en trois chiffres :

• 3 copies des données : la production et deux sauvegardes.
• 2 supports différents : par exemple un NAS et un stockage cloud, pour qu’une même défaillance ne touche pas toutes les copies.
• 1 copie hors site : dans un autre bâtiment ou chez un hébergeur, pour survivre à un incendie, un dégât des eaux ou un vol.

Exemple concret pour une PME

Copie	Où	Rôle
Copie 1 : la production	Serveurs, machines virtuelles, Microsoft 365	Les données de travail, ce n’est pas une sauvegarde
Copie 2 : sauvegarde locale	Dépôt de sauvegarde ou NAS dédié, dans les locaux	Restaurations rapides du quotidien : un fichier effacé, une VM à remonter
Copie 3 : sauvegarde hors site	Datacenter, second site ou stockage cloud	Survivre à la perte complète des locaux

Les deux supports sont ici le stockage local et le stockage distant : ils ne partagent ni le même matériel, ni le même bâtiment, ni le même risque.

Son angle mort

Cette règle répond très bien aux menaces pour lesquelles elle a été conçue : panne matérielle, sinistre physique, erreur de manipulation. Elle a un angle mort : elle suppose que les copies sont hors d’atteinte d’un humain malveillant. Or, dans beaucoup de PME, le serveur de sauvegarde est joint au domaine, le NAS est monté comme un lecteur réseau et la console cloud est protégée par le même mot de passe administrateur que le reste. Trois copies accessibles avec un seul identifiant, c’est en pratique une seule copie.

Pourquoi la sauvegarde 3-2-1 ne suffit plus face aux ransomwares

Les groupes de rançongiciels passent en moyenne plusieurs jours dans un réseau avant de chiffrer. Pendant ce temps, ils cartographient les serveurs de sauvegarde, récupèrent les identifiants et suppriment les points de restauration. Le jour J, il ne reste rien à restaurer, et la rançon devient la seule issue.

Ce mode opératoire a trois conséquences directes pour votre stratégie de sauvegarde :

1. Le NAS sur le réseau n’est pas une copie de secours. S’il est visible depuis un poste compromis, il sera chiffré avec le reste.
2. Le compte administrateur du domaine est la clé de tout. Si ce compte donne aussi accès à la console de sauvegarde, l’attaquant peut supprimer les travaux, raccourcir la rétention ou vider le dépôt.
3. Une sauvegarde récente peut être déjà contaminée. Comme l’attaquant est présent depuis plusieurs jours, il faut pouvoir remonter plus loin dans le temps que la date de l’intrusion, et non simplement à la veille du chiffrement.

Nous détaillons l’ensemble des mesures de prévention dans notre article sur les sept mesures contre les ransomwares. La sauvegarde immuable en est la dernière ligne de défense : celle qui fonctionne quand tout le reste a échoué.

Qu’est-ce qu’une sauvegarde immuable ?

Une sauvegarde immuable est une copie qui ne peut être ni modifiée ni supprimée pendant une durée fixée, même par un administrateur, même avec le bon mot de passe. Le refus est appliqué par le stockage lui-même, pas par les droits d’un compte : c’est ce qui la distingue d’une simple sauvegarde protégée par mot de passe. On parle aussi de stockage WORM (écrit une fois, lu plusieurs fois). Techniquement, cela repose sur :

• Un stockage objet avec verrouillage (S3 Object Lock ou équivalent), ou un dépôt durci qui refuse la suppression, hébergé hors de portée de votre réseau de production.
• Des identifiants distincts de ceux de votre domaine, avec MFA.
• Une durée de rétention qui dépasse le temps de présence typique d’un attaquant, soit 30 jours minimum.

Immuable, hors ligne, chiffrée : trois notions à ne pas confondre

Notion	Ce que cela garantit	Ce que cela ne garantit pas
Sauvegarde immuable	Personne ne peut modifier ni supprimer la copie avant la fin de la rétention	Que les données sauvegardées étaient saines au départ
Sauvegarde hors ligne (air gap)	La copie est déconnectée, donc inatteignable par le réseau	Qu’elle soit à jour : tout dépend de la rotation
Sauvegarde chiffrée	Un voleur de la copie ne peut pas la lire	Qu’un attaquant ne puisse pas la supprimer ou la rechiffrer
Instantané (snapshot)	Un retour en arrière rapide sur le même stockage	Une copie indépendante : si le stockage tombe, les instantanés aussi

Une sauvegarde bien conçue combine ces protections : chiffrée, immuable, et stockée hors site.

Mode gouvernance ou mode conformité

Sur un stockage compatible S3 Object Lock, le verrouillage existe en deux modes, et la différence est essentielle. En mode gouvernance, un compte disposant d’une permission spéciale peut encore lever le verrou ou supprimer les données : c’est utile pour tester un paramétrage, mais un attaquant qui vole ce compte peut aussi le faire. En mode conformité, aucun utilisateur, pas même le compte principal, ne peut supprimer ni raccourcir la rétention avant son terme. C’est ce mode qu’il faut viser pour la copie immuable. Le verrouillage suppose aussi que le versionnage soit activé sur le compartiment.

Les trois familles de solutions de sauvegarde immuable

Solution	Principe	Points forts	Points de vigilance
Stockage objet cloud avec verrouillage (S3 Object Lock ou équivalent)	La copie est envoyée chez un hébergeur et verrouillée pour une durée fixée	Hors site par nature, pas de matériel à gérer, s’intègre aux logiciels de sauvegarde courants	Dépend du lien internet pour la restauration complète ; coût qui varie avec le volume et la rétention
Dépôt Linux durci (par exemple Veeam Hardened Repository)	Un serveur dédié, hors domaine, qui refuse la suppression des sauvegardes pendant la rétention	Restauration rapide en local, maîtrise complète des données	Doit être installé et administré avec rigueur : accès distant fermé, comptes séparés, mises à jour suivies
Support déconnecté (bandes, disques retirés et stockés ailleurs)	La copie est physiquement hors ligne	Inatteignable par le réseau	Rotation manuelle, erreurs d’oubli fréquentes, restauration plus lente

Pour la plupart des PME, la combinaison la plus équilibrée associe une copie locale pour les restaurations rapides du quotidien et une copie immuable hors site pour le scénario catastrophe. Les bonnes pratiques de mise en œuvre avec Veeam sont détaillées dans notre guide Veeam : sauvegarde des machines virtuelles, et le choix de l’édition dans Veeam Data Platform : quelle édition choisir.

La règle 3-2-1-1-0 : la variante adaptée aux ransomwares

Trois copies, deux supports, une hors site, une immuable ou déconnectée, et zéro erreur au test de restauration. C’est la formulation que Veeam, notamment, met en avant. Ce dernier point est celui que tout le monde oublie : une restauration complète doit être testée au moins une fois par trimestre, chronomètre en main.

Règle	Protège contre	Ne protège pas contre
3-2-1	Panne de disque, sinistre sur site, erreur de manipulation	Un attaquant qui supprime ou chiffre les copies accessibles
3-2-1-1	Ce qui précède, plus la suppression ou le chiffrement des sauvegardes	Une sauvegarde corrompue ou incomplète que personne n’a vérifiée
3-2-1-1-0	Ce qui précède, plus les mauvaises surprises au moment de restaurer	Un plan de reprise absent : qui fait quoi, dans quel ordre

Le « 0 » ne veut pas dire que le logiciel affiche un voyant vert. Il veut dire qu’une personne a réellement restauré un serveur ou une application, sur un environnement isolé, et vérifié que les données étaient exploitables. Le chronomètre sert à comparer le temps réel de restauration avec la durée d’arrêt que l’entreprise accepte, ce que nous abordons dans notre article sur le plan de reprise d’activité. La méthode de test elle-même est décrite dans tester la restauration d’une sauvegarde.

Mettre en place une sauvegarde 3-2-1 immuable : les étapes

1. Inventorier ce qu’il faut protéger : serveurs, machines virtuelles, bases de données métier, partages de fichiers, NAS, Microsoft 365 ou Google Workspace, postes qui stockent des données en local.
2. Fixer les objectifs : la perte de données acceptable (RPO, qui fixe la fréquence des sauvegardes) et la durée d’arrêt acceptable (RTO, qui fixe la capacité de restauration locale).
3. Créer la copie locale sur un dépôt dédié, hors domaine, plutôt qu’un partage réseau visible de tous les postes.
4. Créer la copie hors site immuable : stockage objet verrouillé en mode conformité, ou dépôt durci dans un second site ou un datacenter.
5. Séparer les identités : comptes de sauvegarde distincts du domaine, MFA sur toutes les consoles, identifiants absents des postes d’administration.
6. Régler la rétention : au moins 30 jours sur la copie immuable, davantage si l’activité l’exige.
7. Superviser : chaque échec de travail doit déclencher une alerte lue et traitée par une personne identifiée.
8. Tester la restauration chaque trimestre, de bout en bout, et consigner le résultat et la durée.
9. Documenter l’ensemble dans le plan de reprise : où sont les copies, qui a les accès, dans quel ordre restaurer.

Les erreurs les plus fréquentes

Dans les PME, les mêmes faiblesses reviennent souvent :

• Le serveur de sauvegarde est membre du domaine. Un seul compte compromis donne alors accès à la production et aux sauvegardes.
• La copie « hors site » est synchronisée, pas sauvegardée. Un dossier synchronisé réplique aussi les fichiers chiffrés ou supprimés.
• Le NAS est compté comme deux supports. Deux disques dans le même boîtier, c’est un seul support, au même endroit.
• Le verrouillage est en mode gouvernance. Un compte volé suffit alors à lever la protection.
• La rétention est trop courte. Si les plus anciens points de restauration datent d’après l’intrusion, ils contiennent déjà l’attaquant.
• Personne ne lit les alertes. Un travail en échec depuis des semaines ne se voit que le jour où l’on en a besoin.
• Le test se limite à un fichier. Restaurer un document ne prouve pas que l’on sait remonter un serveur, sa base de données et ses dépendances.
• Les identifiants de la console cloud sont dans le même coffre que le reste, ou pire, enregistrés dans le navigateur d’un poste d’administration.

Et le cloud ?

Microsoft 365 et Google Workspace ne sauvegardent pas vos données au sens propre. La corbeille et la rétention par défaut ne couvrent ni la suppression malveillante ni le chiffrement par un compte compromis. Une sauvegarde tierce de vos boîtes mail, SharePoint et Drive est indispensable.

L’éditeur garantit la disponibilité du service ; la protection des données contre vos propres utilisateurs, ou contre un compte volé, reste de votre responsabilité. Nous expliquons ce partage en détail dans notre article sur la sauvegarde Microsoft 365 et la responsabilité partagée. La même logique d’immuabilité s’applique : la sauvegarde de vos données cloud doit, elle aussi, être stockée hors de portée des comptes d’administration du tenant.

Sauvegarde hors site au Maroc : la question de la loi 09-08

Dès qu’une sauvegarde contient des données personnelles de clients, de salariés ou de patients, elle relève de la loi 09-08. Envoyer la copie hors site dans un cloud étranger constitue un transfert de données hors du Maroc, qui n’est possible que dans les cas prévus par la loi. Le lieu de stockage de la copie immuable se choisit donc avant le démarrage : au Maroc dans un second site ou un datacenter, ou dans une région cloud dont le cadre est admis. Nous détaillons ces obligations dans notre article sur la loi 09-08 et la CNDP, et les options d’hébergement dans notre guide de la sauvegarde externalisée au Maroc.

Ce qui fait varier l’effort et le budget

Il n’existe pas de prix unique pour une sauvegarde immuable. Les principaux facteurs sont :

• Le volume de données à protéger et sa croissance, qui déterminent la capacité de stockage.
• La durée de rétention : chaque jour supplémentaire de verrouillage se paie en espace disque.
• Le nombre de serveurs et d’applications : une base de données métier demande plus de soin qu’un partage de fichiers.
• Le débit du lien internet, qui conditionne l’envoi quotidien vers le hors site et, surtout, la durée d’une restauration complète depuis le cloud.
• La durée d’arrêt acceptable : plus elle est courte, plus il faut de capacité locale pour restaurer vite.
• Les données cloud à inclure : boîtes mail, SharePoint, OneDrive, Drive.

Checklist : votre sauvegarde résiste-t-elle à un ransomware ?

• Au moins une copie est immuable, en mode conformité ou sur un dépôt durci hors domaine.
• La console de sauvegarde utilise des identifiants distincts du domaine, avec MFA.
• La rétention immuable est d’au moins 30 jours.
• Une copie est hors site, dans un autre bâtiment ou chez un hébergeur, à un emplacement compatible avec la loi 09-08.
• Microsoft 365 ou Google Workspace font l’objet d’une sauvegarde tierce.
• Les alertes d’échec sont lues et traitées par une personne identifiée.
• Une restauration complète est testée chaque trimestre, chronométrée et documentée.

Si vous ne pouvez pas cocher toutes les cases, commencez par l’immuabilité et le test de restauration : ce sont les deux points qui font la différence le jour d’une attaque.

Ce dispositif est au cœur de notre offre de sauvegarde et continuité d’activité et de notre offre de cybersécurité pour entreprises, avec supervision 24/7 des travaux de sauvegarde et test de restauration trimestriel documenté. L’audit initial de votre sauvegarde est offert : pour faire le point, contactez-nous.