Sauvegardes : la règle 3-2-1 appliquée sans se ruiner

Ce que la règle demande vraiment

Trois copies de la donnée : l'originale et deux sauvegardes. Deux supports différents, pour qu'un défaut de fabrication ou une panne de baie n'emporte pas tout. Une copie hors site, pour survivre à un incendie, un dégât d'eau, un vol ou un chiffrement malveillant.

Beaucoup d'organisations cochent les deux premières cases sans effort : le serveur, plus une sauvegarde sur un NAS dans la même pièce, plus une seconde sur un disque USB. Trois copies, deux supports, zéro hors site. La règle est respectée sur le papier et inopérante en cas de sinistre local.

Le piège du périphérique branché en permanence

Un disque de sauvegarde monté en écriture sur le serveur est accessible à tout ce qui tourne sur ce serveur. Un rançongiciel n'a pas besoin de chercher bien loin : il chiffre la source, puis la sauvegarde. C'est la raison pour laquelle la copie hors site doit être déconnectée après chaque exécution, ou déposée chez un prestataire qui ne présente pas la même surface d'attaque.

Le corollaire est moins connu : une sauvegarde exige un compte de service aux droits limités, en écriture seule. Si le compte qui sauvegarde peut aussi supprimer les sauvegardes, la protection est théorique.

Combien de temps, à quelle fréquence

Deux questions à poser avant de choisir un outil : combien de données pouvez-vous accepter de perdre (la fréquence), et combien de temps pouvez-vous rester à l'arrêt (le délai de remise en route) ? Une comptabilité qui tolère une journée de perte et une messagerie qui n'en tolère pas une heure n'ont pas besoin de la même mécanique.

La rétention suit le même raisonnement. Garder trente jours protège d'une erreur de manipulation découverte tardivement ; garder six mois coûte peu et couvre les cas où le problème est resté silencieux longtemps. Une rétention longue sur des sauvegardes quotidiennes complètes devient en revanche coûteuse en espace : les outils sérieux combinent une sauvegarde complète périodique et des incréments quotidiens.

Restituer, pas seulement sauvegarder

Le seul test qui vaille est une restauration réelle, sur un matériel différent, avec un chronomètre. Pas un rapport vert : une machine qui redémarre et un utilisateur qui retrouve ses fichiers. À faire au moins une fois par an, et à consigner, avec la date et le temps mesuré.

Ce test révèle presque toujours la même chose : la sauvegarde des données fonctionne, mais personne n'a prévu les éléments périphériques — les certificats, les clés de chiffrement, la configuration du pare-feu, les scripts de tâches planifiées. Un serveur restauré sans sa configuration n'est pas un serveur qui repart.

Ce qu'il faut chiffrer avant d'acheter

Le volume total à protéger, le débit de restitution (et non le débit de sauvegarde, souvent plus flatteur), la fenêtre horaire disponible, et le coût récurrent du stockage hors site. Une sauvegarde hors site facturée à la restauration peut sembler bon marché jusqu'au jour où il faut tout récupérer.