La règle de sauvegarde 3-2-2-1-0

Tout le monde connaît le 3-2-1 : trois copies de ses données, sur deux supports différents, dont une hors site. C’est la règle qu’on récite depuis des années, et elle reste un excellent point de départ. Le problème, c’est qu’elle a été pensée à une époque où l’ennemi principal était la panne de disque ou l’incendie. Aujourd’hui, l’ennemi s’appelle surtout rançongiciel, et il a une fâcheuse habitude : avant de chiffrer vos fichiers, il cherche vos sauvegardes et les détruit. Une sauvegarde branchée, montée, accessible depuis la machine compromise, c’est une sauvegarde qui part avec le reste.

D’où l’évolution de la règle. Veeam a popularisé le 3-2-1-1-0, qui ajoute deux exigences au socle classique : un « 1 » pour une copie hors ligne ou immuable, et un « 0 » pour zéro erreur de restauration. Le 3-2-2-1-0 va un cran plus loin en dédoublant le hors-site : non plus une seule copie distante, mais deux, dans deux endroits séparés. Autant le dire tout de suite : ce sigle exact n’est pas gravé dans le marbre d’un éditeur, contrairement au 3-2-1-1-0. C’est une extension logique, où le second « 2 » traduit une exigence de résilience géographique renforcée. Mais chaque brique, prise séparément, correspond à une bonne pratique établie.

Les cinq chiffres, un par un

Le 3 se compte simplement : vos données vivantes, plus deux sauvegardes. Trois exemplaires, parce qu’avec deux, la corruption silencieuse de l’un vous laisse sans point de comparaison, et une seule copie de secours qui tombe en panne au mauvais moment vous laisse à nu.

Le premier 2 impose deux technologies de stockage différentes. L’idée est de ne pas mettre tous ses œufs dans le même panier matériel : deux disques du même lot, achetés le même jour, ont une fâcheuse tendance à lâcher ensemble. Un NAS d’un côté, un disque externe ou une bande de l’autre, ou encore du disque local et du cloud : le but est que la même faiblesse ne puisse pas emporter deux copies d’un coup.

Le second 2 est ce qui distingue cette règle du 3-2-1 classique. Une seule copie hors site protège de l’incendie ou du dégât des eaux qui ravage la pièce où se trouve le reste. Deux copies hors site, dans deux lieux réellement distincts — un autre bâtiment et un cloud, ou deux régions cloud géographiquement éloignées — protègent en plus du sinistre qui frappe le site distant lui-même, ou de la défaillance d’un fournisseur. Deux emplacements séparés, pas deux disques dans le même tiroir : c’est la distance qui fait la sécurité.

Le 1 est la parade anti-rançongiciel. Il exige qu’au moins une copie soit hors d’atteinte d’une machine compromise : soit littéralement débranchée (un disque dans un coffre, une bande sortie du lecteur), soit immuable, c’est-à-dire verrouillée en écriture pour une durée définie et impossible à modifier ou supprimer même avec les identifiants d’administration. C’est ce que proposent l’Object Lock de la plupart des stockages objet compatibles S3, ou les instantanés en lecture seule côté stockage. Sans ce maillon, un attaquant qui obtient vos accès efface vos sauvegardes aussi facilement que vos fichiers, et toute la belle redondance des chiffres précédents ne sert plus à rien.

Le 0 est celui qu’on oublie presque toujours, et c’est peut-être le plus important. Une sauvegarde jamais restaurée est une sauvegarde de Schrödinger : vous ne savez pas si elle est valide tant que vous ne l’avez pas ouverte, et le jour où vous en avez besoin est le pire moment pour découvrir qu’elle est corrompue, incomplète ou illisible. Le zéro veut dire : on vérifie l’intégrité des sauvegardes, et surtout on teste réellement une restauration, idéalement de façon automatisée, dans un environnement isolé. Tant qu’une restauration n’a pas abouti pour de vrai, vous n’avez pas une sauvegarde, vous avez une espérance.

En pratique, sans se ruiner

On peut cocher toutes les cases sans budget d’entreprise. Un exemple concret pour un particulier ou une petite structure : les données sur le poste de travail (copie 1), un NAS à la maison qui les synchronise (copie 2, autre support), un disque externe que l’on branche une fois par semaine puis que l’on débranche et range (la copie hors ligne du 1), et enfin un stockage objet distant avec Object Lock activé (copie hors site immuable). Deux copies loin du domicile — le cloud, et pourquoi pas un disque déposé chez un proche — et le tour du second 2 est joué. Reste le 0 : une restauration test de temps en temps, ne serait-ce que sortir quelques fichiers au hasard de chaque sauvegarde et vérifier qu’ils s’ouvrent.

Ce qu’il faut retenir, c’est moins le sigle exact que la logique de durcissement progressif. Le 3-2-1 vous protège des accidents matériels. Le 3-2-1-1-0 ajoute la couche anti-rançongiciel et l’obligation de vérifier. Le 3-2-2-1-0 renforce encore la dispersion géographique. On n’est pas obligé de tout mettre en place du jour au lendemain ; mais si un seul de ces chiffres devait s’ajouter à votre 3-2-1 aujourd’hui, ce serait le 0. Une sauvegarde qu’on n’a jamais testée protège surtout la conscience de celui qui l’a configurée.

Commentaires