La règle 3-2-1 de la sauvegarde (et 3-2-1-1-0)

La règle 3-2-1 dit qu'il faut 3 copies des données (la production et deux sauvegardes), sur 2 supports différents, dont 1 copie hors site. Dans son guide sur la sauvegarde, l'ANSSI la formule avec une exigence plus forte : 3 copies distinctes, sur des supports différents, dont une hors ligne, c'est-à-dire déconnectée de tout système d'information. La variante 3-2-1-1-0, répandue chez les éditeurs, ajoute une copie hors ligne ou immuable et zéro erreur aux tests de restauration. Ce chapitre explique chaque chiffre, ce qui compte vraiment comme « support différent » ou « hors ligne », et comment appliquer la règle à différentes tailles d'organisation.

Trois copies

Les trois copies sont la donnée de production et deux sauvegardes. Avec une seule sauvegarde, une seule défaillance (le support qui lâche, l'archive corrompue, la sauvegarde de la veille qui a échoué) suffit à tout perdre au moment où l'on en a besoin. Avec deux, il faudrait que les deux soient touchées en même temps, ce que les deux autres chiffres rendent improbable.

Les deux sauvegardes ne sont pas forcément identiques : la première, sur site, est souvent quotidienne et sert aux restaurations courantes ; la seconde, hors site ou hors ligne, peut être hebdomadaire. L'ANSSI admet explicitement que la copie hors ligne soit moins fréquente que les sauvegardes locales en ligne (recommandation R12).

Deux supports différents

« Support différent » signifie que les deux sauvegardes ne peuvent pas tomber en panne pour la même raison. Deux disques dans le même NAS ne sont pas deux supports : un défaut du NAS, une surtension ou un rançongiciel qui l'atteint les emporte ensemble.

Une copie hors site, ou hors ligne

Deux notions se ressemblent sans se confondre.

• Hors site : la copie est dans un autre lieu que la production (un autre bâtiment, un datacenter, le cloud). Elle protège du sinistre : incendie, inondation, vol.
• Hors ligne : la copie est sur un support déconnecté de tout système d'information (définition de l'ANSSI). Elle protège de ce qui passe par le réseau : rançongiciel, administrateur compromis, erreur de script qui efface tout. L'ANSSI note que la bande magnétique reste le moyen le plus efficace pour cet usage.

Un stockage objet dans le cloud est hors site mais en ligne : si l'attaquant récupère les clés d'accès, il peut l'effacer. Une cartouche LTO posée dans l'armoire de la salle serveur est hors ligne mais sur site : un incendie l'emporte. La meilleure copie est à la fois hors site et hors ligne : une cartouche ou un disque rangé dans un autre bâtiment. À défaut, l'ANSSI accepte une copie hors site en ligne, protégée par un mécanisme d'immuabilité solide (chapitre 6).

La variante 3-2-1-1-0

Les éditeurs de logiciels de sauvegarde ont popularisé une version étendue :

Cette variante n'est pas une norme ni une recommandation de l'ANSSI, mais elle résume bien deux leçons des rançongiciels : une copie doit être hors d'atteinte, et une sauvegarde jamais restaurée n'est pas une sauvegarde. Les sujets d'examen la citent parfois ; retiens ce que signifient les deux derniers chiffres.

Appliquer la règle à trois échelles

Mettre Alvéa en conformité, étape par étape

Au début du cours, Alvéa n'a que deux copies : les VM sur le cluster, et une sauvegarde nocturne sur un NAS de la même baie. Le chiffre 3 manque (une seule sauvegarde), le 2 est discutable (le NAS partage la salle, l'alimentation et le réseau des serveurs), et le 1 n'existe pas. La responsable informatique propose trois étapes, de la plus urgente à la plus confortable, pour étaler la dépense.

1. Sortir une copie du réseau, tout de suite. Deux disques externes chiffrés, en rotation : chaque lundi, le disque de la semaine reçoit une copie des sauvegardes, puis il est débranché et emporté dans le coffre du siège commercial, à l'autre bout de la ville ; l'autre disque revient. Coût : deux disques. Gain : une copie hors site et hors ligne, hebdomadaire. Point faible : la rotation repose sur une personne, qui a un suppléant désigné dans le plan.
2. Séparer la sauvegarde de la production. Le NAS est remplacé par un serveur Proxmox Backup Server installé dans le local technique de l'atelier, de l'autre côté du site, hors du domaine, dans un VLAN dédié. C'est désormais un support distinct, dans une autre pièce, qui vérifie lui-même ses données.
3. Automatiser la copie externe. Une synchronisation hebdomadaire du serveur de sauvegarde vers un second serveur chez un hébergeur, avec des droits qui interdisent la suppression depuis Alvéa, et une cartouche LTO mensuelle qui remplace les disques de rotation.

À la fin de l'étape 3, Alvéa a quatre copies (production, sauvegarde sur site, copie distante, cartouche), sur trois supports, dont une hors site immuable et une hors ligne : la règle est respectée avec une marge. L'important est l'ordre : la copie hors ligne passe en premier, parce que c'est elle qui manque le plus face au risque le plus probable, le rançongiciel.

Les erreurs fréquentes

Exercices

Exercice 1 sur 3 Vérifier la règle 3-2-1 Réussi À revoir

Pour chaque organisation, dis si la règle 3-2-1 est respectée. Si elle ne l'est pas, dis quel chiffre manque et propose la correction la moins coûteuse.

1. Une agence immobilière : les données sont sur un NAS, sauvegardé chaque nuit sur un second NAS posé à côté.
2. Un cabinet d'architectes : serveur de fichiers, sauvegarde nocturne sur un serveur de sauvegarde dans une autre pièce, puis copie hebdomadaire vers un stockage objet en ligne chez un hébergeur.
3. Une association : un ordinateur, sauvegardé chaque semaine sur un disque USB que la trésorière rapporte chez elle.

Voir la réponseMasquer la réponse de l'exercice 1

1. Non. Il y a bien trois copies sur deux appareils, mais tout est au même endroit et en ligne : le « 1 » hors site manque (incendie, vol) et rien n'est hors ligne. Correction : un disque externe de rotation, échangé chaque semaine et rangé hors du bureau.
2. Oui pour 3-2-1 : trois copies, deux supports, une hors site. Mais la copie hors site est en ligne : il faut au moins activer le verrouillage des objets (immuabilité) chez l'hébergeur, et idéalement ajouter une copie hors ligne moins fréquente, comme le recommande l'ANSSI.
3. Non. Deux copies seulement : l'ordinateur et le disque. Le disque est hors site et hors ligne, c'est bien, mais une seule sauvegarde est fragile (disque défaillant, sauvegarde ratée). Correction : un second disque en alternance (un chez la trésorière, un au local, échangés chaque semaine), ou un service de sauvegarde en ligne avec historique de versions.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Hors site ou hors ligne ? Réussi À revoir

Classe chaque copie : hors site, hors ligne, les deux, ou aucun des deux.

1. Une cartouche LTO rangée dans le coffre de la salle serveur.
2. Un stockage objet chez un hébergeur français, alimenté chaque nuit.
3. Un disque USB échangé chaque vendredi et emporté au domicile du gérant.
4. Un second NAS dans la même baie, alimenté par réplication.
5. Une cartouche LTO déposée chaque semaine dans le coffre d'une banque.

Voir la réponseMasquer la réponse de l'exercice 2

1. Hors ligne seulement (même lieu que la production).
2. Hors site seulement (joignable par le réseau).
3. Les deux, une fois débranché et emporté.
4. Aucun des deux.
5. Les deux.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Les deux derniers chiffres Réussi À revoir

Le responsable informatique d'Alvéa affirme : « Notre NAS de sauvegarde a des instantanés immuables et nous synchronisons vers le cloud, donc nous respectons le 3-2-1-1-0. » Que dois-tu vérifier avant de lui donner raison ?

Voir la réponseMasquer la réponse de l'exercice 3

• Le premier 1 (hors site) : la copie dans le cloud existe et contient bien les sauvegardes, pas seulement une partie.
• Le second 1 (immuable ou hors ligne) : l'immuabilité des instantanés doit résister à un administrateur compromis. Si un compte administrateur du NAS peut raccourcir la rétention ou supprimer les instantanés, la protection est faible. Il faut aussi vérifier que le NAS est sur site : l'immuabilité ne protège pas d'un incendie.
• Le 0 : il faut des preuves de tests de restauration récents et réussis, et une vérification régulière des sauvegardes. Sans procès-verbal de test, le « 0 » n'est pas démontré.

Tu avais trouvé ?

Oui, j'avais bonPas encore