Infrastructure
Sauvegardes : la règle 3-2-1, et le « -1-0 » qui change tout.
Trois copies, deux supports, une hors site : la base. Ce qui sauve vraiment une entreprise après un ransomware, ce sont les deux chiffres suivants.
La règle 3-2-1 tient en une phrase : trois copies de vos données, sur deux supports différents, dont une hors site. Elle date d’une époque où le risque principal était la panne matérielle. Aujourd’hui, le risque principal est un attaquant qui chiffre vos données et vos sauvegardes en même temps. D’où la version complète : 3-2-1-1-0.
Le « -1 » : une copie hors ligne ou immuable
Une sauvegarde accessible en écriture depuis votre réseau n’est pas une sauvegarde, c’est une cible. Il faut au moins une copie que personne ne peut modifier : bande déconnectée, stockage objet avec verrouillage (object lock), ou dépôt de sauvegarde isolé avec des identifiants distincts. Le compte qui écrit les sauvegardes ne doit jamais être un compte administrateur du domaine.
Le « 0 » : zéro erreur à la restauration
Une sauvegarde n’existe que si elle a été restaurée. Nous imposons un test de restauration complet par trimestre, chronométré, sur un système représentatif. Le temps mesuré devient votre vrai RTO, pas celui du contrat.
Checklist de mise en œuvre
- Inventorier ce qui doit être sauvegardé : serveurs, postes, bases de données, Microsoft 365 (boîtes mail, SharePoint, OneDrive, Teams), configurations réseau.
- Fixer par système un RPO (perte de données acceptable) et un RTO (durée d’arrêt acceptable). Ces deux chiffres dictent la fréquence et la technologie.
- Séparer les identifiants : compte dédié, MFA, aucun droit sur la production.
- Activer l’immutabilité ou la déconnexion physique sur au moins une copie.
- Chiffrer les copies hors site et conserver les clés ailleurs que dans le système sauvegardé.
- Superviser les jobs : un échec silencieux pendant trois semaines est le scénario le plus fréquent.
- Tester la restauration chaque trimestre et consigner le résultat.
- Écrire le plan de reprise : qui fait quoi, dans quel ordre, avec quels accès, si le domaine est indisponible.
Le cas Microsoft 365
La rétention native de Microsoft 365 protège contre une suppression récente, pas contre une corruption, un compte compromis ou un besoin de restauration à plusieurs mois. Une sauvegarde tierce de la suite reste nécessaire pour la plupart des entreprises, et c’est ce qu’un auditeur NIS2 vous demandera de démontrer.