La règle 3-2-1 tient en une phrase : trois copies de vos données, sur deux supports différents, dont une copie hors site. La CNIL y ajoute une exigence décisive, garder au moins une sauvegarde hors ligne. Le reste se joue sur la fréquence, la rétention et le test de restauration.
Ce que la règle 3-2-1 énonce, et ce qu’elle laisse dans l’ombre
Trois nombres, trois modes de défaillance couverts. La formule circule depuis des années chez les praticiens de la donnée, et la CNIL l’a reprise à son compte dans son guide de la sécurité des données personnelles. Chaque chiffre répond à un scénario de perte différent.
- Trois copies : l’original en production et deux sauvegardes, pour qu’une corruption passée inaperçue ne se retrouve pas partout au moment où vous en avez besoin
- Deux supports de nature différente : un disque interne et une bande, un serveur local et un espace distant, jamais deux disques identiques achetés le même jour dans le même lot
- Une copie ailleurs : l’incendie, le dégât des eaux et le cambriolage ne font pas le tri entre le serveur et le disque externe posé sur l’étagère d’à côté
Ce triptyque a le mérite de tenir en mémoire. Son angle mort saute aux yeux dès qu’un rançongiciel entre dans l’histoire : rien, dans l’énoncé d’origine, n’interdit que les trois copies soient joignables depuis le même réseau au même instant.
La lecture de la CNIL, plus exigeante qu’il n’y paraît
Dans sa fiche consacrée à la sauvegarde et à la continuité d’activité, mise à jour le 14 mars 2024 au sein du guide de la sécurité des données personnelles, la CNIL décrit l’état de l’art comme trois copies des données, stockées sur deux supports différents, dont une hors ligne. Le déplacement mérite d’être noté. Là où la version d’origine parle de site distant, l’autorité insiste sur la déconnexion.
Les deux exigences coexistent d’ailleurs dans la même fiche. La CNIL recommande de stocker au moins une sauvegarde sur un site géographiquement distinct du site d’exploitation, et d’isoler au moins une sauvegarde hors ligne, déconnectée du réseau de l’entreprise. Un disque rangé dans une armoire ignifugée au bureau satisfait la seconde condition et rate la première. Un espace distant accessible en permanence par un compte administrateur fait l’inverse.
La même fiche liste quatre pratiques à proscrire, dont deux visent directement cette confusion : conserver les sauvegardes sur les mêmes systèmes que les données sauvegardées sans les isoler, et les conserver au même endroit que les machines hébergeant les données.
Les variantes qui circulent depuis les rançongiciels
Le secteur des solutions de sauvegarde a prolongé la formule sous l’appellation 3-2-1-1-0. Le premier ajout désigne une copie immuable ou hors ligne, impossible à modifier même avec des droits d’administrateur. Le second se lit comme un objectif de qualité : zéro erreur au dernier test de restauration.
Ces deux ajouts reprennent, sous une forme commerciale, ce que la CNIL formule déjà : l’isolement d’une copie et la vérification régulière de sa capacité de restauration. Retenez la logique plutôt que le sigle. Une TPE a besoin d’une copie que le réseau ne peut pas atteindre et d’une preuve annuelle que cette copie se relit.
Par quoi commencer dans une TPE : l’inventaire avant l’outil
Acheter un logiciel avant de savoir ce que vous protégez revient à assurer une maison sans en connaître les pièces. Commencez par la question qui tranche : quelles données arrêtent l’activité si elles disparaissent demain matin ?
Cinq gisements reviennent dans presque toutes les petites structures.
- La comptabilité et la facturation, souvent hébergées chez un éditeur, rarement exportées par le dirigeant
- Le fichier clients et l’historique des échanges, quand il vit dans un outil de gestion commerciale ou dans une simple feuille de calcul
- La messagerie professionnelle, qui contient les preuves de commande, les validations de devis et les échanges contractuels
- Les fichiers de production : plans, photos, maquettes, dossiers techniques, devis en cours
- Les documents juridiques et sociaux : statuts, procès-verbaux, contrats de travail, registre du personnel
Deux oublis reviennent régulièrement. Le premier concerne les données qui vivent chez un prestataire : un abonnement en ligne interrompu pour impayé ou résilié à la suite d’un litige ne garantit aucun délai de récupération. Exportez vos données périodiquement dans un format lisible sans l’outil qui les a produites. Le second concerne le site de l’entreprise, dont la base de données et les fichiers ont besoin d’une sauvegarde propre, distincte de celle du poste de travail, comme le rappelle la démarche de création d’un site internet professionnel.
Le calendrier fiscal donne un argument supplémentaire. À compter du 1er septembre 2026, toutes les entreprises établies en France et assujetties à la TVA doivent être en mesure de recevoir des factures électroniques, l’émission devenant obligatoire à cette même date pour les grandes entreprises et les ETI, puis au 1er septembre 2027 pour les PME et les micro-entreprises, selon service-public.gouv.fr. Le flux de pièces comptables devient intégralement numérique, et votre dispositif de facturation et de relance des impayés devient un gisement à sauvegarder au même titre que la comptabilité.
Fréquence, versions, rétention : trois curseurs à régler séparément
La question « à quelle fréquence sauvegarder ? » se répond par une autre : quelle quantité de travail acceptez-vous de refaire ? Une sauvegarde quotidienne à minuit signifie qu’un incident à seize heures efface une journée de saisie. Ce volume de perte tolérable détermine le rythme, jamais l’inverse.
La CNIL recommande des sauvegardes fréquentes, en combinant des sauvegardes incrémentales quotidiennes et des sauvegardes complètes à intervalles réguliers. La sauvegarde incrémentale ne copie que ce qui a changé, ce qui la rend rapide. La sauvegarde complète repart de zéro, ce qui la rend restaurable seule, sans dépendre d’une chaîne de fichiers intermédiaires.
Le troisième curseur, la rétention, décide du nombre de versions gardées. Il compte davantage que les deux autres face à une corruption lente ou à un chiffrement malveillant découvert avec retard. Garder une seule version, écrasée chaque nuit, revient à sauvegarder fidèlement le problème.
| Donnée | Perte acceptable | Rythme de sauvegarde | Versions conservées |
|---|---|---|---|
| Comptabilité, facturation | Quelques heures | Quotidien | 12 mois glissants |
| Messagerie professionnelle | Une journée | Quotidien | 6 à 12 mois |
| Fichiers de production en cours | Une demi-journée | Deux fois par jour | 30 à 90 jours |
| Site internet et base associée | Une journée | Quotidien | 30 jours |
| Documents juridiques et sociaux | Une semaine | Hebdomadaire | Durée légale |
Ce tableau ne vaut pas prescription universelle. Il fixe un point de départ que vous ajustez selon le volume de saisie quotidienne et la tolérance réelle de votre activité à une journée blanche. Un artisan qui facture le vendredi soir et une agence qui produit des livrables toute la semaine ne règlent pas les mêmes curseurs.
Le test de restauration, l’étape que presque personne ne franchit
Une sauvegarde jamais restaurée n’est qu’une intention. La CNIL le formule sans détour dans sa liste des pratiques à éviter : ne jamais vérifier si les sauvegardes sont exploitables, et se rendre compte que ce n’est pas le cas le jour où elles sont nécessaires. Elle demande à l’inverse de tester régulièrement l’intégrité des sauvegardes et la capacité de les restaurer.
L’exercice tient en une demi-journée par an pour une petite structure. Le protocole compte plus que l’outil.
- Choisissez un jeu de données réel, pas un fichier de test créé pour l’occasion
- Restaurez sur une machine distincte de celle qui produit les données, pour ne rien écraser
- Ouvrez les fichiers restaurés dans leur application d’origine et vérifiez qu’ils se lisent
- Chronométrez l’opération de bout en bout, du branchement du support à la reprise du travail
- Notez la date, la durée, la personne qui a mené l’exercice et les points bloquants
Ce chronomètre donne une information que rien d’autre ne fournit : le délai de reprise réel. Un dirigeant qui découvre le jour de l’incident qu’une restauration complète demande trois jours n’a pas un problème de sauvegarde, il a un problème de continuité d’activité. L’ANSSI, dans son Panorama de la cybermenace 2025, juge indispensable l’élaboration en amont d’un plan de continuité d’activité et d’un plan de reprise d’activité. Le test annuel en constitue la seule vérification honnête.
Trois anomalies classiques sortent de cet exercice : un mot de passe de chiffrement que personne ne retrouve, une sauvegarde qui s’est arrêtée silencieusement il y a plusieurs mois faute d’espace disque, et une base de données restaurée sans les fichiers joints qui l’accompagnent. Aucune de ces trois ne se voit sur un tableau de bord affichant un état vert.
Rançongiciel : ce que la sauvegarde neutralise, et ce qu’elle laisse entier
Les chiffres publics cadrent l’enjeu. Selon le Panorama de la cybermenace 2025 de l’ANSSI, 128 compromissions par rançongiciel ont été portées à la connaissance de l’Agence en 2025, contre 141 l’année précédente. Les PME, TPE et ETI restent la catégorie d’entités la plus affectée par ce type d’attaque. Côté assistance, Cybermalveillance.gouv.fr indique que plus de 504 000 personnes ont réalisé un parcours d’assistance sur sa plateforme en 2025.
Une sauvegarde hors ligne et testée retire au rançongiciel son levier principal, la restitution des fichiers contre paiement. Cybermalveillance.gouv.fr recommande précisément de déconnecter le support de sauvegarde de l’ordinateur ou du réseau lorsqu’il n’est plus utilisé. Une sauvegarde branchée en permanence subit le chiffrement au même titre que le reste, dans la même nuit.
Le raisonnement s’arrête là, et c’est le point que beaucoup manquent. La sauvegarde restaure la disponibilité des données, elle n’efface pas leur divulgation. L’ANSSI relève 196 incidents relatifs à des exfiltrations de données en 2025, contre 130 en 2024, et observe une tendance à l’extorsion sans déploiement de rançongiciel : les attaquants se contentent de menacer de publier ce qu’ils ont copié. Face à ce scénario, aucune copie de secours ne rachète quoi que ce soit, ce qui renvoie aux mesures de prévention détaillées dans notre guide sur la cybersécurité des PME.
Retenez la répartition des rôles : la sauvegarde traite la perte, le chiffrement des données au repos et le cloisonnement des accès traitent la fuite. Les deux chantiers avancent en parallèle, ils ne se remplacent pas.
Les durées légales qui s’imposent à vos archives
La rétention technique croise ici une contrainte juridique. Une entreprise conserve certains documents pendant des années, indépendamment de son confort d’exploitation. Les durées ci-dessous proviennent de service-public.gouv.fr, page vérifiée le 1er juillet 2024.
| Document | Durée | Précision |
|---|---|---|
| Livres, registres et pièces comptables, factures clients et fournisseurs | 10 ans | À compter de la clôture de l’exercice |
| Déclarations et pièces fiscales (impôt sur les sociétés, TVA, CFE) | 6 ans | À compter de la dernière opération |
| Contrats commerciaux et correspondance commerciale | 5 ans | Relations commerciales courantes |
| Contrat conclu par voie électronique à partir de 120 euros | 10 ans | À partir de la livraison ou de la prestation |
| Bulletins de paie et contrats de travail | 5 ans | Double conservé par l’employeur |
| Registre unique du personnel | 5 ans | À partir du départ du salarié |
Deux précisions évitent les erreurs de lecture. Les documents relatifs aux charges sociales se conservent trois ans, et les pièces liées à l’acquisition ou à la cession d’un bien immobilier trente ans. En cas d’activité occulte, les délais fiscaux passent à dix ans.
L’autre horloge tourne dans le sens inverse. Le RGPD interdit de garder indéfiniment des données personnelles : la CNIL rappelle, sur sa page consacrée aux durées de conservation mise à jour le 2 avril 2026, qu’il revient au responsable du fichier de fixer une durée en fonction de la finalité du traitement. Elle distingue trois phases : la base active, l’archivage intermédiaire pour les données qui gardent un intérêt administratif ou une obligation légale, et l’archivage définitif.
Traduction pratique pour une TPE : vos sauvegardes ne forment pas un grenier sans fin. Un ancien fichier de prospects gardé douze ans dans une image disque reste un traitement de données personnelles. Documentez une durée par catégorie, et prévoyez la purge des supports les plus anciens. Cette discipline rejoint celle qui consiste à organiser ses connaissances en solo : sans classement en amont, aucune purge sélective n’est possible en aval.
Où poser la copie hors site sans créer un nouveau risque
Deux formules dominent pour la troisième copie, et chacune apporte sa contrainte propre.
Le disque externe emporté hors des locaux reste la solution la plus simple. Sa faiblesse est humaine : la rotation s’oublie, le disque vieillit sans surveillance, le transport crée un risque de perte. Deux supports alternés, datés à chaque échange, corrigent l’essentiel.
Le stockage chez un prestataire distant règle la question de la rotation et pose celle du contrat. La CNIL demande de protéger les données sauvegardées au même niveau de sécurité que celles des serveurs d’exploitation, en chiffrant les sauvegardes et en encadrant contractuellement une prestation d’externalisation. Elle recommande également de chiffrer le canal de transmission lorsque les sauvegardes transitent par un réseau qui n’est pas interne à l’organisme.
Le recours à un prestataire déplace le risque sans le supprimer. Le Panorama de la cybermenace 2025 de l’ANSSI consacre un chapitre entier au ciblage des sous-traitants comme vecteur de compromission, sur un total de 3 586 événements de sécurité traités par l’Agence en 2025, en baisse de 18 % par rapport à 2024. Posez donc trois questions avant de signer : où sont hébergées les données, qui détient les clés de chiffrement, et quel délai de restitution le contrat garantit en fin de relation.
Un détail décide souvent du sort d’une restauration : l’emplacement de la clé de chiffrement. Une clé stockée uniquement dans le gestionnaire de mots de passe installé sur le serveur chiffré par l’attaquant ne sert plus à rien. Conservez-en une copie hors du système d’information, au même titre que la liste des contacts d’urgence. Le choix des outils numériques du quotidien mérite ce même examen : un service abandonné par son éditeur emporte vos exports avec lui.
Ce que vous pouvez installer cette semaine
Prochaine étape, réaliste en trois soirées. Premier soir : listez vos cinq jeux de données vitaux et l’endroit exact où ils résident, prestataire compris. Deuxième soir : mettez en place une sauvegarde automatique quotidienne vers un espace distant, puis une copie hebdomadaire sur un disque que vous débranchez et rangez hors des locaux. Troisième soir : restaurez trois fichiers au hasard sur une autre machine et chronométrez.
Inscrivez ensuite deux rendez-vous dans votre agenda : un contrôle mensuel de cinq minutes pour vérifier que les sauvegardes tournent, et un exercice annuel de restauration complète. Ces deux lignes d’agenda valent davantage que le budget consacré à l’outil.
