Perdre toutes ses photos de famille à cause d’un disque dur mort. Voir une TPE paralysée pendant une semaine après un ransomware. Ces scénarios arrivent tous les jours, et ils ont presque tous un point commun : l’absence d’une vraie stratégie de sauvegarde. La règle 3-2-1 existe précisément pour éviter ces catastrophes, et sa logique est d’une redoutable simplicité.
Qu’est-ce que la sauvegarde 3-2-1 ?
Définition de la règle 3-2-1
La stratégie de sauvegarde 3-2-1 repose sur trois règles simples et efficaces : conserver 3 copies des données (l’original plus deux copies de sauvegarde), les stocker sur 2 types de supports différents pour limiter les risques de panne ou d’attaque ciblée, et maintenir 1 copie hors site pour assurer une restauration même en cas d’incident majeur (incendie, vol, inondation).
Cette méthode a été popularisée par le photographe américain Peter Krogh, qui l’a formalisée dans son livre The DAM Book en 2005. Initialement conçue pour la gestion des actifs numériques en photographie, elle a rapidement été adoptée par les professionnels de l’informatique pour sa simplicité et son efficacité. Depuis, la règle 3-2-1 est devenue une référence en matière de protection des données, s’adaptant aux évolutions technologiques, notamment avec l’avènement du cloud.
Concrètement, le « 3 » ne désigne pas trois copies identiques sur le même support.
Trois copies des données, cela signifie qu’il faut au moins deux sauvegardes en plus des données principales de la production, ce qui donne un total de trois copies pour les données.
Une nuance importante, surtout quand on cherche à se protéger contre les défaillances simultanées.
Pourquoi est-elle recommandée en cybersécurité ?
La CNIL recommande d’appliquer la règle dite « 3-2-1 », état de l’art en matière de sauvegarde, et l’ANSSI a publié des recommandations sur la sauvegarde des systèmes d’information allant dans ce sens.
En maintenant trois copies des données sur deux types de supports différents, la stratégie 3-2-1 réduit le risque de perte totale due à des défaillances matérielles. Même si un support ou un système rencontre des problèmes, la perte de données est quasiment impossible puisque les autres copies restent accessibles.
En ayant une copie hors site, on contourne aussi les attaques qui ciblent les systèmes locaux et on préserve l’intégrité des informations.
La raison profonde de cette recommandation universelle tient à une réalité statistique : les pannes, les erreurs humaines et les catastrophes ne préviennent pas.
Vous pouvez avoir un incendie sur votre site et perdre le serveur de production ainsi que la copie stockée sur le NAS, il vous reste alors la copie hors site, qui peut sauver l’entreprise.
Comment fonctionne la stratégie de sauvegarde 3-2-1
Les trois copies des données : explications concrètes
Imaginez vos données comme un document d’assurance-vie. Vous en gardez un exemplaire chez vous (vos données originales), un second dans un tiroir fermé à clé (première copie de sauvegarde locale), et un troisième chez votre notaire ou dans un coffre bancaire (copie hors site). Si la maison brûle, les deux premiers exemplaires disparaissent, mais le troisième reste intact.
Vous créez trois copies de vos données (les données d’origine sur votre appareil principal et au moins deux copies), et vous utilisez deux périphériques de stockage différents, votre PC, un disque dur externe, une clé USB, un DVD, un NAS ou des périphériques de stockage en nuage.
La redondance n’est pas de la paranoïa.
Tout concentrer au même endroit reste risqué : un dégât des eaux, un incendie ou un cambriolage peut effacer d’un coup toutes les sauvegardes locales.
Supports de sauvegarde : interne, externe, cloud
Stocker les données sur deux formes distinctes de média, comme le stockage local et le cloud, ou disque et bande, aide à se protéger contre la défaillance simultanée d’un seul type de média.
Les options concrètes sont nombreuses. Un NAS (Network Attached Storage) constitue une excellente première copie locale — accessible en réseau, avec une capacité de stockage importante. Le disque dur externe répond à un besoin de mobilité et de déconnexion physique. Quant au cloud,
il comprend le stockage des données sur des serveurs distants gérés par des fournisseurs tiers, offrant évolutivité, disponibilité et protection à distance, ce qui en fait un choix populaire pour les entreprises et les particuliers.
Une question revient souvent : peut-on faire une sauvegarde 3-2-1 uniquement avec du cloud ? Techniquement, oui, à condition d’utiliser plusieurs comptes ou fournisseurs distincts pour garantir l’isolation. Mais
une stratégie robuste doit mixer stockage local, hors site et cloud, s’assurer que les sauvegardes sont hébergées dans des domaines de défaillance différents, et éviter tout point de défaillance unique.
Illustration pratique : exemple d’un schéma de sauvegarde 3-2-1
Pour rendre cela tangible, voici ce que donne la règle appliquée à une situation réelle :
Prenons une entreprise bien organisée : les données des postes de travail sont dupliquées et conservées sur un serveur interne. Cette sauvegarde au sein de l’entreprise est complétée par un troisième backup, auprès d’un prestataire de sauvegarde externalisée.
Résultat : trois copies, deux types de supports (serveur local + cloud distant), une copie hors site. La règle 3-2-1 est respectée.
À l’opposé,
l’entreprise qui conserve ses données uniquement sur le disque dur interne de ses ordinateurs se retrouve, en cas de panne du système informatique, d’incendie ou de cyberattaque, dans l’impossibilité de récupérer ses données rapidement. Une perte irrémédiable d’une partie ou de la totalité des données est même fréquente.
Exemples réels d’application de la règle 3-2-1
Sauvegarde 3-2-1 à la maison (photos, documents personnels)
Pour un particulier, la mise en œuvre est accessible sans compétences techniques avancées. Le principe : les photos restent sur votre ordinateur (copie 1), sont synchronisées automatiquement vers un disque dur externe branché en USB (copie 2), et répliquées vers un service de stockage cloud (copie 3).
Vos appareils numériques contiennent des données parfois irremplaçables, les protéger en réalisant des sauvegardes régulières est le seul moyen de les conserver à long terme.
Le point de vigilance pour les particuliers concerne justement la copie hors site.
Si vous êtes victime d’un rançongiciel et que votre sauvegarde est connectée à votre ordinateur ou au réseau de votre entreprise, elle peut également être affectée par le programme malveillant qui pourrait la détruire. Il faut déconnecter le support de sauvegarde lorsqu’il n’est pas utilisé.
Sauvegarde 3-2-1 en entreprise (fichiers sensibles, bases de données)
Pour une entreprise, la stratégie 3-2-1 signifie une continuité opérationnelle renforcée, une protection contre la perte d’informations stratégiques et une garantie de confiance auprès des clients, dans la mesure où leurs données sensibles sont préservées de manière sécurisée.
Concrètement,
la première étape consiste à identifier les données cruciales pour l’activité, documents, bases de données, configurations système. Ensuite, il faut choisir les supports de sauvegarde en optant pour une combinaison (disques durs internes, disques durs externes, serveurs cloud), et répartir les sauvegardes sur différents emplacements physiques.
Les entreprises les plus exposées (finance, santé, e-commerce) vont souvent plus loin.
La stratégie 3-2-1 est particulièrement adaptée aux secteurs très réglementés où la moindre perte de données peut coûter cher, et nécessite des outils capables de gérer la redondance multi-site et la réplication sécurisée.
Comparatif avec d’autres méthodes de sauvegarde
La règle 3-2-1 n’est pas une norme ISO officielle, mais elle fait aujourd’hui référence dans le secteur.
En 2025, le 3-2-1 reste une bonne pratique de base, même si des modèles renforcés comme le 3-2-1-1-0 et le 3-2-3 sont désormais de plus en plus adoptés pour améliorer la résilience face aux ransomwares.
Dans un contexte où les ransomwares ciblent directement les infrastructures de sauvegarde, la règle 3-2-1 historique évolue vers un standard renforcé : la 3-2-1-1-0.
Ce nouveau format ajoute deux exigences :
une copie inaltérable ou totalement isolée, protégée contre toute modification ou suppression, et zéro erreur de restauration, avec des vérifications systématiques et documentées.
le 3-2-1 est le socle. Il reste valide et recommandé. Mais si les ransomwares font partie de votre paysage de risques (et ils font partie du paysage de tout le monde désormais), envisager l’évolution vers le 3-2-1-1-0 n’est pas du luxe.
Mettre en place un plan de secours avec la méthode 3-2-1
Évaluer ses besoins et ses risques (ransomware, vol, panne matérielle)
Avant de choisir ses outils, il faut d’abord se poser les bonnes questions. Quelles données seraient vraiment catastrophiques à perdre ? Combien de temps pourrait-on fonctionner sans elles ? Ces deux interrogations guident tout le reste.
La première étape consiste à classifier les données selon leur importance stratégique. Les informations critiques, telles que les bases de données comptables, les fichiers clients CRM ou les documents contractuels, nécessitent une protection maximale.
Les risques à cartographier sont connus : panne matérielle (tout disque dur finit par mourir), ransomware (les attaquants cherchent précisément à bloquer la récupération), erreur humaine (un fichier supprimé par accident reste l’un des incidents les plus fréquents), et sinistre physique (incendie, inondation).
La méthode 3-2-1 assure la résilience des données face à ces quatre types de menaces : pannes matérielles, erreurs humaines, catastrophes naturelles ou cyberattaques.
Étapes clés pour configurer une sauvegarde 3-2-1
La configuration d’un plan 3-2-1 suit une logique progressive, applicable à tous les profils :
- Identifier et prioriser les données à protéger en commençant par les plus critiques.
- Choisir deux supports distincts (local + cloud, ou disque externe + NAS) pour les deux premières copies.
- Configurer la copie hors site : un service cloud suffisamment géographiquement distant ou chez un prestataire tiers.
- Automatiser les sauvegardes régulières grâce aux outils intégrés aux systèmes d’exploitation.
- Tester la restauration au moins une fois par trimestre pour confirmer que les données sont exploitables.
Ce dernier point est souvent oublié.
Ne jamais vérifier si les sauvegardes sont exploitables, et se rendre compte que ce n’est pas le cas le jour où elles sont nécessaires, est une erreur que l’on ne peut pas se permettre.
Il peut être opportun de prévoir des sauvegardes incrémentales quotidiennes et des sauvegardes complètes à intervalles réguliers.
Il faut également isoler au moins une sauvegarde hors ligne, déconnectée du réseau.
Ce point devient stratégique face aux ransomwares modernes, qui visent en priorité les sauvegardes connectées.
Les attaquants passent désormais des jours, voire des semaines à l’intérieur d’un réseau avant de déclencher le chiffrement, et pendant ce temps, ils cherchent et détruisent les sauvegardes.
Le plan de reprise d’activité (PRA) permet la relance du fonctionnement de l’entreprise après un sinistre. Il définit les procédures à suivre en cas de panne informatique ou de tout autre incident qui pourrait affecter la disponibilité des systèmes d’information.
La sauvegarde 3-2-1 en est la pierre angulaire, mais elle doit s’inscrire dans un document formalisé, connu de tous et testé régulièrement. Pour aller plus loin sur la sécurisation de votre environnement numérique, les bonnes pratiques cybersecurite constituent un complément indispensable.
Outils, services et solutions (logiciels, services cloud, disques externes)
Les systèmes d’exploitation récents intègrent nativement des fonctions de sauvegarde (Time Machine sur macOS, Historique des fichiers sur Windows). Ces outils couvrent la copie locale. Pour la copie hors site,
des services en ligne souvent appelés « Cloud » offrent des fonctionnalités de sauvegarde. Il en existe en solutions gratuites ou payantes en fonction de la capacité de stockage souhaitée, proposées notamment par les Fournisseurs d’Accès Internet et des entreprises spécialisées.
Côté matériel,
un disque dur interne peut héberger la première copie, tandis qu’un système de stockage en réseau (NAS) ou un serveur dédié accueille la seconde. Cette approche protège contre les défaillances matérielles spécifiques à un type de technologie. Les supports physiques offrent des performances d’accès rapides pour les restaurations d’urgence, tandis que l’infrastructure cloud apporte une flexibilité et une évolutivité adaptées aux besoins croissants.
Ne pas négliger non plus le chiffrement des sauvegardes.
Les données sauvegardées doivent être protégées au même niveau de sécurité que celles stockées sur les serveurs d’exploitation, par exemple en les chiffrant et en prévoyant un stockage dans un lieu sécurisé.
La cybersecurite protection donnees phishing vie privee rappelle à quel point la protection des copies est aussi importante que la protection des données originales.
FAQ : réponses aux questions courantes sur la sauvegarde 3-2-1
À quelle fréquence faut-il faire une sauvegarde ?
La fréquence idéale dépend du rythme de modification de vos données.
Si un ordinateur est rarement utilisé pour créer des documents, une sauvegarde mensuelle peut suffire. Si les données sont modifiées souvent, une sauvegarde hebdomadaire est préférable. Pour un usage professionnel quotidien, une sauvegarde quotidienne est recommandée.
La régularité dépend du rythme de modification des données : les entreprises à forte activité (SaaS, e-commerce) peuvent nécessiter des backups toutes les 4 à 6 heures, voire en temps réel ; les PME avec un système ERP classique opteront pour une sauvegarde quotidienne incrémentielle plus une hebdomadaire complète ; les structures à faible volumétrie se contenteront d’une sauvegarde hebdomadaire avec rapport automatisé.
Concernant la durée de conservation, elle dépend des besoins et des obligations légales.
La sauvegarde hors site n’est pas nécessaire tous les jours, surtout si vous choisissez une offre cloud où la facturation s’effectue en fonction de l’espace de stockage consommé.
Une politique de rétention échelonnée (sauvegardes journalières conservées un mois, hebdomadaires conservées six mois, mensuelles conservées un an) représente une bonne pratique généralement adoptée.
Quelles erreurs à éviter avec la sauvegarde 3-2-1 ?
Les trois pièges les plus courants sont les suivants : des sauvegardes irrégulières, des processus de sauvegarde non testés et la conservation des copies de sauvegarde sur place.
D’autres erreurs classiques méritent d’être citées. Sauvegarder sur le même disque physique que les données originales revient à n’avoir aucune sauvegarde réelle.
Si deux copies des données se trouvent sur le même support de stockage et que le matériel tombe en panne, aucune des deux sauvegardes ne fonctionnera. Si les sauvegardes sont stockées sur le même espace de stockage que les machines virtuelles principales et que ce stockage échoue, les données primaires et les sauvegardes sont perdues simultanément.
Ne jamais tester sa restauration est une autre erreur grave.
Une sauvegarde n’est bonne qu’à condition de pouvoir restaurer les données avec succès au moment voulu. La vérification régulière inclut des tests des fichiers de sauvegarde pour confirmer leur intégrité et des exercices de récupération pour valider le processus.
Oublier de mises a jour securite pourquoi c est important ses logiciels de sauvegarde peut également créer des vulnérabilités exploitables. Et enfin, ne pas chiffrer les sauvegardes cloud les expose à des accès non autorisés en cas de compromission du compte.
Pour remédier à ce problème, il est important de disposer d’un mot de passe fort et unique ainsi que d’activer le deuxième facteur d’authentification dans les services cloud. Les spécialistes recommandent également le chiffrement des sauvegardes pour empêcher d’autres personnes d’accéder aux informations.
Résumé et bonnes pratiques pour aller plus loin
La règle 3-2-1 tient dans une phrase : trois copies, deux supports différents, une hors site. Sa force est dans cette simplicité. Mais l’appliquer réellement, avec des sauvegardes automatisées, testées, chiffrées et documentées — demande un peu de méthode.
Pour un particulier : activez la synchronisation automatique vers le cloud dès aujourd’hui, branchez un disque externe une fois par semaine, et vérifiez régulièrement que vous pouvez bien ouvrir un fichier restauré. Pour une entreprise : formalisez un PRA, désignez un responsable des sauvegardes, et planifiez un test de restauration complet au moins une fois par an.
Cette règle fonctionne parce qu’elle adopte les principes de redondance, de diversité et d’isolation, trois piliers de la reprise après sinistre, de la préparation en matière de cybersécurité et de la conformité réglementaire. En distribuant les sauvegardes sur plusieurs types de supports et emplacements, on réduit le risque de perte catastrophique de données.
La sécurisation de vos données ne s’arrête pas là. Savoir comment securiser son wifi (mot de passe, wpa2/wpa3) pour empêcher toute intrusion sur votre réseau local protège aussi la copie locale de vos sauvegardes. Une stratégie de protection numérique cohérente est un ensemble : la sauvegarde 3-2-1 en est le filet de sécurité ultime, celui qui vous permet de tout récupérer même quand tout le reste a échoué. La vraie question n’est plus de savoir si vous avez besoin d’une telle stratégie, mais combien de temps vous pouvez vous permettre d’attendre avant de la mettre en place.