La règle de sauvegarde 3-2-1 expliquée (et pourquoi OneDrive n'est pas une sauvegarde)

Presque chaque dirigeant que nous rencontrons dit la même chose : 'Nos fichiers sont dans OneDrive, donc nous avons une sauvegarde.' Compréhensible, mais faux. Synchronisation et sauvegarde se ressemblent, mais elles protègent contre des choses différentes. Tu ne le remarques que le jour où tu dois récupérer quelque chose, et c'est le pire moment. Ci-dessous : pourquoi, ce que signifie la règle 3-2-1 et comment tester ta sauvegarde.

Pourquoi OneDrive n'est pas une sauvegarde

OneDrive, Google Drive et Dropbox font exactement ce qu'ils promettent : un fichier a la même version sur tous tes appareils. Pratique pour collaborer, mais chaque modification est donc répercutée partout. Y compris celles dont tu te serais bien passé.

• Supprime un dossier par erreur et il disparaît en quelques secondes du cloud et du portable de ton collègue. La synchronisation fait son travail.
• Si un ransomware chiffre les fichiers sur un poste, les versions chiffrées sont proprement synchronisées chez tout le monde.
• La corbeille et l'historique des versions aident, mais pendant une période limitée et fichier par fichier. Un problème remarqué après des semaines, ou des milliers de fichiers à restaurer, et tu n'iras pas loin.

Une sauvegarde, c'est autre chose : une copie séparée, à un endroit séparé, qui ne suit pas ce qui se passe sur tes postes. Cette distance te permet de revenir avant l'erreur. Pour repérer que quelque chose a déjà mal tourné, lis Mon entreprise est-elle déjà piratée ?.

La règle 3-2-1 en langage clair

La règle 3-2-1 est une vieille règle qui tient toujours la route : simple à retenir, assez stricte pour la plupart des catastrophes.

• Trois copies de tes données : la version avec laquelle tu travailles, plus deux sauvegardes. Une seule sauvegarde n'en est pas une, car les sauvegardes aussi tombent en panne.
• Deux types de supports : par exemple un NAS au bureau et une sauvegarde cloud. Si un type lâche à cause d'une panne ou d'un bug, l'autre reste.
• Une copie hors les murs : à un autre endroit, hors ligne ou immuable. Incendie, vol ou ransomware sur tout ton réseau ne doivent pas toucher cette dernière copie.

Ce dernier point est aujourd'hui le plus important. Un ransomware cherche les sauvegardes accessibles via le réseau et les chiffre en premier. Une copie que personne ne peut modifier ni effacer, pas même un administrateur, est ton vrai filet de sécurité. Demande à ton fournisseur une sauvegarde 'immuable'.

Que sauvegarder, à quelle fréquence et combien de temps ?

Une entreprise de quinze personnes n'a plus de salle serveur, mais un nombre étonnant d'endroits où vivent des données :

• Microsoft 365 ou Google Workspace : boîtes mail, SharePoint, Teams et OneDrive. Microsoft et Google conservent tes données, mais ne te protègent pas contre tes propres suppressions ni contre un compte piraté. Il existe des logiciels dédiés pour cela.
• Comptabilité et ERP : en local, la base de données fait partie de la sauvegarde. Dans le cloud ? Demande à ton fournisseur ce qu'il conserve et comment obtenir un export.
• Serveur ou NAS : tout ce qui y est partagé. Un NAS est un bon premier emplacement, mais il peut aussi lâcher.
• Postes des personnes clés : le portable du dirigeant ou du comptable contient souvent des fichiers jamais arrivés sur le disque partagé.
• Ton site web ou ta boutique : fichiers et base de données, quoi que promette ton hébergeur.

Fréquence et durée dépendent de deux questions auxquelles tu réponds mieux que ton informaticien. Combien de travail peux-tu perdre ? Si ta sauvegarde tourne chaque nuit et qu'un problème survient à 16 h, tu perds une journée. Combien de temps peux-tu être à l'arrêt ? Restaurer de gros volumes depuis le cloud prend des heures, voire des jours ; si c'est trop long, il te faut aussi une copie locale rapide. Et comme un ransomware se remarque parfois des semaines plus tard, garde aussi des points de restauration hebdomadaires et mensuels, pas seulement la dernière version. Note ces réponses : ce sont les engagements dont ton partenaire IT a besoin.

La question test : quand as-tu restauré quelque chose pour la dernière fois ?

C'est ici qu'un scan cyber devient généralement silencieux. Une sauvegarde qui tourne n'est pas une sauvegarde qui fonctionne. Nous voyons des sauvegardes en erreur depuis des mois sans que personne ne lise la notification, et d'autres où manque justement le dossier le plus important. Un petit plan de test suffit :

1. Chaque trimestre, restaure un fichier et un dossier complet à un autre endroit. Vérifie que tout est là et que ça s'ouvre.
2. Une fois par an, restaure une boîte mail ou un poste complet, de préférence sur un appareil de test. Chronomètre et compare avec ce que tu jugeais acceptable.
3. Vérifie qui reçoit les notifications du logiciel de sauvegarde et si elles sont lues. Une boîte mail que personne n'ouvre n'est pas une surveillance.
4. Note la date, le résultat et qui l'a fait. Ces notes valent de l'or pour ton assurance cyber et NIS2.

Combien de temps cela coûte-t-il, et que fait un partenaire IT ?

Au départ : une demi-journée pour l'inventaire, les engagements et la configuration. Ensuite, quelques heures par trimestre pour les tests et les notifications. En tant que partenaire IT, nous prenons ce travail en charge et en faisons une routine : surveiller les sauvegardes chaque jour, planifier et documenter les tests de restauration, adapter la configuration quand ton entreprise évolue. Ce que nous apportons surtout, ce n'est pas le logiciel, mais la certitude que quelqu'un regarde.