Une sauvegarde jamais restaurée n'est pas une sauvegarde
La règle 3-2-1-1-0, le test de restauration mensuel, et les deux chiffres qu'un dirigeant doit connaître par cœur.
Publié le 14 août 202611 min de lecture
La quasi-totalité des entreprises sauvegardent. Une minorité sait combien de temps il faudrait pour redémarrer, et une minorité plus petite encore l'a vérifié. Tant que la restauration n'a pas été essayée, la sauvegarde est une croyance, pas une protection.
La règle, dans sa version actuelle
3-2-1-1-0
| 3 | copies des données, l'originale comprise |
| 2 | supports de nature différente |
| 1 | copie hors du site |
| 1 | copie hors ligne ou immuable |
| 0 | erreur au test de restauration |
Les deux derniers chiffres sont les ajouts récents, et ce sont eux qui répondent au rançongiciel. Un logiciel malveillant moderne cherche les sauvegardes avant de chiffrer les données : s'il peut les atteindre avec les droits qu'il a volés, il les détruit d'abord. Une copie immuable ne peut être ni modifiée ni effacée avant l'expiration de sa durée de rétention, y compris par un administrateur.
Les deux chiffres à connaître
Ce sont les seuls indicateurs qui intéressent vraiment une direction, parce qu'ils se traduisent directement en argent et en jours ouvrés.
| RPO | quantité de travail perdue, en heures |
| RTO | temps avant reprise, en heures |
Le RPO découle de la fréquence des sauvegardes : une sauvegarde nocturne signifie que vous acceptez de perdre une journée de saisie. Le RTO découle du volume, du débit et surtout de la préparation. Ces deux nombres doivent être décidés par la direction, pas subis par défaut, parce qu'ils déterminent le budget.
Le test de restauration, en pratique
Un test utile est étroit et régulier plutôt que large et annuel. Le rythme qui fonctionne dans une PME est mensuel, avec une rotation.
- Choisir chaque mois un élément différent : un fichier, une boîte aux lettres, une base, un serveur entier.
- Restaurer ailleurs que sur l'original, pour ne rien écraser.
- Ouvrir réellement le contenu restauré, et vérifier qu'il est exploitable, pas seulement présent.
- Chronométrer, et noter le résultat avec la date.
- Une fois par an, faire l'exercice complet sur un système entier.
La ligne de résultat, datée, est ce qui transforme la sauvegarde en preuve. C'est exactement le type de pièce que la traçabilité exigée par l'article 8 LPD attend, et c'est aussi ce que demandera un assureur cyber avant d'indemniser.
Les cinq erreurs les plus fréquentes
- La sauvegarde accessible avec les mêmes comptes que la production. Les droits volés servent alors deux fois.
- La messagerie en ligne réputée sauvegardée. L'hébergeur garantit la disponibilité de son service, pas la récupération de ce que vous avez supprimé il y a six mois. La rétention par défaut est courte.
- Le disque externe branché en permanence. Il n'est hors ligne que débranché.
- L'absence de surveillance des échecs. Une sauvegarde qui échoue en silence pendant six semaines est le scénario le plus banal.
- La rétention trop courte. Un rançongiciel peut dormir plusieurs semaines. Si votre plus ancienne copie a quinze jours, elle est déjà compromise.
Ce qu'il faut pouvoir dire en une phrase
Une direction bien informée doit pouvoir répondre à ceci sans consulter personne : combien de travail nous perdons au pire, combien de temps nous redémarrons, quand la dernière restauration a été testée, et qui décide en cas d'incident. Si l'une des quatre réponses manque, c'est là qu'il faut commencer.