Sauvegarde informatique en entreprise : la règle 3-2-1 expliquée aux PME

Un disque dur qui lâche, un ordinateur volé, une erreur de manipulation ou un rançongiciel qui chiffre le serveur : dans une PME, la perte de données n’est pas une hypothèse, c’est une question de temps. La différence entre un incident gênant et un arrêt d’activité de plusieurs semaines tient presque toujours à une chose : la qualité de la sauvegarde informatique de l’entreprise. La règle 3-2-1 est la méthode la plus simple pour les organiser correctement.

Pourquoi la sauvegarde est le premier sujet informatique d’une PME

Devis, factures, fichiers clients, comptabilité, plans, dossiers du personnel, boîtes mail : l’essentiel de la valeur d’une entreprise est aujourd’hui numérique. Pourtant, beaucoup de TPE et PME se contentent d’un disque externe branché en permanence, d’une synchronisation cloud ou d’une sauvegarde lancée « quand on y pense ».

Ces solutions donnent une impression de sécurité, mais elles ne résistent pas aux scénarios les plus fréquents :

• La panne matérielle : un disque, un NAS ou un serveur finit toujours par tomber en panne.
• L’erreur humaine : un dossier supprimé ou écrasé, et la synchronisation propage l’erreur sur tous les postes.
• Le rançongiciel : il chiffre les fichiers du serveur, mais aussi les disques et partages accessibles depuis le réseau, y compris la sauvegarde branchée en permanence.
• Le sinistre : incendie, dégât des eaux ou cambriolage détruisent en même temps les données et leur copie si elles sont dans le même bureau.

La sauvegarde est aussi une obligation : le RGPD impose de garantir la disponibilité des données personnelles et de pouvoir les rétablir rapidement en cas d’incident. C’est d’ailleurs la première action de notre guide cybersécurité TPE PME : par où commencer.

La règle 3-2-1 expliquée simplement

La règle 3-2-1 est une méthode reconnue par les professionnels de l’informatique. Elle tient en trois chiffres :

• 3 copies de vos données : l’original sur lequel vous travaillez, plus deux sauvegardes.
• 2 supports différents : par exemple un NAS dans vos locaux et un stockage cloud, pour qu’une même panne ne touche pas toutes les copies.
• 1 copie hors site : une sauvegarde stockée ailleurs que dans vos bureaux, en général dans un datacenter.

Face aux rançongiciels, on parle de plus en plus de règle 3-2-1-1-0 : une copie supplémentaire hors ligne ou immuable (impossible à modifier ou supprimer pendant une durée définie), et zéro erreur constatée lors des tests de restauration. C’est cette copie isolée qui permet de repartir après une attaque, même si le pirate a obtenu des droits d’administrateur sur le réseau.

Quoi sauvegarder dans une PME ?

Avant de choisir un outil, il faut faire l’inventaire de ce qui doit être protégé. Les oublis les plus fréquents :

• Le serveur et les partages de fichiers, y compris les bases des logiciels métiers (comptabilité, gestion commerciale, ERP).
• Les postes de travail, sur lesquels des fichiers sont souvent enregistrés « en local », sur le bureau.
• Microsoft 365 ou la messagerie hébergée : la corbeille et l’historique des versions ont des durées de conservation limitées, ce n’est pas une sauvegarde au sens strict.
• Les configurations : pare-feu, routeurs, standard téléphonique, qui demandent des heures de reparamétrage si elles sont perdues.

Mettre en place la règle 3-2-1 en 5 étapes

1. Définir vos objectifs de reprise

Deux questions guident tout le dispositif : combien de travail pouvez-vous accepter de perdre (une heure, une journée ?) et combien de temps pouvez-vous rester sans vos outils ? Les réponses fixent la fréquence des sauvegardes et le type de solution de restauration.

2. Installer une sauvegarde locale rapide

Un NAS ou un serveur de sauvegarde dans vos locaux permet de restaurer rapidement un fichier ou un serveur complet. Il ne doit pas être accessible comme un simple partage réseau depuis les postes, pour limiter l’impact d’un rançongiciel.

3. Externaliser une copie automatiquement

Une copie chiffrée part chaque nuit vers un datacenter. Idéalement, elle est immuable : même avec les identifiants de l’entreprise, personne ne peut la supprimer avant la fin de la période de rétention. Une bonne connexion fibre professionnelle facilite ces transferts.

4. Superviser chaque sauvegarde

Une sauvegarde qui échoue en silence depuis trois mois est un scénario très courant. Chaque tâche doit envoyer un rapport et une alerte en cas d’erreur, suivie par une personne identifiée ou par votre prestataire dans le cadre d’un contrat d’infogérance.

5. Tester la restauration régulièrement

Une sauvegarde n’a de valeur que si elle se restaure. Programmez des tests au moins chaque trimestre : restaurer un fichier, une boîte mail, puis un serveur complet sur un environnement de test. Documentez la procédure pour qu’elle soit utilisable le jour où la personne qui l’a mise en place est absente.

Les erreurs fréquentes à éviter

• Confondre synchronisation (OneDrive, Dropbox) et sauvegarde : une suppression ou un chiffrement est synchronisé partout.
• Laisser le disque de sauvegarde branché en permanence au serveur.
• Utiliser le même compte administrateur pour le réseau et pour la sauvegarde.
• Ne jamais tester de restauration.
• Oublier la sauvegarde dans le plan de continuité d’activité, au même titre que la connexion Internet et la téléphonie.

Pour identifier les autres points faibles de votre système, lisez aussi notre article sur les 5 failles de cybersécurité les plus fréquentes dans les PME.

Sauvegarde informatique à Aubagne et Marseille : l’accompagnement BTR

BTR conçoit et supervise les sauvegardes des TPE et PME d’Aubagne, de Marseille, de Gémenos et de La Ciotat : audit de l’existant, sauvegarde locale et externalisée, protection Sophos, supervision et tests de restauration. Ces prestations font partie de nos services informatiques pour PME, avec une équipe locale qui suit aussi votre téléphonie et votre réseau.

Foire aux questions

À quelle fréquence faut-il sauvegarder ?

Pour la plupart des PME, une sauvegarde quotidienne est un minimum. Les données très actives (comptabilité, gestion commerciale) peuvent être sauvegardées plusieurs fois par jour.

Le cloud suffit-il comme sauvegarde ?

Le cloud est idéal pour la copie hors site, mais il ne remplace pas une sauvegarde locale pour les restaurations rapides. Surtout, un service de synchronisation n’est pas une sauvegarde : il faut une solution dédiée, avec historique et rétention.

Combien de temps conserver les sauvegardes ?

Cela dépend de vos obligations légales et de vos besoins. Une rétention de 30 jours avec quelques points mensuels couvre la majorité des cas, y compris un rançongiciel détecté tardivement.

Pour aller plus loin, consultez les bonnes pratiques de sauvegarde publiées par Cybermalveillance.gouv.fr.