Sauvegarde 3-2-1 : la seule assurance qui marche le jour du ransomware

Au-delà du rançongiciel, une grappe reste exposée à des pertes totales : panne du contrôleur (disques intacts mais illisibles sans contrôleur compatible : une grappe créée sur un Broadcom MegaRAID, un Dell PERC H755 ou un HPE Smart Array ne se relit pas sur n’importe quelle carte), surtension qui grille le boîtier entier, vol, incendie, et surtout l’erreur humaine pendant une reconstruction — un disque sain retiré à la place du disque défaillant, et la grappe est perdue. S’y ajoute la corruption silencieuse d’un fichier de base, recopiée à l’identique partout. Le RAID divise le risque de panne matérielle ; il ne fait rien contre la perte de données. Notre guide stockage, mémoire, SSD et HDD pose les bases côté matériel, et le détail de ce que protège réellement chaque niveau est dans notre guide RAID 0, 1, 5, 6 et 10. Le choix des disques compte autant que le niveau : les séries conçues pour tourner sans arrêt — Seagate IronWolf et IronWolf Pro, Western Digital Red Plus et Red Pro, Toshiba N300, Seagate Exos en rack — encaissent la vibration d’une grappe et les longues reconstructions, ce que des disques de bureau ne font pas.

Côté cloud grand public, les filets existent mais sont courts. OneDrive propose une restauration à un point des 30 derniers jours ; Google Drive conserve les versions 30 jours ou 100 versions ; Dropbox et Box appliquent des historiques du même ordre sur leurs offres courantes. Or les intrus restent souvent plusieurs semaines dans un réseau avant de déclencher le chiffrement : quand l’alerte tombe, la fenêtre peut être dépassée. Ajoutez le cas du compte cloud lui-même compromis, ou une suppression massive qui vide la corbeille, et le filet disparaît. Google a d’ailleurs ajouté fin 2025 une détection de rançongiciel capable de mettre la synchronisation en pause : l’aveu que le problème est réel.

Argument imparable devant une direction : Microsoft l’écrit lui-même dans son contrat de services, section 6.b, en recommandant de sauvegarder régulièrement ailleurs le contenu stocké sur ses services. Le cloud fonctionne en responsabilité partagée — l’hébergeur garantit l’infrastructure, pas vos données contre la suppression, le sabotage interne ou un rançongiciel qui passe par un compte parfaitement légitime. C’est le règlement d’un parking gardé : le gardien surveille l’enceinte, l’affiche précise que la direction décline toute responsabilité pour les objets laissés dans les véhicules. Vos e-mails sont dans le véhicule. La parade porte un nom : la sauvegarde tierce du locataire Microsoft 365 ou Google Workspace, assurée par Veeam Backup for Microsoft 365, Acronis Cyber Protect Cloud, Keepit, Dropsuite, Afi.ai ou, quand on possède déjà un boîtier, par Synology Active Backup for Microsoft 365. Le périmètre exact de ce que couvrent — et ne couvrent pas — les abonnements est détaillé dans notre guide des licences Windows et Microsoft 365.

Troisième fausse sauvegarde, la plus répandue en TPE : le disque externe branché en permanence. Monté avec une lettre de lecteur, il est vu comme un disque interne, donc chiffré comme les autres — souvent en priorité, les rançongiciels ciblant explicitement les volumes d’archives. La marque n’y change rien : Seagate Expansion, WD Elements, Toshiba Canvio Basics ou SSD Samsung T7 Shield subissent le même sort, car c’est le fait d’être monté qui les condamne, pas leur qualité. Le rayon stockage fournit les supports ; c’est la discipline du débranchement qui en fait des sauvegardes. Quatrième confusion, chez les plus avancés : la réplication temps réel vers un second site n’est pas une sauvegarde non plus. Elle sert le RTORecovery Time Objective (durée maximale d'interruption acceptée)Temps d'arrêt maximal que l'entreprise accepte avant redémarrage. Il détermine l'architecture de restauration : restaurer 2 To depuis un disque USB 3.0 prend 4 à 5 heures, les mêmes 2 To depuis le cloud sur un lien de 100 Mbit/s demandent près de deux jours. et réplique le chiffrement en trente secondes ; il faut en plus des sauvegardes versionnées avec historique.

Sur l’immuabilité, un détail décide de tout et n’apparaît jamais dans les argumentaires : le mode de verrouillage. Le verrouillage objet de type S3 applique un principe WORMWrite Once Read Many (écrit une fois, lu à volonté)Principe d'écriture non réinscriptible : une fois la donnée écrite, elle ne peut plus être modifiée ni effacée avant l'échéance de rétention. C'est le fondement des dépôts immuables et de l'option WORM des cartouches de bande. — écrit une fois, lu à volonté — pendant une durée de rétention. En mode Governance, des comptes privilégiés peuvent lever la protection : cela couvre l’erreur humaine, pas l’attaquant qui a volé les clés d’administration. En mode Compliance, personne ne peut supprimer ni modifier l’objet avant l’échéance, ni le compte racine du client, ni le support du fournisseur. C’est ce mode, et lui seul, qui neutralise le scénario numéro un de 2026. Trente jours de rétention en mode Compliance, c’est un recommandé déjà posté : même l’expéditeur, pièce d’identité en main, ne peut plus le reprendre au guichet. Le verrouillage objet est proposé par AWS S3, Backblaze B2, Wasabi, Azure Blob Storage, OVHcloud Object Storage et Scaleway, et par MinIO pour un dépôt auto-hébergé ; les logiciels de sauvegarde courants — Veeam, Nakivo, Acronis, Duplicati, restic, BorgBackup — savent tous l’exploiter, à condition de le configurer en mode Compliance et non par défaut.

Sur les NASNetwork Attached Storage (serveur de stockage réseau)Boîtier de stockage partagé accessible par le réseau, très utilisé comme destination de sauvegarde. Bien configuré (compte dédié, instantanés immuables), il restaure en minutes ; laissé en partage ouvert avec le mot de passe admin du domaine, il est chiffré en même temps que le reste., les constructeurs proposent des instantanés immuables : des captures verrouillées, non supprimables même par l’administrateur pendant la rétention. Synology l’appelle WriteOnce et l’applique au dossier partagé depuis DSM 7.2 ; QNAP combine instantanés verrouillés et volumes WORM sur QuTS hero ; Asustor et TerraMaster s’appuient sur les captures Btrfs de leurs systèmes maison. C’est la première ligne de défense la plus rentable, parce qu’elle restaure en minutes et non en heures. Deux réserves honnêtes : l’instantané vit sur le même boîtier que les données — il ne protège ni du vol, ni de l’incendie, ni d’une faille du micrologiciel, c’est un étage de la fusée et non la fusée ; et il faut l’activer, la fonction étant présente mais rarement configurée. Les constructeurs recommandent eux-mêmes de compléter par une copie hors site chiffrée en AESAdvanced Encryption StandardAlgorithme de chiffrement symétrique standard, utilisé en 256 bits pour protéger les copies qui sortent des murs. Un disque de sauvegarde chiffré en AES-256 et perdu ou volé reste un objet inerte — à condition de conserver la clé hors du système à restaurer.-256. Rappel utile : les vagues d’attaques visant les NAS exposés sur Internet — Qlocker et DeadBolt sur des NAS QNAP, eCh0raix sur des NAS QNAP et Synology — ont déjà chiffré des milliers de boîtiers présentés comme « de sauvegarde ». Un NAS de sauvegarde mérite d’ailleurs un vrai emplacement plutôt qu’un coin de bureau : notre guide petite salle serveurs détaille l’armoire, la ventilation et le contrôle d’accès qui vont avec.

La bande magnétique, elle, n’est pas morte, au contraire. La génération LTOLinear Tape-Open (bande magnétique standardisée)Format de bande ouvert porté par un consortium de constructeurs, encore très vivant : 176,5 exaoctets livrés dans le monde en 2024. Une cartouche LTO-10 stocke 30 To natifs et, sortie de son lecteur, devient totalement inaccessible à distance — un air gap parfait.-10, livrée depuis juin 2025, atteint 30 To natifs par cartouche (75 To compressés) à 400 Mo/s. Surtout, le format bat des records : 176,5 exaoctets livrés dans le monde en 2024, quatrième année consécutive de croissance, tirée par les géants du cloud précisément pour l’air gap natif de la bande. Un support prétendument archaïque que les hyperscalers achètent par exaoctets ne l’est pas. La LTO-9 (18 To natifs) reste championne du coût, de l’ordre de 5 dollars par téraoctet contre environ 9 pour la LTO-10 encore en tarif de lancement. Côté matériel, les références du marché sont peu nombreuses et bien identifiées : lecteurs autonomes HPE StoreEver LTO-9 Ultrium 45000, IBM TS2290 ou Dell PowerVault LTO-9 ; chargeurs et bibliothèques Quantum SuperLoader 3, Quantum Scalar i3, IBM TS4300 ou Overland-Tandberg NEOs, avec des cartouches HPE, Fujifilm ou Sony au format Ultrium. Le vrai frein n’est pas la cartouche mais le lecteur, qui se compte en milliers de dollars : la bande devient pertinente au-delà de 20 à 30 To d’archives, ou via un prestataire. Une cartouche LTO-10, de la taille d’un paquet de cartes, avale l’équivalent de soixante SSD de 512 Go — et une fois sortie du lecteur, aucun logiciel au monde ne peut la toucher.

Pour la majorité des PME algériennes, l’option la plus efficace reste la plus simple : la rotation de deux ou trois disques externes chiffrés, un seul branché à la fois, un toujours hors des murs. En pratique, on prend trois supports simples et identiques : un disque mécanique comme le Seagate Expansion 2 To, un WD Elements ou un Toshiba Canvio suffit pour des volumes bureautiques ; un SSD externe comme le Hiksemi T300S 2 To, le Samsung T7 Shield ou le SanDisk Extreme Portable divise le temps de copie par trois et supporte bien mieux les allers-retours en voiture. Investissement unique, aucune compétence particulière, air gap parfait pendant que le disque est débranché. Son unique faiblesse est humaine : le disque « temporairement » resté branché trois semaines. La parade est un registre de rotation papier, signé et daté, posé à côté de la baie. Le stockage objet immuable vient ensuite comme troisième étage, avec deux points d’attention locaux : la bande passante disponible pour restaurer, et le paiement en devises d’un abonnement mensuel.

Quatre principes rendent ce plan résistant. Un : le compte de sauvegarde n’est pas le compte admin du domaine — la mesure la plus rentable de toutes. Un attaquant qui obtient l’administrateur doit encore franchir une seconde authentification pour toucher aux sauvegardes, d’où l’obligation d’activer le MFAMulti-Factor Authentication (authentification multifacteur)Second facteur exigé en plus du mot de passe : code temporaire, clé physique ou validation sur téléphone. Activée sur la console de sauvegarde et sur l'interface du NAS, elle oblige un attaquant qui a volé le compte admin à franchir une barrière supplémentaire. sur la console de sauvegarde (Veeam, Nakivo, Acronis) comme sur l’interface DSM ou QTS du NAS. Deux : la console ne s’expose jamais sur Internet, et le NAS de sauvegarde ne rend pas ses partages accessibles en écriture depuis les postes bureautiques — un partage monté en écriture depuis un poste utilisateur est chiffré comme le poste lui-même.

Trois : le chiffrement des copies hors site est obligatoire. Un disque qui sort des murs peut se perdre ou se voler ; chiffré en AESAdvanced Encryption StandardAlgorithme de chiffrement symétrique standard, utilisé en 256 bits pour protéger les copies qui sortent des murs. Un disque de sauvegarde chiffré en AES-256 et perdu ou volé reste un objet inerte — à condition de conserver la clé hors du système à restaurer.-256, il n’est plus qu’un objet inerte. Corollaire souvent oublié : la clé doit exister ailleurs que dans le système à restaurer — enveloppe scellée dans un coffre, deux personnes qui en connaissent l’existence. Perdre la clé produit exactement le même résultat que le rançongiciel. Quatre : les alertes d’échec doivent être lues par un humain. Une tâche qui échoue en silence trois semaines de suite est une sauvegarde qui n’existe plus : on désigne nominativement qui vérifie chaque matin, et un remplaçant pour les congés.

Le test de restauration est le seul chiffre du 3-2-1-1-0 qui ne s’achète pas. Moins d’un tiers des organisations se disent capables de restaurer ne serait-ce qu’un petit groupe de serveurs en une semaine, alors que les cyberattaques sont devenues la première cause d’interruption d’activité. Le rythme réaliste tient en deux lignes : test léger mensuel, test complet trimestriel depuis la copie hors ligne, chronomètre en main, comparé au RTO cible. Trente minutes par trimestre, deux heures par an — à comparer aux 1,7 million de dollars de coût moyen de récupération.

L’exercice annuel transforme enfin le plan en PRAPlan de Reprise d'ActivitéDocument qui décrit qui fait quoi, dans quel ordre et avec quels moyens pour redémarrer après un sinistre ou une cyberattaque. Sans exercice annuel grandeur nature, ce n'est qu'une intention : le jour J, les identifiants manquent et les responsabilités sont floues. réel : on simule le pire — tout le réseau chiffré un jeudi à 16 h, l’administrateur en congé — et l’on vérifie que quelqu’un sait qui appelle qui, dans quel ordre, avec quels identifiants stockés où. C’est aussi le moment de mettre à jour les volumétries : une entreprise qui a doublé son parc en deux ans sauvegarde souvent encore le périmètre de 2024 — la checklist d’équipement d’un parc sert autant à la revue annuelle qu’au premier jour. Deux sources de croissance silencieuse reviennent toujours : les archives papier passées au scanner, dont le volume explose une fois numérisées — sujet de notre guide numérisation et GED — et les enregistrements de vidéosurveillance, qui n’ont rien à faire dans la même sauvegarde que la comptabilité. Un dernier point rarement anticipé : l’électricité. Une baie de sauvegarde survit rarement à un orage sans parafoudre ni prise de terre correcte, et notre guide parafoudre, régulateur et terre explique pourquoi cette protection se place en amont de l’onduleur. Les portables qui ne se sauvegardent qu’au retour au bureau doivent être listés explicitement, et le réseau qui les accueille dimensionné pour absorber ces rafales — un point traité dans notre guide Wi-Fi : générations, portée et déploiement. Tous nos guides conseils suivent la même logique : les chiffres d’abord, la conclusion ensuite.