La règle de Fibonacci de la sécurité des sauvegardes : étendre 3-2-1-1-0 pour la sécurité moderne des sauvegardes

Pourquoi des stratégies de sauvegarde matures échouent en 2026

Pendant des années, la règle de sauvegarde 3-2-1 a été le socle de la protection des données. Le photographe Peter Krogh dit avoir inventé le terme en rédigeant la première édition de The DAM Book, et son guide de sauvegarde pour le projet dpBestflow de l'ASMP la formule ainsi : trois copies de tout fichier important, sur deux types de supports différents, dont une copie hors site. La formule a largement dépassé le monde de la photographie. Le document de la CISA sur les options de sauvegarde des données la reprend pour les données personnelles et professionnelles.

Elle a fonctionné. Jusqu'au jour où elle n'a plus suffi.

Le 2025 Data Breach Investigations Report de Verizon a relevé la présence d'un ransomware dans 44 % des violations de données analysées, contre 32 % dans l'édition précédente. Cette édition couvre les incidents de novembre 2023 à octobre 2024 ; l'édition 2026, qui couvre novembre 2024 à octobre 2025, situe cette part à 48 %. L'équipe de recherche de GuidePoint Security, qui recense les victimes publiées par les groupes de ransomware, a enregistré une hausse de 58 % sur un an du nombre de victimes de ransomware en 2025, l'année la plus active qu'elle ait suivie. Plus lourd de conséquences pour les responsables des risques en entreprise : dans l'ensemble des missions de réponse aux incidents menées par Mandiant en 2025, le Google Threat Intelligence Group a observé un vol de données avéré ou suspecté dans environ 77 % des intrusions par ransomware, contre environ 57 % en 2024. Lorsque les données ont déjà été volées, une restauration parfaite remet les systèmes en marche mais ne règle pas la violation.

La règle 3-2-1 a été conçue pour les pannes matérielles, les incidents régionaux et les suppressions accidentelles. Elle n'a pas été conçue pour des acteurs malveillants qui ciblent spécifiquement les référentiels de sauvegarde, ni pour des initiés disposant d'identifiants d'administration valides. Les attaquants savent que détruire les sauvegardes prive la victime de toute alternative au paiement. Le même rapport de Google note que les acteurs du ransomware "often disabled or deleted backups to inhibit and/or limit recovery options." (ont souvent désactivé ou supprimé les sauvegardes pour empêcher ou limiter les options de récupération).

C'est pourquoi la règle a été étendue. Veeam décrit sa propre extension, 3-2-1-1-0, comme l'ajout d'une copie immuable et de zéro erreur de récupération. Chez BackupSec, nous proposons une étape supplémentaire, que nous appelons la règle de Fibonacci de la sécurité des sauvegardes et que nous écrivons 5-3-2-1-1-0. C'est notre propre cadre, pas une norme du secteur. Elle se lit comme la suite de Fibonacci à l'envers et ajoute un sixième élément : cinq principes de sécurité fondamentaux sur lesquels doit reposer chacune des couches inférieures.

Pour les organisations qui exploitent des environnements de sauvegarde matures, cet article redéfinit ce que « protection complète des données » devrait signifier en 2026.

De 3-2-1 à 3-2-1-1-0 : un bref rappel

Avant de présenter la règle de Fibonacci, il est utile de rappeler comment nous en sommes arrivés là.

La règle 3-2-1 d'origine exigeait trois copies des données sur deux types de supports différents, dont une stockée hors site. Elle portait sur la redondance, en partant du principe qu'aucun événement physique isolé ne pouvait détruire les trois copies à la fois.

La règle 3-2-1-1-0, extension de la règle d'origine par Veeam et désormais largement utilisée, a ajouté deux améliorations :

• Une copie immuable ou en air gap qui ne peut être ni modifiée ni supprimée, même par un attaquant disposant d'identifiants d'administration.
• Zéro erreur dans la vérification des sauvegardes, afin que chaque sauvegarde soit reconnue comme restaurable, et pas simplement présente.

Cette évolution a comblé deux lacunes importantes : les ransomwares qui ciblent les sauvegardes, et la défaillance silencieuse de sauvegardes jamais testées avant le sinistre. Mais la règle ne cherche pas à définir l'architecture de sécurité complète qui entoure ces copies : séparation des identités, accès à privilèges, segmentation, surveillance continue et confinement du rayon d'impact.

C'est cette lacune que la règle de Fibonacci de la sécurité des sauvegardes vise à combler.

Pourquoi Fibonacci ? La logique derrière les chiffres

La suite de Fibonacci (0, 1, 1, 2, 3, 5, 8, 13...) est l'une des structures les plus élégantes des mathématiques : chaque nombre est la somme des deux précédents. En lisant notre cadre à l'envers (5, 3, 2, 1, 1, 0), la même logique cumulative s'applique : chaque couche de protection s'appuie sur les fondations situées en dessous.

• 5 principes de sécurité fondamentaux. Cinq principes qui régissent la manière dont la sauvegarde est architecturée.
• 3 copies des données. Au moins trois copies de chaque jeu de données critique.
• 2 types de supports ou de stockage/plateformes différents. Stockées sur deux supports, plateformes de stockage ou piles technologiques différents.
• 1 copie hors site. Une copie dans un lieu géographiquement distinct.
• 1 copie supplémentaire immuable, isolée ou protégée d'une autre manière. Une copie de plus, protégée contre la modification ou la destruction.
• 0 sauvegarde non vérifiée ni erreur de récupération non résolue. Aucune sauvegarde laissée sans vérification, aucune erreur de récupération laissée ouverte.

La règle 3-2-1-1-0 d'origine répondait à la question opérationnelle « Combien de copies, où, et dans quel état ? » Le « 5 » que nous avons ajouté répond à une question d'architecture plus fondamentale : « Que signifie réellement, pour une sauvegarde, être sécurisée ? »

Sans ces cinq principes, le reste de la chaîne est creux. Une sauvegarde qui existe en trois copies, sur deux supports, dans un état immuable, mais qui est régie par des contrôles d'accès insuffisants ou accessible depuis un poste d'administration compromis, n'est pas protégée. C'est la documentation d'une exposition.

Le « 5 » : cinq principes fondamentaux de la sécurité des sauvegardes

Ces cinq principes devraient guider chaque décision d'architecture de votre environnement de sauvegarde, du choix de la plateforme à la politique de rétention en passant par la gouvernance des accès.

1. Une architecture cyber-résiliente dès la conception

La sécurité des sauvegardes ne s'ajoute pas après coup. Elle doit être une contrainte de conception dès le premier jour.

Une architecture de sauvegarde cyber-résiliente traite chaque composant (le catalogue, le niveau de stockage, le plan de gestion, l'environnement de récupération) comme une cible potentielle. Elle part du principe que la compromission aura lieu, la planifie, et garantit qu'aucune défaillance isolée, qu'elle soit technique, humaine ou malveillante, ne puisse entraîner en cascade la perte totale de la capacité de récupération.

En pratique, cela signifie :

• Défense en profondeur : plusieurs contrôles indépendants protègent chaque couche, de sorte que la défaillance de l'un n'expose pas le système.
• Confinement du rayon d'impact : la compromission de l'environnement de production ne peut pas se propager à l'infrastructure de sauvegarde, et la compromission d'un niveau de sauvegarde ne peut pas se propager aux autres.
• Conception orientée récupération : les architectures sont évaluées non seulement sur la qualité de leurs sauvegardes, mais aussi sur la fiabilité avec laquelle elles peuvent restaurer les données dans des conditions hostiles : quand le DNS est hors service, que les fournisseurs d'identité sont compromis ou que le site principal est injoignable.
• Le chiffrement comme primitive d'architecture, et non comme fonctionnalité : chaque sauvegarde, dans chaque état, doit être protégée par un chiffrement robuste et conforme aux standards du secteur, au repos comme en transit, avec des clés de chiffrement gérées indépendamment de l'infrastructure de sauvegarde partout où c'est possible, idéalement dans un HSM dédié ou un service de gestion de clés dont l'administration relève d'un propriétaire distinct. Si vos clés se trouvent à côté de vos données, vous n'avez pas du chiffrement ; vous avez de l'obfuscation. Pour les entreprises dont les flux de données franchissent des frontières, la souveraineté des clés (qui peut en exiger la divulgation, sous quelle juridiction, dans quel délai) devient une décision de conception, et non un problème de réponse aux incidents.

Une sécurité greffée sur un système de sauvegarde conçu pour un paysage de menaces plus ancien a tendance à révéler ses failles en plein incident, lorsque l'architecture elle-même s'avère être le point faible. La résilience doit être intégrée dès la conception.

2. Accès Zero Trust et authentification forte

Le principe est simple : ne jamais faire confiance, toujours vérifier. Chaque demande de lecture, d'écriture ou de modification d'une sauvegarde doit être authentifiée et autorisée au moment de la demande, quelle que soit son origine réseau.

Concrètement, cela exige :

• L'authentification multifacteur (MFA) pour chaque identité d'administration qui touche à l'infrastructure de sauvegarde, idéalement avec des méthodes résistantes au phishing comme les jetons matériels.
• Un contrôle d'accès basé sur les rôles (RBAC) qui applique le principe du moindre privilège avec une granularité fine.
• Des identités d'administration distinctes pour les systèmes de production et de sauvegarde. Un administrateur de domaine compromis ne devrait pas avoir accès à votre dernière ligne de défense.
• Une gestion des accès à privilèges (PAM) avec élévation juste-à-temps, enregistrement des sessions et circuits d'approbation pour les opérations sensibles comme les modifications de politique de rétention.

Dans l'enquête State of Ransomware 2025 de Sophos, menée auprès de 3 400 organisations touchées par un ransomware, les victimes ont désigné les identifiants compromis comme cause première de 23 % des attaques, la deuxième cause technique la plus fréquente après les vulnérabilités exploitées (32 %). Si votre environnement de sauvegarde fait confiance à la même infrastructure d'identité que celle qui protège la production, vous avez un point de défaillance unique déguisé en défense multicouche.

3. Immuabilité et stockage WORM

L'immuabilité, c'est-à-dire la propriété selon laquelle des données ne peuvent être ni modifiées ni supprimées pendant une période de rétention définie une fois écrites, est passée du statut de « bonne pratique » à celui d'« exigence non négociable ». Qu'elle soit mise en œuvre via Object Lock sur un stockage cloud, via des supports WORM (Write Once Read Many) ou via des verrous de rétention appliqués par le matériel, l'immuabilité est l'une des défenses d'architecture les plus efficaces contre les acteurs malveillants qui traquent spécifiquement les référentiels de sauvegarde.

Pour les entreprises soumises à des règles de conservation des enregistrements, l'immuabilité peut aussi contribuer à la conformité. La SEC Rule 17a-4 permet aux broker-dealers de conserver leurs enregistrements électroniques soit avec une piste d'audit complète et horodatée, soit "in a non-rewriteable, non-erasable format." (dans un format non réinscriptible et non effaçable). La HIPAA Security Rule exige un plan de sauvegarde des données qui crée et conserve des "retrievable exact copies" (copies exactes récupérables) des informations de santé protégées au format électronique. La surface de contrôle qui vous protège des ransomwares est souvent celle-là même sur laquelle votre auditeur vous interroge.

La CISA est plus prudente que la plupart des éditeurs. Son #StopRansomware Guide demande aux organisations de "maintain offline, encrypted backups of critical data" (conserver des sauvegardes hors ligne et chiffrées des données critiques) et d'en tester régulièrement la disponibilité et l'intégrité. Il ne mentionne le stockage immuable proposé par les fournisseurs cloud qu'assorti d'un avertissement : celui-ci "does not meet compliance criteria for certain regulations," (ne satisfait pas aux critères de conformité de certaines réglementations), et une mauvaise configuration peut entraîner des coûts importants. L'immuabilité préserve l'intégrité des sauvegardes face à un attaquant qui détient déjà des identifiants d'administration. Elle ne remplace ni une copie hors ligne, ni une restauration testée.

4. Vérification continue et tests de récupération

Une sauvegarde que vous n'avez pas testée n'est pas une sauvegarde. C'est une hypothèse.

Le « 0 » de 3-2-1-1-0 exige zéro erreur, mais la seule façon d'étayer cette affirmation est de tester en continu. Les programmes matures mettent en place des contrôles d'intégrité automatisés, des exercices périodiques de restauration complète, des environnements de récupération isolés pour la validation, et des exercices sur table structurés qui éprouvent les couches humaines et organisationnelles avec autant de rigueur que les couches techniques.

La récupération devient plus rapide. Dans la même enquête de Sophos, 53 % des victimes de ransomware se sont entièrement rétablies en moins d'une semaine, contre 35 % en 2024, et 97 % s'étaient entièrement rétablies en trois mois. Sophos suggère que cette amélioration pourrait refléter des investissements dans la préparation aux incidents et la capacité de récupération. L'enquête n'isole pas l'effet des plans testés, mais le conseil de Sophos lui-même est de réaliser des sauvegardes de qualité et de s'exercer régulièrement à les restaurer.

La leçon pour les responsables des risques : c'est le test qui distingue les organisations qui ont des sauvegardes de celles qui peuvent se rétablir.

5. Isolation et segmentation réseau

L'infrastructure de sauvegarde doit être fortement segmentée par rapport à la production et, partout où c'est possible, ne pas dépendre des mêmes périmètres de confiance administratifs que ceux qui protègent les systèmes de production.

Les bonnes pratiques modernes combinent une segmentation logique (VLAN distincts, sous-réseaux dédiés, règles de pare-feu strictes, microsegmentation) avec des architectures en air gap ou quasi air gap pour au moins une copie de chaque sauvegarde. L'immuabilité dans le cloud avec des fournisseurs d'identité distincts, la rotation de bandes hors ligne, les environnements de récupération dédiés et l'isolation des tenants dans les infrastructures partagées servent tous le même objectif d'architecture : garantir que le rayon d'impact d'une compromission isolée ne puisse pas s'étendre à la couche de récupération.

Si un acteur malveillant présent sur votre contrôleur de domaine peut atteindre votre référentiel de sauvegarde avec les mêmes identifiants, votre sauvegarde fait partie de la surface d'attaque, elle n'en est pas séparée.

Le « 3-2-1 » : une redondance qui compte toujours

Avec les cinq principes comme fondation, la couche 3-2-1 classique reste essentielle.

• 3 copies de chaque jeu de données critique : vos données de production plus au moins deux sauvegardes.
• 2 supports ou plateformes de stockage différents : disque local et cloud, ou stockage objet sur site et un fournisseur cloud distinct. L'objectif est de garantir qu'une défaillance technologique isolée, une panne chez un fournisseur ou une catégorie d'attaque ne puisse pas détruire toutes les copies simultanément.
• 1 copie hors site : géographiquement séparée de votre site principal, idéalement dans un autre domaine de menace et, le cas échéant, sous une autre juridiction réglementaire.

Ce qui a changé depuis la première formulation de la règle, c'est l'interprétation. Deux régions cloud d'un même fournisseur ne constituent pas « deux supports différents ». Un volume de sauvegarde sur un SAN placé à côté de votre baie de production n'est pas réellement « hors site ». La modélisation des menaces en entreprise exige aujourd'hui une lecture plus stricte de chaque exigence.

Le « 1-1 » : hors site, et immuable ou en air gap

Les deux « 1 » répondent à des domaines de défaillance différents.

Le premier exige qu'une copie soit stockée hors site, géographiquement séparée de l'environnement principal, afin qu'un incident à l'échelle d'un site, une défaillance d'infrastructure ou une catastrophe physique ne puisse pas éliminer toutes les options de récupération à la fois.

Le second exige qu'au moins une copie supplémentaire soit protégée contre la modification ou la destruction par l'immuabilité, l'air gap ou un mécanisme d'isolation équivalent. Son objectif est différent : la séparation hors site protège contre la défaillance d'un lieu, tandis que l'immuabilité ou l'isolation protège contre un attaquant qui a obtenu un accès administrateur.

Ces exigences peuvent se recouper dans leur mise en œuvre. Une copie hors site peut aussi être immuable, et les environnements matures peuvent maintenir à la fois un niveau de récupération immuable et une copie plus profonde, hors ligne ou en air gap. L'essentiel est de ne pas considérer la seule distance géographique comme une isolation de sécurité.

Cette distinction explique aussi pourquoi l'immuabilité figure parmi les cinq principes de sécurité de la règle de Fibonacci. Le « 1 » numérique définit une exigence de protection minimale pour une copie de sauvegarde ; le principe de sécurité exige que l'immuabilité soit prise en compte dans toute l'architecture, y compris les contrôles de rétention, les accès administratifs, la séparation des identités et le plan de gestion.

Le « 0 » : tolérance zéro pour les sauvegardes non vérifiées

Chaque sauvegarde vérifiée. Chaque restauration testée. Chaque lacune documentée et comblée.

Le « 0 » est la couche de discipline opérationnelle du cadre. Il exige de la rigueur : sommes de contrôle automatisées, validation planifiée des restaurations, détection d'anomalies sur les métadonnées des tâches de sauvegarde (une hausse soudaine de la taille d'une tâche peut signaler une préparation au chiffrement par un acteur malveillant), surveillance comportementale de l'activité d'administration des sauvegardes, et circuits d'escalade clairs lorsque la vérification échoue.

Le raisonnement est simple. Un attaquant qui se prépare à détruire les sauvegardes doit d'abord toucher au système de sauvegarde, et ces modifications apparaissent dans les paramètres des tâches, les valeurs de rétention et les journaux d'audit bien avant qu'une restauration n'échoue. Zéro erreur n'est pas un indicateur de façade. C'est la différence entre la confiance et la fausse confiance au moment précis où cette distinction compte le plus.

Ce que cela signifie pour les responsables des risques en entreprise

Si votre organisation s'appuie sur une stratégie de sauvegarde conçue pour un autre paysage de menaces, l'écart entre ce dont vous disposez et ce dont vous avez besoin n'a plus rien de théorique. Considérez la réalité financière :

• L'enquête 2025 de Sophos situe le paiement de rançon médian à 1 million de dollars et le coût moyen de récupération, hors rançon, à 1,53 million de dollars.
• Le DBIR 2025 de Verizon indique que 64 % des organisations victimes de ransomware n'ont pas payé, contre 50 % deux ans plus tôt. Sophos, sur un échantillon différent, a constaté que 49 % des victimes avaient payé la rançon pour récupérer leurs données. Dans les deux cas, payer n'est plus la norme, et une organisation qui refuse de payer a besoin d'un chemin de restauration qui fonctionne.

Pour les entreprises des secteurs réglementés ou qui gèrent des parcs hybrides complexes, le calcul est encore plus tranché. Les sociétés cotées aux États-Unis doivent déclarer un incident de cybersécurité significatif sur le formulaire 8-K, en général dans les quatre jours ouvrés suivant la détermination de son caractère significatif, et de nombreuses autres juridictions et secteurs imposent leurs propres obligations de déclaration. Le coût d'un incident irrécupérable n'est plus seulement opérationnel. Il est aussi réputationnel et réglementaire.

Mettre en œuvre la règle de Fibonacci n'exige pas de reconstruire votre infrastructure de zéro. Cela exige une évaluation honnête de l'architecture, une remédiation hiérarchisée selon un ensemble de principes clairs, et un engagement de gouvernance à traiter la sécurité des sauvegardes comme une discipline intégrée, et non comme une ligne budgétaire d'achat.

Où intervient BackupSec

Chez BackupSec, nous aidons les équipes à exploiter leurs environnements de sauvegarde Veeam selon les principes ci-dessus. Nous ne remplaçons pas la plateforme de sauvegarde ; nous rendons sa sécurité observable, conseillée et testée.

• ZeroMON surveille Veeam Backup & Replication : état des tâches, modifications de configuration avec une traçabilité qui/quoi/quand, checklist du Security Analyzer, rapports et honeypot. Il affiche l'état d'immuabilité tel que le rapportent les paramètres des référentiels de Veeam ; il ne vérifie pas les verrous au niveau des objets sur le stockage. Les alertes sont envoyées par e-mail et par notification dans l'application. Il se déploie sur site sous forme d'OVA, se connecte avec un compte en lecture seule et n'envoie rien à BackupSec ni à aucun tiers.
• ZeroTAM vous donne accès à un conseiller dédié à la sécurité des sauvegardes pour l'architecture, la capacité, la planification de la récupération après ransomware et un support prioritaire en cas de crise.
• ZeroPEN est un test d'intrusion guidé par la menace, portant sur Veeam Backup & Replication, Veeam ONE et Enterprise Manager : huit étapes de kill chain alignées sur MITRE ATT&CK. La mission inclut aussi une vérification de l'intégrité des restaurations et de l'immuabilité. Elle ne supprime jamais de vraies sauvegardes, n'effectue aucun chiffrement réel et n'arrête ni les services de production ni les services de sauvegarde. Vous obtenez des preuves prêtes pour l'audit et un nouveau test pour les constats critiques.
• ZeroVault est un stockage objet cloud immuable compatible S3, avec Object Lock, pour la copie immuable hors site.

Parlez à BackupSec de votre posture de sécurité des sauvegardes →