La règle 3-2-1-1-0 expliquée

Ce que dit réellement la règle 3-2-1-1-0

La règle 3-2-1-1-0 est une formule de protection des données qui précise combien de copies de vos données conserver, sur quels types de supports, et comment prouver qu'elles fonctionnent réellement :

• 3 copies de vos données : la copie de production plus au moins deux sauvegardes.
• 2 supports ou plateformes de stockage différents, afin qu'une défaillance technologique isolée ou une panne chez un fournisseur ne puisse pas détruire toutes les copies à la fois.
• 1 copie stockée hors site, géographiquement séparée du site principal.
• 1 copie supplémentaire immuable ou en air gap, qui ne peut être ni modifiée ni atteinte, même par un attaquant disposant d'identifiants d'administration.
• 0 erreur : chaque sauvegarde vérifiée et les restaurations testées, et non simplement supposées fonctionner.

Les trois premiers chiffres correspondent à la règle 3-2-1 classique. Le second « 1 » et le « 0 » sont venus plus tard. Veeam indique avoir "extended the rule to 3-2-1-1-0" (étendu la règle à 3-2-1-1-0), et donne directement la raison de la copie supplémentaire : "ransomware increasingly targets backups." (les ransomwares ciblent de plus en plus les sauvegardes). Comprendre pourquoi ces deux chiffres ont été ajoutés en dit plus long sur la stratégie de sauvegarde moderne que la checklist elle-même.

D'où vient la règle

La partie « 3-2-1 » du nom est antérieure à l'essor du ransomware en tant que menace courante. Elle est attribuée au photographe Peter Krogh et à son livre The DAM Book: Digital Asset Management for Photographers. Krogh n'a pas inventé l'idée de copies redondantes et hors site ; il lui a donné un nom assez simple pour être retenu.

Un document de 2012 rédigé pour l'US-CERT, Data Backup Options, sert habituellement de référence. Il énonce la règle ainsi : "Keep 3 copies of any important file: 1 primary and 2 backups" (conservez 3 copies de tout fichier important : 1 principale et 2 sauvegardes), "Keep the files on 2 different media types to protect against different types of hazards" (conservez les fichiers sur 2 types de supports différents pour vous protéger contre différents types de risques) et "Store 1 copy offsite" (stockez 1 copie hors site), et cite comme source la deuxième édition du livre de Krogh, parue en 2009.

Les mêmes fondamentaux figurent toujours dans les recommandations actuelles. Le Cybersecurity Framework 2.0 du NIST énumère le résultat "Backups of data are created, protected, maintained, and tested" (les sauvegardes des données sont créées, protégées, maintenues et testées) (PR.DS-11). Le #StopRansomware Guide de la CISA demande aux organisations de "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario." (conserver des sauvegardes hors ligne et chiffrées des données critiques, et tester régulièrement leur disponibilité et leur intégrité dans un scénario de reprise après sinistre).

La règle 3-2-1 d'origine a été conçue pour les menaces de son époque : panne de disque, incendie, inondation, vol et suppression accidentelle. Son hypothèse centrale était qu'aucun événement physique isolé ne pouvait raisonnablement détruire trois copies de données réparties sur deux types de supports et deux emplacements.

Pourquoi 3-2-1 seule a cessé de suffire

L'hypothèse s'est effondrée lorsque les opérateurs de ransomware ont commencé à traiter l'infrastructure de sauvegarde comme une cible prioritaire plutôt que comme un obstacle à contourner. Trois copies sur deux types de supports, dont une hors site, satisfont toujours pleinement la règle 3-2-1, même si les trois sont accessibles avec le même jeu d'identifiants compromis. C'est exactement le scénario que recherchent les groupes de ransomware modernes. Le guide de la CISA le dit clairement : "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid." (la plupart des acteurs du ransomware tentent de trouver puis de supprimer ou de chiffrer les sauvegardes accessibles, afin de rendre toute restauration impossible sans paiement de la rançon).

Les données d'enquête vont dans le même sens. Le 2025 Ransomware Trends report de Veeam, fondé sur une enquête auprès de 1 300 organisations, dont 900 avaient été touchées par un ransomware au cours des 12 mois précédents, a établi que 89 % des organisations attaquées avaient vu leurs référentiels de sauvegarde ciblés par l'acteur malveillant, et qu'en moyenne 34 % de leurs référentiels de sauvegarde avaient été modifiés ou supprimés. Le State of Ransomware 2025 de Sophos, une enquête menée auprès de 3 400 responsables IT et cybersécurité dont l'organisation avait été touchée par un ransomware, a constaté que seules 54 % des organisations dont les données avaient été chiffrées les avaient restaurées à l'aide de sauvegardes, ce que Sophos qualifie de taux le plus bas en six ans. Sur les 151 organisations de cette enquête qui ont payé davantage que la demande initiale de l'attaquant, 38 % ont déclaré que leurs sauvegardes avaient échoué ou présentaient des dysfonctionnements.

Trois copies géographiquement séparées n'arrêtent en rien un attaquant qui dispose déjà des identifiants lui permettant de supprimer les trois. C'est cette lacune que les deux chiffres supplémentaires ont été conçus pour combler.

Le « 1 » supplémentaire : une copie réellement hors d'atteinte des attaquants

Le « 1 » supplémentaire exige au moins une copie immuable ou en air gap. Immuable signifie protégée contre la modification ou la suppression pendant une période de rétention définie, généralement via Object Lock sur un stockage objet cloud, via du matériel WORM (Write Once Read Many) ou via un référentiel renforcé (hardened repository) qui applique la rétention au niveau du stockage. En air gap signifie qu'il n'existe aucun chemin réseau permanent entre la production et la copie.

C'est une exigence plus stricte qu'il n'y paraît. Deux régions cloud d'un même fournisseur, toutes deux accessibles avec le même compte d'administration, ne la satisfont pas : une séparation géographique sans séparation des identifiants ne vous protège pas d'un attaquant qui détient déjà les droits d'administrateur de domaine. La CISA fait une remarque voisine au sujet des sauvegardes dans le cloud, en suggérant une approche multicloud "in case all accounts under the same vendor are impacted." (au cas où tous les comptes chez un même fournisseur seraient touchés). Les mises en œuvre les plus solides combinent souvent un stockage cloud immuable pour une récupération rapide et une copie hors ligne ou en air gap pour le pire des cas, celui où même le plan de gestion du niveau immuable a été compromis.

L'immuabilité comporte ses propres compromis. Le guide de la CISA note que certains fournisseurs cloud proposent un stockage immuable qui protège les données sans environnement distinct, et ajoute un avertissement : "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost." (utilisez le stockage immuable avec prudence, car il ne satisfait pas aux critères de conformité de certaines réglementations et une mauvaise configuration peut entraîner des coûts importants).

Le « 0 » : prouver que la sauvegarde fonctionne réellement

Le « 0 » est la moitié opérationnelle de la règle, et la plus facile à négliger. Il exige zéro sauvegarde non vérifiée : l'intégrité de chaque sauvegarde contrôlée et chaque chemin de restauration testé périodiquement de bout en bout, et pas seulement surveillé à travers une notification verte « tâche réussie ». Veeam décrit ce chiffre comme "zero recovery errors" (zéro erreur de récupération) ; la version de la CISA consiste à "regularly test the availability and integrity of backups." (tester régulièrement la disponibilité et l'intégrité des sauvegardes).

Une tâche de sauvegarde réussie et une restauration saine sont deux choses différentes. Le 2024 Ransomware Trends report de Veeam a constaté que seules 37 % des organisations attaquées interrogées avaient utilisé un bac à sable, quel qu'il soit, pendant la récupération. Sans zone de préparation où les données récupérées sont analysées avant de retourner en production, une restauration peut ramener avec elle le malware de l'attaquant et transformer une récupération en second incident.

Le « 0 » existe parce qu'une sauvegarde qui n'a jamais été restaurée n'est pas un contrôle. C'est une hypothèse. La vérification, menée selon un calendrier et mesurée au regard d'objectifs de temps de récupération réalistes, est ce qui transforme cette hypothèse en un fait sur lequel vous pouvez compter lors d'un véritable incident.

Les erreurs courantes dans la mise en œuvre de 3-2-1-1-0

• Compter deux régions cloud comme « deux supports ». La diversité des supports implique des technologies ou plateformes de stockage réellement différentes, et non deux instances du même stockage objet.
• Considérer que n'importe quelle copie hors site satisfait le « 1 » supplémentaire. Le hors site répond à la question géographique ; l'immuabilité ou l'air gap répond à la compromission des identifiants. Une copie hors site conforme à la règle mais qui partage un plan d'identité avec la production ne comble pas la lacune qui a motivé l'ajout de ce chiffre.
• Faire l'impasse sur le « 0 » parce que les tâches de sauvegarde sont au vert. Une tâche de sauvegarde réussie confirme que des données ont été écrites. Elle ne confirme pas que ces données sont restaurables, cohérentes au niveau applicatif ou exemptes du malware qui rendra la restauration nécessaire.
• Appliquer la règle uniformément, quelle que soit la criticité des données. Les systèmes de premier niveau justifient généralement une vérification plus fréquente et des RTO plus courts que les données d'archive ; une politique unique de rétention et de test pour l'ensemble du parc sous-protège généralement les systèmes les plus importants et surinvestit dans ceux qui le sont moins.

La règle 3-2-1-1-0 suffit-elle encore en 2026 ?

Pour la plupart des organisations, une mise en œuvre correcte de 3-2-1-1-0 comble une part importante de la lacune qui permet aux ransomwares de faire de l'infrastructure de sauvegarde une cible. Correcte signifie que la copie immuable ou isolée et la vérification de la récupération sont réellement appliquées, et pas seulement cochées.

Elle reste une base opérationnelle solide. Veeam promeut explicitement le modèle 3-2-1-1-0. Le NIST et la CISA confortent les contrôles sous-jacents : sauvegardes protégées, copies hors ligne et tests réguliers. La CISA mentionne aussi le stockage immuable comme une option, avec les réserves citées plus haut.

Là où la règle est insuffisante, ce n'est pas sur la redondance, mais sur l'architecture de sécurité qui l'entoure. Elle nous dit combien de copies conserver, où elles doivent se trouver et dans quel état. Elle ne définit pas entièrement la gouvernance des accès, les périmètres de confiance administratifs, la segmentation réseau, la surveillance et l'architecture de récupération nécessaires pour protéger ces copies pendant une compromission active.

C'est la lacune que la règle de Fibonacci de la sécurité des sauvegardes (5-3-2-1-1-0) de BackupSec vise à combler. Elle ne remplace pas 3-2-1-1-0 ; elle l'étend avec cinq principes de sécurité fondamentaux.

Pour les organisations qui travaillent encore à une stratégie 3-2-1-1-0 entièrement mise en œuvre et régulièrement vérifiée, cette fondation passe en premier. La règle de Fibonacci est la couche d'architecture qui vient s'y ajouter.

Où intervient BackupSec

BackupSec travaille sur le versant Veeam de ce problème. Quatre de nos services correspondent à la règle :

• ZeroMON surveille Veeam Backup & Replication. Il fonctionne sur site sous forme d'OVA, se connecte avec un compte en lecture seule et n'envoie rien à BackupSec ni à aucun tiers. Il suit l'état des tâches, enregistre les modifications de configuration (qui a changé quoi, et quand), exécute une checklist de sécurité et affiche l'état d'immuabilité que Veeam rapporte à partir des paramètres de ses propres référentiels. Les alertes arrivent par e-mail et par notification dans l'application. ZeroMON lit la configuration de Veeam ; il ne vérifie pas les verrous sur le stockage lui-même et n'exécute pas de tests de restauration. Il vous signale quand les conditions qui sous-tendent votre « 1 » et votre « 0 » changent ; les tests de restauration sont une tâche distincte.
• ZeroVault est un stockage objet cloud compatible S3 avec Object Lock, utilisé comme cible immuable hors site pour les sauvegardes Veeam. Contrairement à ZeroMON, il conserve par conception des données de sauvegarde en dehors de votre environnement, puisque c'est précisément le rôle d'une copie hors site.
• ZeroTAM vous donne accès à un conseiller dédié à la sécurité des sauvegardes pour l'architecture, la capacité, la planification de la récupération après ransomware et un support prioritaire en cas de crise. C'est une mission de conseil, et non un logiciel : la personne à qui demander si votre « 1 » supplémentaire est réellement isolé ou simplement éloigné.
• ZeroPEN est un test d'intrusion guidé par la menace, portant sur Veeam Backup & Replication, Veeam ONE et Enterprise Manager. Il simule une kill chain de ransomware en huit étapes alignées sur MITRE ATT&CK, de l'accès initial jusqu'à l'accès aux référentiels et à la neutralisation des sauvegardes, puis à la preuve de capacité de chiffrement. Il est non destructif : ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services." (ne supprime jamais de vraies sauvegardes, n'effectue aucun chiffrement réel et n'arrête ni les services de production ni les services de sauvegarde). La mission inclut également une vérification de l'intégrité des restaurations et de l'immuabilité, se conclut par un dossier de rapport prêt pour l'audit et comprend un nouveau test des constats critiques.

Parlez à BackupSec de votre posture de sécurité des sauvegardes →

Vous préférez commencer par un rapide autodiagnostic ? Le Backup Security Assessment gratuit pose 28 questions réparties sur sept domaines, de la stratégie de sauvegarde et du contrôle d'accès jusqu'aux tests de récupération.