La règle 3-2-1-1-0 expliquée

Ce que dit vraiment la règle 3-2-1-1-0

La règle 3-2-1-1-0 est une formule de protection des données qui définit combien de copies conserver, sur quels types de supports, et comment prouver qu'elles fonctionnent réellement :

• 3 copies de vos données — la copie de production plus au moins deux sauvegardes.
• 2 supports ou plateformes de stockage différents, afin qu'une seule défaillance technologique ou une panne chez un fournisseur ne puisse détruire toutes les copies à la fois.
• 1 copie stockée hors site, géographiquement séparée du site principal.
• 1 copie supplémentaire immuable ou en air gap — inaccessible ou immodifiable, même par un attaquant disposant d'identifiants administrateur.
• 0 erreur : chaque sauvegarde vérifiée et chaque restauration testée, et non simplement présumée fonctionnelle.

Elle se lit comme une progression naturelle, mais les deux chiffres supplémentaires — le second « 1 » et le « 0 » — ne faisaient pas partie de la formule d'origine. Ils ont été ajoutés des années plus tard, en réponse directe au fait que le ransomware a appris à cibler spécifiquement les sauvegardes. Comprendre pourquoi ils ont été ajoutés en dit plus long sur la stratégie de sauvegarde moderne que la simple checklist.

D'où vient cette règle

La partie « 3-2-1 » du nom est entièrement antérieure au ransomware. Le photographe Peter Krogh a formulé cette expression dans son livre de 2006, The DAM Book: Digital Asset Management for Photographers, en condensant un ensemble de pratiques qu'il avait observées chez des professionnels de l'informatique en une formule assez simple pour que des photographes en activité — soudainement responsables d'archives numériques irremplaçables, mais qui n'étaient pas administrateurs systèmes — puissent réellement l'appliquer. Krogh n'a pas inventé le principe sous-jacent des copies redondantes et hors site ; il lui a donné un nom facile à retenir. La règle lui a été formellement attribuée plus tard, dans une publication US-CERT de 2012 consacrée aux options de sauvegarde des données — époque à laquelle elle était déjà devenue la recommandation par défaut dans l'informatique d'entreprise — et elle demeure aujourd'hui une référence de base approuvée à la fois par la CISA et le NIST.

La règle 3-2-1 d'origine avait été conçue pour les menaces de son époque : panne de disque, incendie, inondation, vol et suppression accidentelle. Son postulat de base était qu'aucun événement physique isolé ne pouvait raisonnablement détruire trois copies de données réparties sur deux types de supports et deux emplacements. Pendant environ une décennie, ce postulat a tenu.

Pourquoi le 3-2-1 seul a cessé de suffire

Ce postulat s'est effondré lorsque les opérateurs de ransomware ont commencé à traiter l'infrastructure de sauvegarde comme une cible primaire plutôt que comme un obstacle à contourner. Trois copies sur deux types de supports avec une copie hors site satisfont toujours pleinement la règle 3-2-1, même si les trois copies restent accessibles avec le même jeu d'identifiants de production compromis — exactement le scénario que recherchent les groupes de ransomware modernes.

L'ampleur de ce basculement est frappante. Le rapport Ransomware Trends 2025 de Veeam montre que 89 % des victimes de ransomware ont vu leurs référentiels de sauvegarde directement ciblés pendant l'attaque, sur 1 300 organisations interrogées. Le rapport Sophos State of Ransomware 2025 a enregistré le taux de reprise par sauvegarde le plus bas des six années d'existence de l'étude : seules 54 % des organisations ont pu utiliser leurs sauvegardes pour restaurer leurs données, et parmi celles ayant fini par payer plus que la demande de rançon initiale de l'attaquant, 38 % ont cité des sauvegardes défaillantes ou inutilisables comme cause directe.

Trois copies géographiquement séparées n'arrêtent en rien un attaquant qui dispose déjà des identifiants nécessaires pour les supprimer toutes les trois. C'est précisément cet écart que les deux chiffres supplémentaires ont été conçus pour combler.

Le « 1 » supplémentaire : une copie réellement hors de portée des attaquants

Le « 1 » supplémentaire exige au moins une copie immuable — protégée contre toute modification ou suppression pendant une période de rétention définie, généralement grâce à l'Object Lock sur du stockage cloud, à du matériel WORM (Write Once Read Many), ou à un référentiel durci dont la rétention est appliquée au niveau de la couche de stockage — ou en air gap, c'est-à-dire sans aucun chemin réseau permanent depuis la production.

Cette exigence est plus stricte qu'il n'y paraît. Deux régions cloud d'un même fournisseur, toutes deux accessibles avec le même compte administrateur, ne la satisfont pas — une séparation géographique sans séparation des identifiants n'offre pas de protection réelle contre un attaquant qui dispose déjà de droits d'administrateur de domaine. Les mises en œuvre sérieuses combinent généralement un stockage immuable basé sur le cloud, pour une reprise rapide, avec une copie hors ligne ou en air gap plus profonde pour le pire scénario, celui où même le plan de gestion du niveau immuable aurait été compromis.

Les recommandations de la CISA sur le ransomware précisent explicitement que les sauvegardes hors ligne et chiffrées doivent être considérées comme la dernière ligne de défense, précisément parce qu'elles se situent en dehors du rayon d'action qu'une identité compromise peut atteindre.

Le « 0 » : prouver que la sauvegarde fonctionne réellement

Le « 0 » constitue le volet opérationnel de la règle, et celui que les organisations négligent le plus souvent. Il exige zéro sauvegarde non vérifiée : chaque sauvegarde contrôlée en intégrité, chaque chemin de restauration testé périodiquement de bout en bout — et pas seulement surveillé via une notification verte « job réussi ».

L'écart entre des jobs de sauvegarde qui se déclarent réussis et des restaurations qui fonctionnent réellement est important et bien documenté. Une enquête sectorielle de 2025 a révélé que 62 % des organisations ne réalisent pas régulièrement d'exercices de test de sauvegarde et de restauration, et que 37 % n'ont pas pu se rétablir dans leur objectif de temps de reprise requis, précisément parce que les sauvegardes étaient manquantes ou n'avaient jamais été validées. Lorsque des restaurations sont tentées sans analyse d'intégrité et antimalware appropriée, on estime que 63 % des organisations risquent de réintroduire l'infection même qui avait causé l'incident initial — transformant une tentative de reprise en un second incident.

Le « 0 » existe parce qu'une sauvegarde qui n'a jamais été restaurée n'est pas un contrôle — c'est une hypothèse. C'est la vérification, effectuée selon un calendrier et mesurée par rapport à des objectifs de temps de reprise réalistes, qui transforme cette hypothèse en un fait sur lequel on peut s'appuyer lors d'un incident réel.

Les erreurs courantes dans la mise en œuvre du 3-2-1-1-0

• Compter deux régions cloud comme « deux supports ». La diversité des types de supports suppose des technologies ou plateformes de stockage réellement différentes, et non deux instances d'un même stockage objet.
• Considérer le « 1 » supplémentaire comme satisfait par n'importe quelle copie hors site. Le hors site répond à un enjeu géographique ; l'immuabilité ou l'air gap répond à un enjeu de compromission des identifiants. Une copie hors site conforme à la règle mais qui partage un plan d'identité avec la production ne comble pas l'écart qui a motivé l'ajout de ce chiffre.
• Négliger le « 0 » parce que les jobs de sauvegarde s'affichent en vert. Un job de sauvegarde réussi confirme que des données ont été écrites. Il ne confirme ni qu'elles sont restaurables, ni qu'elles sont cohérentes du point de vue applicatif, ni qu'elles sont exemptes du malware qui rendra la restauration nécessaire.
• Appliquer la règle de manière uniforme, sans tenir compte de la criticité des données. Les systèmes de niveau 1 justifient généralement une vérification plus fréquente et des RTO plus courts que les données d'archives ; une politique unique de rétention et de test appliquée à l'ensemble du parc sous-protège en général les systèmes les plus critiques, tout en surinvestissant sur ceux qui le sont moins.

Le 3-2-1-1-0 suffit-il encore en 2026 ?

Pour la plupart des organisations, une mise en œuvre correcte du 3-2-1-1-0 — avec le « 1 » et le « 0 » supplémentaires réellement appliqués, et non simplement cochés — comble l'essentiel de l'écart qui avait initialement permis au ransomware de cibler les sauvegardes. Cela reste une base opérationnelle solide, que la CISA et le NIST continuent tous deux d'approuver comme telle.

Là où elle montre ses limites, c'est sur le plan architectural : le 3-2-1-1-0 répond à la question « combien de copies, où, et dans quel état », mais ne dit rien de la gouvernance des accès, de la segmentation réseau et de la surveillance continue qui déterminent si ces copies le restent réellement sous une attaque. C'est précisément l'écart que la Fibonacci Rule of Backup Security de BackupSec (5-3-2-1-1-0) est conçue pour combler, en ajoutant cinq principes de sécurité fondamentaux sous cette même formule de comptage des copies. Pour une organisation qui vient tout juste de mettre en place le 3-2-1-1-0 de manière complète et vérifiable, il s'agit toutefois d'une étape suivante — pas d'un prérequis.

Où intervient BackupSec

Chez BackupSec, nous aidons les équipes des grandes entreprises à vérifier que leur mise en œuvre du 3-2-1-1-0 est réelle — et pas seulement documentée — en rendant la sécurité des sauvegardes observable, pilotable et démontrable.

Notre approche combine trois couches :

• ZeroMON offre une observabilité continue sur l'ensemble du parc de sauvegarde — un monitoring compatible Veeam avec suivi des jobs en temps réel, des contrôles de sécurité automatisés, des pistes d'audit forensiques pour détecter la dérive de configuration, et des rapports de conformité en un clic. C'est cette couche qui transforme l'exigence « 0 erreur » de la règle, d'un espoir en une preuve.
• ZeroTAM apporte un conseil d'expert dédié sur l'architecture de sauvegarde, la configuration de l'immuabilité et la planification de la reprise après ransomware — la couche humaine dont la plupart des entreprises ont besoin pour confirmer que leur « 1 » supplémentaire est réellement isolé, et pas simplement géographiquement distant.
• ZeroPEN teste votre infrastructure de sauvegarde par intrusion, comme le ferait un véritable adversaire — en ciblant les plans de gestion, les contrôles d'accès et les paramètres d'immuabilité — puis exécute de véritables scénarios de restauration pour prouver que vous pouvez récupérer vos données proprement, intégralement et dans le RTO annoncé.

BackupSec se déploie on-premise, se connecte à vos applications de sauvegarde via un accès API en lecture seule, et ne déplace jamais vos données de sauvegarde hors de votre environnement.

Échangez avec BackupSec sur la posture de sécurité de vos sauvegardes →

Envie de savoir où se situe votre propre environnement ? Évaluez-le avec le Backup Security Assessment gratuit.