La règle 3-2-1 ne suffit plus : pourquoi vos sauvegardes doivent être immuables

La règle 3-2-1 a été pensée pour les disques qui tombent en panne et les bureaux qui brûlent. Elle reste juste. Mais les ransomwares modernes ne cassent pas vos disques : ils cherchent vos sauvegardes, les chiffrent en premier, puis s’attaquent à la production. Une copie que l’attaquant peut atteindre n’est pas une protection.

Ce qui a changé

Les groupes de rançongiciels passent en moyenne plusieurs jours dans un réseau avant de chiffrer. Pendant ce temps, ils cartographient les serveurs de sauvegarde, récupèrent les identifiants et suppriment les points de restauration. Le jour J, il ne reste rien à restaurer, et la rançon devient la seule issue.

Immuable, concrètement

Une sauvegarde immuable est une copie qui ne peut être ni modifiée ni supprimée pendant une durée fixée, même par un administrateur, même avec le bon mot de passe. Techniquement, cela repose sur :

• Un stockage objet avec verrouillage (S3 Object Lock ou équivalent), hébergé hors de votre réseau.
• Des identifiants distincts de ceux de votre domaine, avec MFA.
• une durée de rétention qui dépasse le temps de présence typique d’un attaquant, soit 30 jours minimum.

La règle devient 3-2-1-1-0

Trois copies, deux supports, une hors site, une immuable, et zéro erreur au test de restauration. Ce dernier point est celui que tout le monde oublie : une restauration complète doit être testée au moins une fois par trimestre, chronomètre en main.

Et le cloud ?

Microsoft 365 et Google Workspace ne sauvegardent pas vos données au sens propre. La corbeille et la rétention par défaut ne couvrent ni la suppression malveillante ni le chiffrement par un compte compromis. Une sauvegarde tierce de vos boîtes mail, SharePoint et Drive est indispensable.

Ce dispositif est inclus dans notre offre de cybersécurité pour entreprises, avec test de restauration trimestriel documenté.