Sauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?

La règle 3-2-1 demande trois copies de vos données (l’original et deux sauvegardes), sur deux types de supports différents, dont une copie conservée hors du site principal. Elle protège contre la panne de matériel, l’incendie et l’erreur de manipulation. Elle a été formulée bien avant que les rançongiciels ne visent les sauvegardes.

Face à un attaquant qui détient des droits d’administration, les trois copies peuvent tomber ensemble si elles sont toutes accessibles depuis les mêmes comptes. On parle donc aujourd’hui de variantes comme 3-2-1-1-0 : une copie hors ligne ou immuable en plus, et zéro erreur constatée à la vérification.

Une sauvegarde immuable : définition est verrouillée pour une durée définie : ni un administrateur, ni un attaquant qui a pris ses droits ne peut la modifier ou la supprimer avant l’échéance. Les fournisseurs cloud proposent ce verrouillage pour leur stockage objet (S3 Object Lock chez AWS) ou leurs coffres de sauvegarde (coffre immuable d’Azure Backup), et on peut l’obtenir avec un dépôt durci sur site ou une bande rangée hors ligne.

Deux questions métier fixent le dispositif. La durée d’interruption maximale admissible : combien de temps l’activité peut-elle rester arrêtée ? La perte de données maximale admissible : quelle quantité de travail peut-on perdre ? La première détermine la vitesse de restauration visée, la seconde la fréquence des copies.

La rétention doit couvrir le temps qu’il faut pour s’apercevoir d’une compromission. Si une intrusion peut rester silencieuse plusieurs semaines, une copie conservée trois jours ne sert à rien : au moment où l’on s’en rend compte, toutes les copies disponibles contiennent déjà l’attaquant.

Restaurer vite semble le bon réflexe, et c’est souvent le plus risqué : si la compromission est antérieure à la sauvegarde, vous réinstallez l’accès de l’attaquant. Il faut dater l’intrusion, identifier le point d’entrée, puis choisir la version saine la plus récente. C’est le travail d’une investigation, que la réponse à incident ou l’analyse forensique conduisent à partir des journaux et des systèmes conservés.

Un exercice de crise dans lequel on joue la perte de l’annuaire et de la messagerie montre rapidement les dépendances oubliées : où est stocké le mot de passe du coffre, comment l’équipe se parle si la messagerie est chiffrée. Mieux vaut le découvrir sur table.

Un service cloud assure sa propre disponibilité, mais le modèle de responsabilité partagée laisse la protection de vos données de votre côté : suppression volontaire ou accidentelle, compromission de compte, rétention limitée de la corbeille. Vérifiez la durée de conservation réelle de ce que vous avez souscrit, et envisagez une sauvegarde indépendante pour les données qui comptent, hébergée sous des identifiants différents.