Sauvegarde 3-2-1 : copies, isolation et restauration

La sauvegarde 3-2-1 est un repère de conception : plusieurs copies, des supports distincts et une protection contre la perte du site principal. Elle doit être complétée par une question concrète : quelles copies resteraient accessibles et restaurables si la production et ses comptes d’administration étaient compromis ?

3-2-1 : préciser la convention utilisée

Dans sa formulation courante, la règle désigne trois copies, dont la production, sur deux types de supports, avec une copie hors site. Le guide ANSSI emploie une formulation plus exigeante sur ce dernier point : sa recommandation R11 vise une copie hors ligne. Hors site et hors ligne ne sont donc pas des synonymes. Source : ANSSI, sauvegarde des systèmes d’information, version 1.1 du 27 novembre 2025, R11-R12.

Pour votre politique interne, écrivez la propriété recherchée au lieu de vous limiter au sigle. Trois copies soumises aux mêmes identifiants et aux mêmes possibilités de suppression peuvent partager une défaillance commune. Leur nombre ne suffit pas à rendre ce risque négligeable.

Hors site, hors ligne et immuable

Le stockage immuable peut rester connecté. Un compte distinct n’est pas, à lui seul, un mécanisme d’immutabilité. L’ANSSI demande d’examiner la robustesse technique du dispositif et considère le hors ligne comme plus robuste qu’une solution WORM en ligne. Source : guide ANSSI, § 3.5.

L’expression « 3-2-1-1-0 » ajoute généralement une copie hors ligne ou immuable et une exigence de vérification. Le « zéro erreur » décrit un objectif de contrôle ; ce n’est ni une certification ni une preuve d’invulnérabilité.

Ce que le RGPD exige

L’Art. 32(1)(b) à (d) vise disponibilité, résilience, rétablissement et évaluation régulière des mesures. L’Art. 32(2) impose de tenir compte des risques pour les données. Le texte ne nomme pas la règle 3-2-1 et ne rend pas une architecture identique obligatoire pour chaque organisme. Source : RGPD, Art. 32.

La perte ou l’indisponibilité de données personnelles peut constituer une violation. Il faut alors qualifier le risque et appliquer, selon les conditions des Art. 33 et 34, les obligations de documentation, de notification et d’information. La présence d’une sauvegarde ne dispense pas automatiquement de cette analyse. La procédure de violation de données détaille les décisions à prendre.

Définir les copies à partir du besoin métier

Cybermalveillance.gouv.fr recommande d’identifier les données utiles, d’adapter les sauvegardes au besoin, de protéger les supports et de vérifier la restauration. La fréquence doit suivre l’évolution des données et les conséquences d’une perte. Source : bonnes pratiques sauvegardes, mise à jour du 14 septembre 2026.

La grille suivante est une proposition de contrôle à remplir pour chaque service :

• Quelle donnée a réellement été sauvegardée, avec quelle date de dernière réussite ?
• Quelle période de travail faudrait-il reconstituer si cette copie était utilisée ?
• Quels accès et quelles clés resteraient disponibles pendant l’incident ?
• Quel volume peut être restauré dans le délai attendu, avec les moyens disponibles ?
• Quel responsable métier vérifierait les résultats avant réouverture ?

Exemple hypothétique : une tâche quotidienne affiche « succès », mais elle exclut une nouvelle base créée depuis la dernière modification de configuration. Le contrôle doit rapprocher l’inventaire des données attendues du périmètre réellement sauvegardé.

Exemple : choisir entre deux copies utilisables

Le dossier suivant est entièrement fictif. Un atelier utilise un logiciel pour ses commandes et interventions. Il conserve les données de production sur disque, une sauvegarde nocturne sur un équipement distinct et une rotation de supports déconnectés, entreposés dans un autre bâtiment. Il ne suffit pas de compter ces trois exemplaires : leur contenu, leur accessibilité et leur ancienneté diffèrent.

Voici la fiche préparée pour un arrêt survenant un lundi à 10 heures. Les horaires illustrent une décision interne ; ils ne constituent pas des fréquences de sauvegarde recommandées pour tous.

En présence d’une panne limitée au matériel de production, la copie nocturne peut être le candidat le plus utile après vérification. Si l’analyse révèle un accès frauduleux à l’équipement de sauvegarde, son caractère récent ne justifie pas de la choisir automatiquement. La copie déconnectée mérite alors une analyse distincte, sans présumer qu’elle est saine : elle peut avoir conservé des éléments déjà compromis avant sa déconnexion.

Le responsable doit donc enregistrer la copie retenue et le motif du choix, ainsi que les autres possibilités écartées. Écrire « nous avons une sauvegarde quotidienne » masquerait ici deux situations très différentes : huit heures de données à examiner, ou soixante-quatre heures. Une copie ancienne protège certains scénarios de perte tout en créant un travail de rapprochement plus important.

L’atelier fixe, à titre d’objectif interne, un point de récupération datant d’au plus douze heures. La copie du lundi répond à cet objectif temporel ; celle du vendredi n’y répond pas. La seconde peut néanmoins être la meilleure option disponible dans une crise donnée. Il faut alors constater l’écart, organiser les conséquences métier et réexaminer ensuite la stratégie. Déclarer trois copies ne résout pas cette incompatibilité.

Un compte rendu de restauration réellement exploitable

Poursuivons cet exemple fictif avec un exercice isolé portant sur la copie nocturne. L’équipe prévoit de restaurer 180 gigaoctets. Avec un débit utile supposé constant de 30 mégaoctets par seconde, le transfert seul représenterait 6 000 secondes, soit cent minutes, en utilisant des unités décimales. C’est un calcul illustratif, pas une performance constatée ni une promesse de fournisseur.

Ce calcul ne comprend pas le transport d’un support, la préparation de l’environnement, le déchiffrement, les opérations de reconstruction ou les contrôles métier. Il ne permet donc pas de promettre une remise en service en cent minutes. Un exercice doit mesurer l’ensemble du parcours avec les équipements et les données réellement concernés.

La fiche suivante montre comment consigner un résultat hypothétique sans confondre copie et service :

Le parcours dure ici trois heures quarante. Le transfert dépasse le calcul théorique de quinze minutes ; l’écart doit être expliqué dans un exercice réel, sans modifier après coup l’objectif pour faire apparaître une réussite. La décision finale doit préciser ce qui a été contrôlé : quelques dossiers ouverts ne démontrent pas l’intégrité de toutes les données.

Pour le rapprochement métier, supposons que la copie contienne 240 commandes et que douze commandes supplémentaires aient été reçues après 2 heures, avant l’arrêt. L’équipe attend donc 252 commandes dans son suivi reconstitué, sous réserve de vérifier annulations et doublons. Elle rapproche les références avec les accusés de réception conservés séparément. Elle ne réinjecte pas indistinctement tous les messages : une confirmation répétée pourrait créer deux commandes pour une seule demande.

Le compte rendu conserve le point restauré, les références examinées, les éléments manquants et la personne qui accepte le résultat. Il attribue aussi les corrections : compléter une pièce absente, revoir le débit disponible, ou modifier une fréquence devenue insuffisante. La preuve utile est cette capacité documentée à récupérer puis utiliser les données attendues, avec ses limites connues.

Vérifier la restauration et la durée de conservation

La vérification doit permettre d’utiliser les données restaurées dans le service prévu. Consignez le périmètre, la copie choisie, le résultat, les limites et les actions correctrices. Le PRA organise la remise en service ; le PCA traite les besoins métier pendant la perturbation.

Les copies restent soumises au RGPD, notamment à la limitation de conservation de l’Art. 5(1)(e). Leur rétention doit être justifiée et leur accès maîtrisé. Une sauvegarde n’est pas automatiquement une archive répondant aux obligations de preuve. Source : RGPD, Art. 5.

Avant réouverture, vérifiez les effacements intervenus depuis la copie retenue : le guide de restauration après effacement aide à documenter cette étape. La procédure doit aussi prévoir comment récupérer les clés de chiffrement nécessaires sans les exposer inutilement.

Ce qu’il faut retenir

• Décrivez les propriétés des copies, pas seulement leur nombre.
• Distinguez hors site, hors ligne et immutabilité.
• Mesurez la capacité réelle à restaurer le service attendu.
• Justifiez la rétention et traitez les effacements avant réouverture.

FAQ

Une copie cloud est-elle hors ligne ?

Pas si elle reste accessible par le réseau. Elle peut être hors site, mais ses accès, sa rétention et ses mécanismes de protection doivent être examinés séparément.

La règle 3-2-1 est-elle imposée par le RGPD ?

Le RGPD impose des mesures adaptées au risque et une capacité de rétablissement. Il ne prescrit pas cette formule particulière.

Une sauvegarde réussie prouve-t-elle une restauration possible ?

Non. Il faut vérifier le périmètre sauvegardé, la lisibilité des copies et les moyens de remise en service. Le compte rendu doit conserver les anomalies et leur traitement.

Recevez nos analyses pratiques sur la sécurité des données.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.