Un disque dur qui lâche, un ordinateur volé ou un rançongiciel qui chiffre le serveur : dans ces trois cas, seule une sauvegarde fiable permet de repartir. Pourtant, beaucoup de PME se contentent d’une copie sur un disque externe, branché en permanence et jamais testé. La règle 3-2-1 offre une méthode simple pour éviter ce piège.
Ce guide explique donc la règle 3-2-1 et la façon de l’appliquer dans une petite entreprise. Il détaille aussi les erreurs qui rendent une sauvegarde inutile. Nous l’avons rédigé au sein du Groupe Izitek, dont la société DG Conseil est certifiée ExpertCyber.
La règle 3-2-1 consiste à conserver trois copies de ses données, sur deux supports différents, dont une copie hors du site principal. L’ANSSI recommande en outre qu’au moins une sauvegarde soit hors ligne, c’est-à-dire déconnectée de tout réseau, afin de résister aux rançongiciels. Pour une PME, cela revient souvent à combiner les données de production, une sauvegarde locale et une sauvegarde externalisée, avec des tests de restauration réguliers.
La règle 3-2-1 est une méthode de sauvegarde qui repose sur trois chiffres faciles à retenir :
L’objectif est simple : aucun incident unique ne doit pouvoir détruire toutes les copies en même temps. Ainsi, un incendie dans les bureaux épargne la copie externalisée, et la panne d’un support épargne l’autre.
Dans son guide sur les fondamentaux de la sauvegarde des systèmes d’information, mis à jour le 27 novembre 2025, l’ANSSI reprend la règle 3-2-1. Elle demande toutefois qu’une des copies soit hors ligne, donc déconnectée de tout système d’information. Lorsque ce n’est pas possible, l’agence évoque un compromis : des sauvegardes régulières sur un stockage immuable, que personne ne peut modifier, et des sauvegardes hors ligne moins fréquentes.
Les petites entreprises restent des cibles fréquentes. Selon le panorama de la cybermenace 2025 de l’ANSSI, présenté en mars 2026, l’agence a traité 128 compromissions par rançongiciel en 2025. Environ 48 % des victimes étaient des TPE, PME ou ETI.
Par ailleurs, Cybermalveillance.gouv.fr classe les rançongiciels au quatrième rang des menaces visant les entreprises et associations en 2025. Ils représentent 8,1 % des demandes d’assistance des professionnels. Or un rançongiciel cherche précisément à chiffrer les sauvegardes accessibles depuis le réseau.
Toutefois, les attaques ne sont pas le seul risque. Une panne matérielle, une erreur de manipulation ou un dégât des eaux suffisent à perdre des années de travail. Notre article sur les chiffres de l’ANSSI pour les PME détaille ces menaces.
Appliquer la règle 3-2-1 ne demande pas une infrastructure de grand groupe. Voici par exemple une architecture courante pour une PME :
Les solutions de sauvegarde et de reprise après sinistre du groupe reposent justement sur ce principe. Elles complètent aussi nos solutions cloud d’hébergement et de stockage.
L’ANSSI parle de perte de données maximale admissible, souvent appelée RPO. Autrement dit, combien d’heures de travail pouvez-vous perdre sans dommage grave ? Une sauvegarde quotidienne fait perdre au plus une journée. Si cette perte est inacceptable, il faut alors une réplication continue, plutôt qu’une sauvegarde classique.
Gardez plusieurs générations de sauvegardes, car une infection peut rester invisible pendant des semaines. L’ANSSI cite par exemple 15 jours de sauvegardes quotidiennes, un an de mensuelles et cinq ans d’annuelles. Adaptez toutefois ces durées à votre activité.
Une sauvegarde existe parfois sur le papier, mais elle échoue au moment critique. Voici les erreurs les plus fréquentes :
Pour éviter le quatrième point, isolez l’infrastructure de sauvegarde et protégez ses accès par la double authentification. L’ANSSI recommande aussi des comptes dédiés, distincts de ceux du réseau de production.
Une sauvegarde ne vaut que si l’on sait la restaurer. L’ANSSI recommande donc de tester régulièrement les sauvegardes et de rédiger une procédure de restauration. Ce test vérifie la complétude des données, mais aussi le temps nécessaire pour repartir.
Nous conseillons un test simple chaque mois, comme la restauration d’un dossier. Un test complet, lui, se fait au moins une fois par an. Il s’intègre alors dans un plan de reprise d’activité, qui organise la relance de toute l’entreprise.
Pensez enfin à sauvegarder ce qui permet de restaurer : procédures, mots de passe d’administration et clés de chiffrement. Sans eux, la meilleure sauvegarde reste inaccessible.
La sauvegarde sert à restaurer des données après un incident. L’archivage, lui, conserve des documents pendant une durée légale, avec des garanties d’intégrité. L’ANSSI rappelle d’ailleurs qu’une sauvegarde ne constitue pas un moyen d’archivage légal.
Pour conserver vos factures pendant les durées légales, mieux vaut donc une solution dédiée, comme un logiciel de gestion électronique des documents.
Le Groupe Izitek met en place des stratégies de sauvegarde adaptées à la taille de chaque entreprise. Ainsi, DG Conseil, la société du groupe certifiée ExpertCyber, accompagne les PME sur ces sujets depuis l’agence de La Penne-sur-Huveaune.
Par ailleurs, la sauvegarde s’inscrit dans nos mesures de cybersécurité pour les entreprises, avec la sécurité des serveurs et le pare-feu et l’antivirus. Dans le cadre d’un contrat d’infogérance et de maintenance, la surveillance des sauvegardes devient aussi une tâche suivie au quotidien.
Pour faire un premier état des lieux, consultez notre check-list cybersécurité pour PME. Certaines dépenses peuvent enfin bénéficier des aides à la cybersécurité disponibles en 2026.
La règle 3-2-1 reste la base d’une stratégie de sauvegarde solide. Ajoutez-y toutefois une copie hors ligne et des tests réguliers. Ainsi, ce principe simple protège une PME contre la panne, le sinistre et le rançongiciel.
Vous souhaitez savoir quelles actions prioriser dans votre entreprise ? Contactez Izitek pour faire le point sur vos sauvegardes. Ensemble, nous identifierons une feuille de route adaptée à vos enjeux, votre activité et votre budget.
Non, un stockage cloud synchronisé ne constitue pas à lui seul une sauvegarde. En effet, la synchronisation recopie aussitôt dans le cloud un fichier supprimé ou chiffré sur un poste. Une vraie sauvegarde conserve plusieurs versions dans le temps, sur un espace distinct et protégé.
Ces services protègent leur infrastructure, mais la conservation de vos données reste en partie à votre charge. Car ces services ne gardent les éléments supprimés que pendant une durée limitée. Une sauvegarde dédiée de la messagerie et des fichiers en ligne reste donc recommandée pour une PME.
Tout dépend de la quantité de données que vous acceptez de perdre. Ainsi, pour la plupart des PME, une sauvegarde quotidienne des serveurs et des outils en ligne constitue un minimum. Les données très actives, comme une base comptable en période de clôture, justifient parfois une fréquence plus élevée.
Oui, un disque externe peut servir, à condition de le débrancher après chaque sauvegarde. Gardez aussi un second disque hors des locaux. En revanche, un disque toujours branché subira le chiffrement lors d’une attaque. Une solution externalisée automatique reste plus fiable au quotidien.
Le prix dépend surtout du volume de données, du nombre de postes et de la durée de conservation choisie. Pour comparer les offres, vérifiez aussi les tests de restauration inclus et le délai de remise à disposition des données. Un devis sur mesure permet d’éviter de payer un stockage inutile.
