Ransomwares : la méthode 3-2-1 pour sauver vos données

Quand la sauvegarde devient une question de survie

En 2024, le coût moyen d’une attaque par ransomware pour une PME européenne a dépassé 200 000 euros, remise en service incluse. Ce chiffre, documenté par le CESIN et corroboré par les données de l’ANSSI, ne tient pas compte des pertes d’exploitation, des pénalités contractuelles ni du préjudice réputationnel. Il ne comptabilise pas non plus ce que les professionnels de la sécurité informatique considèrent comme la vraie catastrophe derrière chaque incident : la perte définitive de données critiques, celle qui survient quand les sauvegardes elles-mêmes ont été compromises ou détruites.

C’est précisément ce scénario que la méthode 3-2-1 est conçue pour éviter. Simple dans son intitulé, rigoureuse dans son application, elle constitue aujourd’hui le socle de toute stratégie de continuité informatique sérieuse – y compris pour des structures de taille modeste.

Le principe 3-2-1 : une architecture, pas une option

v. La règle 3-2-1 repose sur trois contraintes cumulatives. Trois copies des données doivent exister simultanément. Ces copies doivent être stockées sur deux types de supports différents. Et l’une d’entre elles doit impérativement se trouver hors site, c’est-à-dire dans un lieu physiquement distinct du système principal.

Cette architecture n’est pas une recommandation de confort. Elle répond à une logique de probabilités adverses : un ransomware qui chiffre le serveur principal atteindra presque systématiquement les partages réseau adjacents. Il ne pourra en revanche pas accéder à une copie isolée, stockée sur un support déconnecté ou hébergée dans un datacenter distant. La diversification des supports – disque local, NAS, cloud, bande – obéit à la même logique : un incendie, une surtension, une défaillance matérielle localisée ne peut pas détruire simultanément deux types de technologies hétérogènes.

Ce que la règle 3-2-1 garantit, c’est la survivabilité d’au moins une copie intègre dans la quasi-totalité des scénarios de sinistre. Ce qu’elle ne garantit pas, en revanche, c’est la capacité à accéder à cette copie au moment où on en a le plus besoin – c’est-à-dire précisément quand le réseau est coupé.

Le maillon faible : la connectivité au moment de la crise

Un ransomware ne frappe pas toujours en plein jour, sur un réseau stable et dans un contexte opérationnel idéal. Il se déclenche souvent la nuit, en week-end, dans un moment où la vigilance est réduite. Et lorsque l’incident est détecté, les premières heures sont décisives : restaurer depuis une sauvegarde cloud, contacter un prestataire de support, accéder à une console de gestion distante – tout cela suppose une connexion internet fonctionnelle.

Or, dans de nombreux scénarios d’attaque avancée, les actes malveillants visent également les équipements réseau. Des routeurs reconfigurés, des DNS falsifiés, des accès VPN coupés : la connectivité devient la première victime collatérale. C’est pourquoi l’architecture de sauvegarde 3-2-1 gagne à être complétée par une stratégie de connectivité de secours, dimensionnée pour les moments de crise.

La carte SIM comme filet de sécurité réseau

Le routeur cellulaire – équipé d’une carte SIM ou d’une eSIM professionnelle – est devenu en quelques années un composant standard des infrastructures IT résilientes. Son principe est direct : en cas de défaillance de la connexion fibre ou ADSL principale, le routeur bascule automatiquement sur le réseau mobile 4G ou 5G, sans interruption visible pour les utilisateurs.

Pour une stratégie de récupération après incident, cet équipement joue un rôle spécifique et déterminant. Il permet de maintenir un accès internet minimal mais fiable au moment où les équipes IT en ont le plus besoin : pour déclencher une restauration depuis le cloud, activer un plan de continuité, ou simplement joindre le support technique. Il permet aussi de s’assurer que les sauvegardes automatiques continuent de s’exécuter même si la fibre est hors service – ce qui peut arriver indépendamment de toute attaque, à cause d’une coupure technique chez l’opérateur.

Les solutions MVNO en marque blanche permettent aujourd’hui aux revendeurs et intégrateurs de proposer des forfaits SIM data dédiés aux usages machine, avec des engagements de QoS et des options multi-opérateurs pour garantir la bascule automatique vers le réseau le plus disponible. Cette couche de connectivité de secours n’est pas un luxe : c’est la condition sine qua non pour que le “1” de la règle 3-2-1 – la copie hors site – reste accessible quand tout le reste défaille.

Le satellite comme dernier recours : LEO change la donne

Pendant longtemps, la connectivité satellite a représenté une solution de dernier recours aux performances trop limitées pour un usage professionnel sérieux : latences élevées, débits asymétriques, coûts prohibitifs. Les constellations de satellites en orbite basse (LEO) – Starlink en tête, suivie de Kuiper et d’autres acteurs en cours de déploiement – ont profondément transformé cet équilibre.

Avec des latences descendues sous les 40 millisecondes et des débits routiniers de plusieurs centaines de mégabits par seconde, le satellite LEO peut désormais jouer un rôle crédible dans une architecture de continuité. Dans les zones rurales ou périurbaines où la fibre reste peu fiable, il constitue une alternative directement exploitable. Dans les contextes urbains, il représente une troisième couche de connectivité – après la fibre et la 4G/5G – pour les organisations dont la tolérance à l’interruption est proche de zéro.

Pour les professionnels IT qui conseillent leurs clients sur la résilience des sauvegardes, ce triptyque de connectivité – fibre principale, SIM cellulaire de secours, satellite en ultime recours – forme désormais une architecture cohérente et déployable. Elle garantit que la stratégie 3-2-1 ne reste pas un principe théorique mais une capacité opérationnelle réelle, même dans les scénarios les plus dégradés.

Mettre en oeuvre : ce qui change pour les professionnels IT

Intégrer la méthode 3-2-1 dans une proposition de valeur ne se limite pas à vendre trois sauvegardes. Cela implique de poser des questions que le client n’a généralement pas anticipées : Où est stockée la copie hors site ? Est-elle chiffrée et vérifiée périodiquement ? Combien de temps faudrait-il pour restaurer l’ensemble du système depuis cette copie ? Et surtout : de quelle connexion disposez-vous si votre fibre est coupée au moment de la crise ?

Ces questions ouvrent un espace de conseil à forte valeur ajoutée. Elles permettent de repositionner la sauvegarde non plus comme un poste de coût subi, mais comme une composante de la stratégie de risque de l’entreprise – un cadrage qui parle directement aux dirigeants et aux directeurs financiers, dans un contexte où les assureurs cyber commencent eux-mêmes à conditionner leurs garanties à l’existence de plans de reprise documentés.

La combinaison d’une architecture 3-2-1 rigoureuse et d’une connectivité de secours multi-supports – SIM cellulaire, voire satellite – n’est plus réservée aux grandes entreprises. Les solutions disponibles sur le marché, notamment via les opérateurs MVNO proposés en marque blanche, permettent de déployer cette infrastructure à des coûts compatibles avec les budgets des PME. Ce qui manque rarement, ce n’est pas la technologie. C’est le conseil pour en comprendre la nécessité avant que le ransomware n’en fasse la démonstration.