Il existe une seule mesure qui transforme une cyberattaque catastrophique en simple mauvaise journée : une sauvegarde qui fonctionne. Quand un rançongiciel chiffre l’ensemble de vos fichiers, la question n’est plus de savoir comment l’empêcher, mais si vous pouvez repartir sans payer.
La règle 3-2-1 est le standard qui répond à cette question. Elle est simple à comprendre, et beaucoup d’entreprises croient l’appliquer alors qu’il leur manque justement l’élément qui compte.
La règle 3-2-1 en un coup d’œil
L'original plus deux sauvegardes. Une seule copie de secours ne suffit pas : elle peut échouer au moment précis où vous en avez besoin.
Un disque externe et un service en ligne, par exemple. Deux copies sur le même matériel disparaissent ensemble en cas de panne, de vol ou d'incendie.
Dans un autre bâtiment, ou chez un hébergeur. Surtout : déconnectée du réseau entre deux sauvegardes, pour rester hors d'atteinte.
La règle 3-2-1 appliquée à une PME. Le troisième point est celui qui manque le plus souvent, et c'est celui qui protège du rançongiciel.
Pourquoi cette règle existe-t-elle ?
Chaque chiffre répond à un mode de défaillance précis. Ce n’est pas une recette arbitraire, c’est une réponse à trois façons différentes de tout perdre.
Trois copies répondent à la panne matérielle. Un disque dur tombe en panne sans prévenir. Si votre unique sauvegarde repose sur ce disque et qu’il lâche le jour où votre serveur lâche aussi, vous n’avez plus rien. La redondance couvre ce risque.
Deux supports différents répondent à la défaillance systémique. Deux disques achetés le même jour, du même modèle, vieillissent de la même façon et tombent souvent en panne à quelques semaines d’intervalle. Surtout, deux copies stockées dans le même bâtiment disparaissent ensemble en cas d’incendie, de dégât des eaux ou de vol.
Une copie hors site répond à la cyberattaque et au sinistre. C’est le point décisif, et c’est celui que les PME négligent le plus.
L’erreur qui annule tout le reste
Un rançongiciel ne chiffre pas seulement l’ordinateur qu’il infecte. Il cherche activement tout ce qui est accessible depuis ce poste : les lecteurs réseau, les serveurs, les disques externes branchés, les dossiers partagés, et souvent les espaces cloud synchronisés.
Le disque externe laissé connecté au serveur « pour que la sauvegarde se fasse toute seule » sera chiffré en même temps que le reste. Le matin de l'attaque, l'entreprise découvre que ses sauvegardes sont aussi inutilisables que ses fichiers. Une copie doit être déconnectée, ou stockée chez un tiers avec une protection contre l'effacement.
La même logique s’applique aux outils de synchronisation. OneDrive, Dropbox et Google Drive recopient fidèlement ce qui se passe sur votre poste. Si vos fichiers sont chiffrés localement, la version chiffrée remonte dans le cloud et écrase la bonne. Ces services conservent en général un historique de versions, qui permet parfois de s’en sortir, mais il est limité dans le temps et ne constitue pas une stratégie de sauvegarde.
Ce que dit la situation suisse
Les rançongiciels restent une menace constante pour les organisations suisses. Au second semestre 2025, 57 incidents liés à des rançongiciels ont été annoncés directement à l’Office fédéral de la cybersécurité, la variante Akira étant la plus répandue dans le pays.
Ces chiffres ne recensent que les cas signalés. Beaucoup de PME ne déclarent rien, par méconnaissance ou par crainte pour leur réputation. L’ordre de grandeur réel est donc supérieur.
Le point important pour un dirigeant n’est pas le nombre d’attaques, mais leur conséquence. Une entreprise dont les sauvegardes fonctionnent redémarre en quelques jours. Une entreprise sans sauvegarde exploitable fait face à un choix qu’aucun chef d’entreprise ne veut avoir à trancher : payer une rançon sans garantie de récupérer quoi que ce soit, ou perdre son historique.
Comment mettre la règle en place concrètement ?
Voici une configuration réaliste pour une PME de cinq à cinquante personnes. Si votre effectif s’éloigne de cette fourchette, notre plan d’action selon la taille de l’entreprise indique où placer la sauvegarde dans votre ordre de priorité.
| Copie | Où | Fréquence | Rôle |
|---|---|---|---|
| Copie 1 | Vos données de travail, sur le serveur ou les postes | En continu | L’original |
| Copie 2 | Disque externe ou NAS, dans vos locaux | Quotidienne, automatique | Restauration rapide en cas de panne ou d’effacement |
| Copie 3 | Service de sauvegarde en ligne, ou disque stocké ailleurs | Quotidienne ou hebdomadaire | Protection contre rançongiciel, incendie, vol |
Trois exigences comptent autant que le nombre de copies.
L’automatisation. Une sauvegarde qui dépend de quelqu’un qui pense à brancher un disque le vendredi soir finit par ne plus se faire. Tout ce qui repose sur la mémoire humaine cesse tôt ou tard.
La surveillance. Configurez une alerte en cas d’échec. Le scénario le plus fréquent n’est pas l’absence de sauvegarde, c’est la sauvegarde qui échoue silencieusement pendant des mois sans que personne le remarque.
L’immuabilité, si votre prestataire la propose. Certaines offres permettent de verrouiller les sauvegardes pendant une durée définie : même un attaquant disposant de vos identifiants ne peut ni les modifier ni les effacer. C’est aujourd’hui la meilleure protection disponible, et elle se démocratise.
Une fois par an, demandez à restaurer intégralement un dossier important, et chronométrez l'opération. Vous vérifiez trois choses d'un coup : que la sauvegarde existe, qu'elle est exploitable, et combien de temps votre entreprise resterait à l'arrêt. Beaucoup de dirigeants découvrent à ce moment que la restauration prendrait plusieurs jours.
Ce chronométrage a une utilité qui dépasse la technique : il vous donne le délai de reprise réel que votre entreprise devra tenir. C’est l’un des éléments que consigne un plan de réponse aux incidents, le document d’une à deux pages qui décrit qui fait quoi le jour où les fichiers ne s’ouvrent plus.
Et pour la protection des données ?
La sauvegarde n’est pas seulement une bonne pratique technique. La loi sur la protection des données impose d’assurer la sécurité des données personnelles par des mesures appropriées, et la disponibilité en fait partie : perdre définitivement les données de vos clients constitue une atteinte à leur protection, pas seulement un problème interne.
Deux points de vigilance accompagnent cette obligation. Vos sauvegardes contiennent des données personnelles, elles doivent donc être chiffrées et leur accès restreint. Et si votre prestataire de sauvegarde est établi à l’étranger, ce transfert doit reposer sur une base valable. Ces exigences sont détaillées dans notre article sur les obligations de la nLPD pour les PME.
Pour situer votre niveau de protection global, le check-up cyber consacre plusieurs questions aux sauvegardes et à leur test. Les autres mesures prioritaires sont regroupées dans le pilier Bonnes pratiques.