Dans beaucoup d'entreprises du Bassin Genevois, la sauvegarde tient dans un boîtier posé sur l'étagère du local technique, à cinquante centimètres du serveur qu'il protège. Le montage fonctionne, les copies partent chaque nuit, et le dirigeant considère raisonnablement que le sujet est réglé. Il l'est pour un scénario, celui de la suppression accidentelle d'un fichier. Il ne l'est pour aucun des autres.
Un dégât d'eau dans le local emporte les deux machines. Un vol par effraction emporte les deux machines, parce que le voleur prend ce qui est branché et visible. Un logiciel de rançon qui obtient un compte administrateur atteint les deux machines, puisqu'elles se trouvent sur le même réseau et partagent souvent le même annuaire. La règle 3-2-1 existe précisément pour éliminer ces trois scénarios, et elle mérite d'être comprise dans le détail plutôt que récitée.
Ce que chaque chiffre compte réellement
Le 3 désigne trois exemplaires de la donnée : la production, plus deux copies distinctes. Les deux copies sont bien deux copies, et non deux étapes d'un même mécanisme. Un instantané de machine virtuelle conservé sur le même stockage que la machine ne constitue pas un exemplaire supplémentaire, parce qu'il disparaît avec le stockage.
Le 2 désigne deux natures de support différentes. L'intention d'origine visait le mode de défaillance : un lot de disques du même modèle et du même âge tombe volontiers dans la même période, et un contrôleur de stockage qui devient fou corrompt tout ce qu'il pilote. Concrètement, nous associons un stockage local rapide et un stockage d'une autre technologie ou chez un autre fournisseur. Deux volumes du même boîtier ne comptent que pour un.
Le 1 désigne une copie hors site. C'est le chiffre le plus souvent mal appliqué, et nous lui consacrons la section suivante, parce que sa définition est plus exigeante que la distance géographique.
Ces trois chiffres décrivent une architecture de copies. Ils ne disent rien de la vitesse de reprise ni de l'organisation du jour J, qui relèvent du plan de reprise et que nous traitons dans notre article expliquant pourquoi des sauvegardes ne suffisent pas.
Pourquoi le boîtier du local technique ne remplit pas la case hors site
Une copie mérite le qualificatif de hors site quand elle survit à la disparition complète du bâtiment et à la compromission complète du réseau. Ces deux conditions se cumulent, et la seconde est celle que l'on oublie.
Un boîtier de stockage réseau installé dans une autre pièce du même bâtiment ne survit ni à l'incendie ni à l'inondation. Un boîtier installé au domicile du gérant survit à l'incendie du bureau, mais il reste souvent joignable par le même tunnel chiffré et administré avec le même mot de passe, si bien qu'un attaquant qui prend le réseau prend aussi cette copie. Un espace de stockage en ligne monté en permanence comme un lecteur réseau sur le serveur se comporte, du point de vue d'un logiciel malveillant, exactement comme un disque local.
Le critère utile ne porte donc pas sur les kilomètres mais sur la séparation des droits. La destination hors site doit s'écrire avec un compte dédié, utilisé par le seul logiciel de sauvegarde, distinct de l'annuaire de l'entreprise, protégé par une authentification à deux facteurs, et jamais employé pour ouvrir une session au quotidien. Un boîtier de marque Synology reste très utile dans ce montage, à condition de lui donner le bon rôle : nous précisons lequel dans notre article sur le fait qu'un NAS occupe une place et pas tout le système d'information.
Le critère que la règle 3-2-1 ne mentionne pas : la copie que personne ne peut effacer
La formule a été popularisée à une époque où la menace principale était la panne matérielle. Elle n'anticipe pas un adversaire qui cherche activement vos sauvegardes avant de déclencher le chiffrement, ce qui est devenu la méthode habituelle. Nous ajoutons donc une exigence à la règle : au moins une version doit être impossible à supprimer, y compris par un administrateur.
Deux mécanismes répondent à ce besoin. Le verrouillage d'objet, souvent désigné par les sigles WORM ou object lock chez les fournisseurs de stockage, interdit la modification et la suppression d'une version avant l'échéance que vous avez fixée. La coupure physique, que l'on appelle air gap, consiste à conserver un support déconnecté entre deux rotations, par exemple un jeu de disques externes ou de bandes rangé dans un coffre. Le premier mécanisme s'automatise, le second demande une discipline humaine mais ne dépend d'aucun réseau.
Nous ajoutons également une exigence de profondeur. La rétention doit permettre de revenir à un point antérieur à la compromission, et une intrusion reste fréquemment discrète pendant plusieurs semaines. Conserver sept jours de versions revient à ne conserver que des versions déjà infectées. Nous préférons une rotation qui garde des points quotidiens sur quelques semaines, puis des points mensuels sur l'année. Un espace de stockage en ligne mal configuré donne d'ailleurs une fausse impression de sécurité, comme nous le montrons dans notre article expliquant qu'un bucket S3 reproduit vos erreurs.
Ce qu'il faut inventorier avant de savoir combien de copies vous possédez
Compter les copies sans savoir ce qui est unique conduit à protéger trois fois le même partage bureautique et à oublier l'essentiel. Nous commençons donc par établir la liste des données irremplaçables, et cette liste surprend souvent le dirigeant.
- La base de données de l'application métier se trouve fréquemment sur un serveur ancien, avec un mécanisme d'export propre au logiciel que le travail de copie de fichiers ne déclenche pas.
- Les messageries hébergées chez un éditeur en ligne échappent aux travaux de copie du parc, et leur corbeille ne conserve les éléments que pendant une durée limitée, à vérifier dans votre contrat plutôt qu'à supposer.
- Les fichiers synchronisés sur un espace en ligne existent en deux endroits, mais la synchronisation propage aussi les suppressions et les chiffrements : c'est le point que nous développons à propos de kDrive chez Infomaniak.
- Les configurations d'équipements, règles de pare-feu, certificats et clés de licence ne vivent dans aucun dossier partagé, alors que leur reconstitution représente plusieurs journées de travail.
- Le site internet réside chez l'hébergeur, et une copie détenue par ce même hébergeur ne vous protège pas si le compte est perdu ou compromis.
Comment nous déclinons la règle selon la taille de l'entreprise
Chez une structure de cinq à dix postes sans serveur, nous obtenons souvent un montage satisfaisant avec les données de travail centralisées dans un espace en ligne, une copie automatique vers un stockage objet verrouillé chez un autre fournisseur, et un jeu de disques externes tournant hors connexion. L'investissement matériel reste modeste et le paramétrage se réalise à distance.
Chez une entreprise de vingt à cinquante postes avec un serveur ou un hyperviseur, nous ajoutons un stockage local pour les restaurations rapides, puisque remonter une machine virtuelle depuis Internet prend des heures que personne n'a envie d'attendre. La copie hors site part ensuite du stockage local vers un espace verrouillé, avec un compte dédié. Nous intervenons sur place dans le Bassin Genevois pour la partie matérielle, et à distance pour le paramétrage des services en ligne.
Dans les deux cas, le dispositif entre dans notre offre de sauvegarde et de reprise d'activité, incluse dans un contrat d'infogérance à partir de 120 HT / mois, avec le même chiffre en euros et en francs. Nous ne défendons aucune marque de logiciel dans cet article, parce que le choix dépend du volume et de l'existant : nous défendons le décompte des copies et la vérification régulière.
Si toutes vos copies se trouvent aujourd'hui dans le même local que votre serveur, parlons-en avant d'acheter un second boîtier. Il vaut mieux construire d'abord la copie hors site verrouillée, puis compléter le local ensuite, que doubler un matériel exposé au même sinistre.