Sauvegarde 3-2-1 et NIS2 : ce que quinze ans de terrain nous ont appris

La sauvegarde est notre métier d’origine, et le sujet sur lequel nous avons le plus de cicatrices. Quinze ans de sauvegardes qui tournent, de restaurations à 3 heures du matin, d’entreprises qui redémarrent — et de quelques drames évités de justesse — nous ont appris ce qui distingue une sauvegarde qui rassure d’une sauvegarde qui sauve.

La règle 3-2-1, nécessaire mais plus suffisante

Le classique : trois copies de vos données, sur deux supports différents, dont une hors site. Cette règle reste le socle — et elle est déjà, honnêtement, plus qu’appliquée dans beaucoup de PME que nous auditons, où l’on trouve plutôt une copie unique sur un NAS dans la même pièce que les serveurs.

Mais la règle date d’une époque où la menace principale était la panne et l’incendie. Le rançongiciel moderne a changé la donne sur un point précis : il cherche vos sauvegardes avant de chiffrer. Les opérateurs passent des jours dans le réseau avant de déclencher ; ils repèrent le serveur de sauvegarde, suppriment les copies, désactivent les tâches — puis chiffrent. Le jour J, la victime découvre que ses trois copies ont été détruites avec le reste.

Ce qui fait qu’une sauvegarde survit à l’attaque

De notre expérience, trois propriétés font la différence :

• L’invisibilité — une sauvegarde que l’attaquant ne trouve pas est une sauvegarde qu’il ne détruit pas. C’est le principe du protocole de furtivité breveté de notre box Bkube : elle n’apparaît pas là où les rançongiciels cherchent. C’est notre différence la plus décisive sur le terrain.
• L’immuabilité — des copies protégées en écriture : même avec des droits d’administrateur volés, l’historique ne peut pas être altéré.
• L’externalisation chiffrée — une copie hors site, chiffrée avant de partir, hors de portée d’un attaquant qui contrôle le réseau local.

Le test de restauration : la seule preuve qui vaille

Deuxième leçon de terrain, la plus contre-intuitive : la plupart des sinistres de sauvegarde se découvrent à la restauration. La tâche « tournait » depuis des mois — mais sur le mauvais périmètre, ou avec des fichiers corrompus, ou sans les bases de données ouvertes. Le voyant vert ne prouve rien ; seule la restauration prouve. Chez nous, la règle est simple : une restauration testée régulièrement, réelle, chronométrée — et documentée.

Ce que NIS2 change

L’article 21.c fait de la gestion des sauvegardes une obligation légale, au sein du volet continuité. Concrètement, lors d’un contrôle ou après un incident, on vous demandera : votre politique de sauvegarde (périmètre, fréquence, rétention), la preuve que les tâches s’exécutent, et — surtout — les rapports de vos tests de restauration. Une sauvegarde non testée n’est pas seulement un risque technique : c’est désormais un écart de conformité.

Dans votre dossier NIS2, la sauvegarde est probablement la mesure au meilleur rapport preuve/effort : bien conçue, elle coche l’exigence, neutralise le scénario catastrophe numéro un, et conditionne le réalisme de votre PRA. C’est par elle que nous avons commencé il y a quinze ans ; c’est souvent par elle que nous recommandons de commencer aujourd’hui.