Règle 3-2-1-1-0 : comment l’appliquer concrètement à vos sauvegardes en 2026
La règle 3-2-1 est un standard de sauvegarde ancien : trois copies des données, sur deux supports différents, dont une hors site. Elle reste un bon socle. Face aux ransomwares qui ciblent les sauvegardes, elle laisse toutefois deux angles morts, que sa version étendue, la règle 3-2-1-1-0, vient couvrir.
Ce guide explique ces deux ajouts, comment les mettre en œuvre selon votre environnement, et comment cette règle se situe par rapport à NIS2 et au référentiel de l'ANSSI.
Pour comprendre comment intégrer ce standard dans votre stratégie de sauvegarde globale, consultez notre guide complet sur la sauvegarde externalisée.
1. La règle 3-2-1 originale : définition et limites
Les trois composantes
La règle 3-2-1 repose sur un principe simple : maintenir trois copies des données, sur deux supports différents, dont une hors-site.
Trois copies des données de production : ici l'objectif est d'éviter qu'un incident unique compromette toutes les copies simultanément.
Deux supports différents, les deux sauvegardes doivent être stockées sur des supports de nature distincte : par exemple un NAS local et un cloud, ou un serveur de sauvegarde et des bandes magnétiques. Un incident qui affecte un type de support ne compromet pas l'autre.
Une copie hors-site, au moins une sauvegarde doit être physiquement éloignée du site principal. Un sinistre physique type incendie, inondation ou vol ne peut pas détruire simultanément les données de production et toutes les sauvegardes.
Pourquoi cette règle reste le socle
La règle 3-2-1 adresse efficacement les scénarios classiques de perte de données : défaillance matérielle, erreur humaine, sinistre physique localisé. Elle est simple à comprendre, à communiquer et à mettre en œuvre. C'est pour ces raisons qu'elle reste le point de départ de toute stratégie de sauvegarde sérieuse.
Ses limites face aux ransomwares modernes
La règle 3-2-1 a été conçue avant que les ransomwares ne deviennent la menace principale. Elle présente deux angles morts.
Le premier : elle ne dit rien sur l'accessibilité des sauvegardes depuis le réseau. Deux copies stockées sur des supports différents mais toutes les deux accessibles depuis le réseau de production restent exposées au même vecteur d'attaque. Un ransomware ayant compromis le réseau peut atteindre les deux simultanément.
Notre guide sur la protection contre le ransomware détaille ce vecteur.
Le second : elle ne dit rien sur la vérification des restaurations. Trois copies de données corrompues ou jamais testées ne permettent pas de savoir si une restauration fonctionnera.
2. La règle 3-2-1-1-0 : les deux évolutions critiques
La règle 3-2-1-1-0 ajoute deux composantes à la règle originale, chacune répondant à un angle mort précis.
Le quatrième chiffre : 1 copie air-gappée ou immuable
Ce chiffre répond directement à la limite principale de la règle 3-2-1 face aux ransomwares : l'absence d'exigence sur l'accessibilité des copies depuis le réseau.
La copie air-gappée ou immuable doit rester hors de portée d'un attaquant présent sur le réseau de production : déconnectée en dehors des fenêtres de copie, ou protégée par un verrou WORM qui empêche toute modification pendant la durée de rétention. C'est la copie qui a le plus de chances de rester exploitable si l'attaquant a compromis le réseau et les comptes d'administration, à condition que la déconnexion ou le verrou soient correctement configurés et testés.
En pratique, cette copie peut prendre plusieurs formes selon les ressources disponibles : une appliance on-premise connectée au réseau uniquement pendant les fenêtres de sauvegarde, une bande magnétique stockée hors ligne, ou un stockage cloud avec immuabilité WORM activée et accès restreint. L'essentiel est qu'elle reste hors de portée d'une attaque réseau en dehors de ces fenêtres.
Le cinquième chiffre : 0 erreur de restauration non détectée
Ce chiffre répond au second angle mort de la règle 3-2-1 : l'absence d'exigence sur la vérification des copies.
Zéro erreur non détectée ne signifie pas zéro erreur, les corruptions silencieuses, les sauvegardes incomplètes, les fichiers verrouillés lors de la sauvegarde existent dans tous les environnements. Ce que ce chiffre vise, c'est que ces erreurs soient détectées et corrigées avant qu'un incident réel ne révèle leur existence.
Concrètement, cela implique un monitoring actif des jobs de sauvegarde avec alertes sur les anomalies, des tests de restauration réguliers avec vérification de l'intégrité des données, et des rapports documentés, réutilisables lors d'un audit ou d'un contrôle.
Pourquoi la règle 3-2-1-1-0 s'est diffusée
Ces deux ajouts répondent aux techniques actuelles des ransomwares, qui visent les sauvegardes avant de chiffrer la production. La règle 3-2-1-1-0 est devenue une bonne pratique courante chez les éditeurs et prestataires de sauvegarde. Aucun texte ne l'impose, mais elle traduit concrètement une recommandation de l'ANSSI : disposer d'au moins une sauvegarde hors ligne.
3. Comment mettre en œuvre la règle 3-2-1-1-0 concrètement
La mise en œuvre de la règle 3-2-1-1-0 dépend de la taille de l'organisation, de la criticité des systèmes et de la présence ou non d'environnements OT. Voici deux scénarios pratiques.
Scénario 1 : Entreprises avec environnement IT
- Copie 1 : Données de production sur les serveurs ou dans le cloud de l'organisation.
- Copie 2 : Appliance on-premise air-gappée installée sur site, connectée au réseau uniquement pendant les fenêtres de sauvegarde. Elle assure à la fois la copie locale pour une restauration rapide (RTO court) et la copie air-gappée en dehors de ces fenêtres. Une seule brique couvre ainsi deux exigences.
- Copie 3 : Réplication cloud souverain vers un datacenter français. Elle couvre le scénario de sinistre physique sur le site principal.
Zéro erreur non détectée : monitoring actif des jobs de sauvegarde et, par exemple, un test partiel trimestriel sur les systèmes critiques et un test complet annuel avec rapport documenté.
Scénario 2 : Groupe industriel avec environnement OT
Les environnements OT (SCADA, automates, systèmes de supervision) imposent des contraintes supplémentaires. La connectivité internet de ces systèmes est souvent limitée ou inexistante, et les RTO doivent être très courts.
- Copie 1 : Données de production OT sur les systèmes industriels.
- Copie 2 : Sauvegarde locale OT sur une appliance dédiée air-gappée pour les données les plus critiques. La sauvegarde des configurations d'automates, paramètres de SCADA et images système est incluse dans le périmètre.
- Copie 3 : Réplication hors-site vers un datacenter souverain ou un site secondaire de l'entreprise, pas nécessairement internet, potentiellement via une liaison dédiée.
Zéro erreur non détectée : les tests de restauration doivent inclure la vérification que les configurations d'automates et les paramètres SCADA sont bien restaurés et opérationnels pas seulement que les fichiers sont copiés.
Les points de vigilance communs aux deux scénarios
La fréquence des sauvegardes doit être alignée sur les RPO définis pour chaque système : une sauvegarde quotidienne pour un RPO de 24 heures, des sauvegardes incrémentales horaires pour un RPO d'une heure. Un RPO défini sans sauvegarde correspondante est une incohérence qui ressortira lors d'un test ou d'un audit.
Les accès à la copie air-gappée ou immuable doivent être tracés (qui a accédé, quand, pour quelle opération). Cette traçabilité est utile lors d'un audit comme lors de l'analyse d'un incident.
4. 3-2-1-1-0, NIS2 et le référentiel de l'ANSSI
La règle 3-2-1-1-0 n'est citée par aucun texte. Elle sert de méthode pour répondre à des exigences formulées en termes de résultat.
Ce que dit NIS2
L'article 21 de la directive (UE) 2022/2555 range « la gestion des sauvegardes et la reprise des activités » parmi les mesures de gestion des risques, qui doivent être appropriées et proportionnées. Le texte ne fixe ni nombre de copies, ni architecture, ni fréquence.
Ce que dit le ReCyF
Le ReCyF est le référentiel de l'ANSSI prévu par le projet de loi de transposition de NIS2. Sa version de travail 2.5 (mars 2026) n'était pas encore adoptée à la date de mise à jour de cette page. Il traite la sauvegarde dans son objectif 13, « Continuité et reprise d'activité » : procédures de sauvegarde et de restauration, tests au moins une fois par an, et sauvegardes « protégées d'un incident les rendant inexploitables », avec le stockage hors ligne cité comme exemple face à un rançongiciel.
Appliquer la règle 3-2-1-1-0 aide à répondre à ces attentes : la copie hors ligne ou immuable vise la protection des sauvegardes, le « 0 » vise les tests. Elle ne vaut pas conformité à elle seule : le référentiel porte aussi sur les procédures, le dimensionnement et, pour les entités essentielles, les objectifs de reprise par activité.
Ce que recommande le guide sauvegarde de l'ANSSI
Le guide « Sauvegarde des systèmes d'information, les fondamentaux » (v1.1, novembre 2025) recommande la règle 3-2-1 avec une copie hors ligne, juge une sauvegarde hors ligne indispensable et demande de cloisonner les serveurs de sauvegarde. Ses recommandations n'ont pas de valeur normative. La copie hors ligne de la règle 3-2-1-1-0 correspond directement à cette recommandation.
Ce que ça change lors d'un audit
Une organisation qui peut présenter ses copies documentées, la protection retenue pour la copie de dernier recours et des rapports de tests de restauration datés dispose d'éléments concrets à montrer. Ces éléments ne dispensent pas de justifier les choix au regard de l'analyse de risque et de la criticité des systèmes.
Ressources pour aller plus loin sur le Backup VYTALX
Fiche technique Backup managé
Checklist de revue de votre dispositif de sauvegarde
Questions fréquentes
1. Quelle est la différence entre la règle 3-2-1 et la règle 3-2-1-1-0 ?
La règle 3-2-1 prévoit trois copies des données, sur deux supports différents, dont une hors site. La règle 3-2-1-1-0 y ajoute une copie hors ligne (air-gap) ou immuable, hors de portée du réseau de production, et zéro erreur non détectée lors des vérifications de restauration.
Ces deux ajouts répondent aux angles morts de la règle originale face aux ransomwares qui ciblent les sauvegardes connectées.
2. La copie air-gappée peut-elle tenir lieu de copie locale ?
Oui, c'est une approche courante. Une appliance sur site, connectée uniquement pendant les fenêtres de sauvegarde, sert de copie locale pour une restauration rapide et de copie air-gappée en dehors de ces fenêtres. Il faut alors vérifier ce qui ouvre et ferme la connexion, et que ce mécanisme ne peut pas être piloté depuis la production.
3. Qu'est-ce que "zéro erreur non détectée" signifie concrètement ?
Cela ne signifie pas l'absence totale d'erreurs, les corruptions silencieuses et les sauvegardes incomplètes existent dans tous les environnements. Cela signifie que ces erreurs sont détectées et corrigées avant qu'un incident réel ne les révèle.
En pratique : monitoring actif des jobs de sauvegarde avec alertes sur les anomalies, tests de restauration réguliers avec vérification de l'intégrité des données, et rapports documentés réutilisables lors d'un audit.
4. La règle 3-2-1-1-0 est-elle imposée par NIS2 ?
Non. Ni NIS2 ni le ReCyF ne citent la règle 3-2-1-1-0. NIS2 demande des mesures appropriées et proportionnées, dont la gestion des sauvegardes. Le ReCyF demande des sauvegardes testées au moins une fois par an et protégées d'un incident les rendant inexploitables, en citant le stockage hors ligne comme exemple.
La règle 3-2-1-1-0 est une méthode courante pour y répondre, pas une obligation ni une preuve de conformité à elle seule.
5. Comment appliquer la règle 3-2-1-1-0 dans un environnement OT industriel ?
Les principes sont identiques mais les contraintes sont plus strictes. La copie air-gappée on-premise est souvent la plus adaptée, car la connectivité internet des systèmes OT est fréquemment limitée ou inexistante. Le périmètre doit inclure les configurations d'automates, les paramètres SCADA et les images système, pas seulement les données fichiers. Les tests de restauration doivent vérifier que ces configurations sont bien restaurées et opérationnelles, pas seulement copiées.
Conclusion
La règle 3-2-1-1-0 répond aux deux lacunes de la règle originale : l'accessibilité des copies depuis le réseau, et l'absence de vérification de leur utilisabilité. Ses deux ajouts rendent une stratégie de sauvegarde plus résistante aux ransomwares et vérifiable par des tests.
Sa mise en œuvre ne demande pas une infrastructure complexe. Une appliance sur site, connectée uniquement pendant les fenêtres de sauvegarde, combinée à une réplication vers un datacenter en France, couvre la copie locale, la copie de dernier recours et la copie hors site.
Pour vos serveurs, machines virtuelles et environnements industriels (OT), VYTALX installe chez vous un serveur de sauvegarde dédié et air-gappé, placé dans un VLAN distinct et connecté uniquement pendant les fenêtres de sauvegarde, en abonnement mensuel sans investissement initial. Planifiez une revue de votre architecture de sauvegarde.
