Sauvegardes immuables : règle 3-2-1-1-0 appliquée à une PME romande

Un dimanche à 03h00 : le test grandeur nature

Les sauvegardes sont le dernier filet de sécurité après une compromission. Pourtant, 60 à 70 % des PME victimes de ransomware découvrent au moment de la restauration que leurs copies de sauvegarde ont été chiffrées ou supprimées en même temps que les données de production — parce qu'elles étaient accessibles depuis le même réseau, avec les mêmes comptes. La règle classique 3-2-1 ne protège pas contre un attaquant qui dispose de 48 à 72 heures d'accès persistant avant de déclencher le chiffrement.

Anatomie de la règle 3-2-1-1-0

La règle 3-2-1 (3 copies, 2 supports distincts, 1 hors site) date des années 2000. Deux décennies de ransomware sophistiqué ont imposé deux extensions :

• +1 copie immuable ou hors ligne (air-gap) : une copie sur laquelle même un compte administrateur compromis ne peut pas écrire ou effacer pendant la période de rétention définie.
• +0 erreur non vérifiée : chaque sauvegarde est testée par restauration automatique ; aucune copie n'est considérée valide sans vérification de l'intégrité.

Ce standard est maintenant documenté dans les recommandations du Centre national pour la cybersécurité (NCSC) sur la préparation aux ransomwares, ainsi que dans le NIST Cybersecurity Framework (fonction Recover, catégorie RC.RP).

Les 5 composantes détaillées

1. 3 copies des données : production + sauvegarde primaire + sauvegarde secondaire. Les trois doivent être indépendantes au niveau du stockage et des accès.
2. 2 types de supports différents : par exemple NAS (disque) + cloud objet ou NAS + bande LTO. L'objectif est d'éviter qu'une même défaillance (firmware, ransomware, feu) n'atteigne les deux supports simultanément.
3. 1 copie hors site : datacenter distant, cloud, ou coffre physique. La distance minimale recommandée pour les risques sismiques ou d'incendie est de 15 km selon les bonnes pratiques de la continuité d'activité (ISO 22301).
4. 1 copie immuable ou air-gap : immuabilité logique via Object Lock (S3 compatible, mode WORM — Write Once Read Many) ou immuabilité physique via bande LTO déconnectée. La durée de verrouillage doit dépasser la période de rétention de vos sauvegardes d'au moins 30 jours pour absorber un délai de détection tardive.
5. 0 erreur non vérifiée : restauration automatique en environnement isolé (sandbox), vérification de l'intégrité par hash SHA-256, et alerte si le test échoue. Sans ce cinquième pilier, les quatre premiers sont une fausse assurance.

Cadre légal suisse : nLPD et obligation de disponibilité

La nouvelle Loi fédérale sur la protection des données (nLPD), en vigueur depuis le 01.09.2023, impose aux responsables du traitement de garantir la disponibilité, l'intégrité et la confidentialité des données personnelles (art. 8 nLPD, mesures techniques et organisationnelles). Une perte de données personnelles résultant d'une attaque suivie d'une restauration échouée constitue une violation de données au sens de l'art. 24 nLPD.

Obligation de notification au PFPDT

Si la violation est susceptible d'engendrer un risque élevé pour les personnes concernées — ce qui est systématiquement le cas pour des données de santé, financières ou d'identification — le responsable dispose de 72 heures pour notifier le Préposé fédéral à la protection des données et à la transparence (PFPDT). Une sauvegarde immuable et testée réduit le RTO (Recovery Time Objective) et peut démontrer que la violation a été circonscrite, ce qui influence directement l'appréciation du risque résiduel par le PFPDT.

Registre des activités de traitement et plan de continuité

L'art. 12 nLPD impose la tenue d'un registre des activités de traitement pour les entreprises de plus de 250 collaborateurs, mais les bonnes pratiques recommandent de l'implémenter dès 20 personnes dès lors que des données personnelles sensibles sont traitées. Ce registre doit documenter les mesures de protection — dont la politique de sauvegarde. Un audit post-incident démontrant l'absence de politique de sauvegarde formalisée expose à une responsabilité civile (art. 28-29 nLPD) et, pour les secteurs régulés (banques, assurances), à des injonctions de la FINMA.

Architecture technique : comment implémenter le 3-2-1-1-0

Couche 1 — Sauvegarde primaire sur NAS interne

Un NAS dédié, sur un VLAN isolé (VLAN 200, par exemple), accessible uniquement depuis le serveur de sauvegarde via un compte de service dédié sans droits d'administration sur les postes de travail. Le protocole SMB est désactivé ; seul NFS ou le protocole propriétaire de l'agent de sauvegarde est ouvert (port TCP 10000 pour l'agent Veeam, par exemple). La rétention : 30 jours de sauvegardes quotidiennes, 12 semaines de sauvegardes hebdomadaires.

Couche 2 — Réplication chiffrée vers cloud objet avec Object Lock

Les sauvegardes primaires sont répliquées vers un bucket S3-compatible hébergé dans un datacenter suisse (Equinix Zurich, Green datacenter Zurich, ou un opérateur valaisan). Le bucket est configuré en mode Object Lock — Compliance avec une rétention de 60 jours : aucun compte, y compris root, ne peut supprimer l'objet pendant cette période. Assurez-vous que les clés de chiffrement (AES-256) sont gérées par un KMS distinct du compte de stockage — idéalement un HSM matériel ou un service KMS managé.

Couche 3 — Air-gap physique (bande LTO ou disque déconnecté)

Une sauvegarde hebdomadaire complète est copiée sur bande LTO-8 (capacité native 12 TB, compressée jusqu'à 30 TB) ou sur un disque dur rotatif déconnecté manuellement après écriture. Les bandes sont stockées hors site (chambre forte, prestataire de gestion documentaire). Pour un parc de 50 endpoints avec un volume de données de production de 2 à 5 TB, une rotation mensuelle avec 4 bandes en circulation est suffisante. Le coût d'un lecteur LTO-8 USB externe : 1 200 à 2 000 CHF ; les bandes vierges, 20 à 30 CHF l'unité.

Couche 4 — Vérification automatique de l'intégrité

Un job de restauration automatique hebdomadaire restaure un jeu de données de référence (fichiers test, base de données de 500 MB, image système d'un poste type) dans un environnement isolé (VM sur réseau séparé, sans accès Internet ni production). Un script vérifie l'intégrité par hash SHA-256 et envoie une alerte par e-mail ou ticket ITSM si le hash ne correspond pas. Ce contrôle doit être tracé dans un journal d'audit conservé 12 mois minimum.

Paramètres critiques de configuration

• RPO (Recovery Point Objective) cible : 4 heures pour les données critiques, 24 heures pour les données secondaires.
• RTO cible : 8 heures pour un serveur critique (ERP, Active Directory), 24 heures pour les postes de travail.
• Chiffrement en transit : TLS 1.2 minimum, TLS 1.3 recommandé.
• Authentification du compte de sauvegarde : MFA + compte de service isolé, rotation du mot de passe tous les 90 jours.
• Accès au bucket S3 : politique IAM restrictive, aucune clé d'accès avec droits de suppression exposée sur le serveur de sauvegarde.

Réponse à incident : la sauvegarde dans le playbook ransomware

Disposer d'une sauvegarde immuable ne suffit pas si la procédure de restauration n'est pas documentée et testée avant l'incident. Les étapes suivantes structurent la réponse :

1. Isolation immédiate (DSI / équipe IT) : déconnecter les segments réseau affectés, bloquer la propagation latérale. Ne pas éteindre les serveurs avant capture de la mémoire vive si une analyse forensique est prévue.
2. Identification du patient zéro et de la date de compromission initiale (SOC ou prestataire forensique) : les journaux de l'EDR ou du SIEM permettent de déterminer depuis quand l'attaquant était présent. Cette date est critique pour choisir le point de restauration sain.
3. Sélection du point de restauration (DSI + RSSI) : choisir une sauvegarde antérieure à la compromission initiale, pas à la date du chiffrement. Si la compromission remonte à 10 jours, restaurer à J-12 pour avoir une marge de sécurité.
4. Restauration en environnement de quarantaine (IT) : avant de remettre les serveurs en production, valider leur intégrité dans un réseau isolé. Appliquer les correctifs manquants avant reconnexion.
5. Notification NCSC (RSSI ou dirigeant) : signaler l'incident via le formulaire de signalement du NCSC. Ce signalement est non obligatoire pour les PME non régulées, mais permet d'alimenter les statistiques nationales et d'obtenir des conseils.
6. Évaluation de la violation de données et notification PFPDT (RSSI + juriste) : déterminer si des données personnelles ont été exfiltrées ou rendues indisponibles de manière significative. Si oui, déclencher la procédure de notification dans les 72 heures.
7. Post-mortem et mise à jour de la politique de sauvegarde (DSI + RSSI) : documenter les lacunes identifiées, mettre à jour le plan de continuité, planifier un test de restauration dans les 30 jours suivant la reprise.

Cas pratique : bureau d'ingénieurs à Sion, 45 collaborateurs

Un bureau d'études en génie civil basé à Sion emploie 45 personnes, dont 38 utilisent des postes Windows 11 (23H2) et 7 des MacBook Pro sous macOS 14 (Sonoma). Le volume de données de production (projets CAD, BIM, livrables clients) atteint 8 TB sur deux serveurs Windows Server 2022. Les données incluent des informations personnelles de clients (coordonnées, coordonnées bancaires pour la facturation) — le traitement est soumis à la nLPD.

Architecture retenue

• Copie 1 : NAS Synology RS1221+ (VLAN 200, 24 TB brut en RAID 6), sauvegardes quotidiennes incrémentales, rétention 30 jours.
• Copie 2 : Réplication S3 vers datacenter à Genève (opérateur suisse), bucket avec Object Lock Compliance, rétention 60 jours, chiffrement AES-256 côté client avant envoi.
• Copie 3 (air-gap) : Lecteur LTO-8 USB, sauvegarde complète hebdomadaire le vendredi soir, bandes stockées dans un coffre-fort ignifuge chez un prestataire de gestion documentaire à Martigny (18 km de Sion). Rotation de 5 bandes sur 5 semaines.
• Vérification 0 erreur : Job automatisé chaque mercredi à 02h00 — restauration d'un projet CAD de référence (12 GB) en VM isolée, vérification SHA-256, ticket ITSM généré automatiquement avec statut OK/KO.

Coût d'implémentation (estimation)

• NAS + disques (si pas déjà en place) : 3 500 à 5 000 CHF (matériel) + 800 CHF/an (licences logiciel sauvegarde).
• Stockage cloud S3 (8 TB à 60 jours de rétention, opérateur suisse) : 150 à 250 CHF/mois selon le fournisseur.
• Lecteur LTO-8 + 10 bandes : 1 800 CHF (achat unique) + 20 CHF/mois (frais de coffre prestataire).
• Coût total sur 3 ans : environ 18 000 à 24 000 CHF.
• Coût moyen d'un incident ransomware pour une PME de 45 personnes (sans sauvegarde opérationnelle) : 80 000 à 250 000 CHF (temps de reprise, perte de chiffre d'affaires, frais forensiques, coût légal).

Procédure de test annuel

En plus du test automatique hebdomadaire, un test complet est planifié chaque année au mois de mars. Le DSI et le responsable IT isolent un environnement de test, restaurent l'intégralité d'un serveur depuis la bande LTO, mesurent le RTO effectif et le comparent à l'objectif de 8 heures. Le résultat est consigné dans le registre de sécurité et transmis à la direction. En 2024, le test a révélé un RTO de 11 heures (au lieu de 8 heures visées) : le bureau a investi 2 000 CHF supplémentaires dans un second lecteur LTO pour accélérer la lecture, ramenant le RTO à 6h30 lors du test de mars 2025.

Récapitulatif opérationnel

1. Cartographier les volumes de données critiques et les flux de traitement de données personnelles avant de concevoir l'architecture de sauvegarde.
2. Implémenter les 5 couches 3-2-1-1-0 : 3 copies, 2 supports, 1 hors site, 1 immuable/air-gap, 0 erreur non vérifiée.
3. Configurer l'Object Lock en mode Compliance (pas seulement Governance) avec une rétention d'au moins 60 jours sur le bucket cloud.
4. Isoler les comptes de sauvegarde du reste de l'annuaire (compte de service dédié, MFA, aucun droit admin sur les endpoints).
5. Documenter le RPO (≤4h pour les données critiques) et le RTO (≤8h pour les serveurs critiques) dans le plan de continuité d'activité.
6. Automatiser la vérification d'intégrité par restauration test hebdomadaire avec alerte en cas d'échec.
7. Planifier un test de restauration complète annuel avec mesure du RTO réel et comparaison à l'objectif.
8. Définir dans la politique de sauvegarde la procédure de sélection du point de restauration sain en cas d'incident (antérieur à la compromission initiale, pas à la date du chiffrement).
9. Préparer le template de notification PFPDT à l'avance : coordonnées du responsable, catégories de données concernées, volume estimé, mesures correctives.
10. Conserver les journaux d'audit des tests de sauvegarde au minimum 12 mois et les inclure dans le registre des activités de traitement.

Pour les PME qui souhaitent intégrer la gestion des sauvegardes dans leur stratégie globale de sécurité des endpoints, SynGuard propose une évaluation de l'architecture existante dans le cadre de son accompagnement MDM.

Sources

• NCSC — Ransomware : que faire ? — Recommandations officielles du Centre national pour la cybersécurité suisse sur la préparation et la réponse aux ransomwares, incluant les bonnes pratiques de sauvegarde.
• Fedlex — Loi fédérale sur la protection des données (nLPD), RS 235.1 — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023, notamment les art. 8 (mesures techniques), 24 (violation de données) et 12 (registre des activités).
• PFPDT — Annonce des violations de la protection des données — Procédure et formulaire de notification des violations au Préposé fédéral à la protection des données et à la transparence.
• NIST Cybersecurity Framework — Cadre de référence pour la gestion du risque cyber, notamment la fonction Recover et les catégories de planification de la reprise d'activité.
• CIS Controls (Center for Internet Security) — Contrôle CIS 11 (Data Recovery) définissant les exigences minimales de sauvegarde, de test et de protection des copies contre les attaques.