La règle 3-2-1-1-0, chiffre par chiffre

La règle décomposée

Les trois premiers chiffres sont la règle classique. Les deux derniers ont été ajoutés en réponse au rançongiciel moderne, qui cible explicitement les infrastructures de sauvegarde avant de chiffrer la production.

L'immuabilité

Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant une durée définie, y compris par un administrateur disposant de tous les droits. C'est cette dernière précision qui compte.

Trois implémentations courantes :

• Verrouillage objet dans un stockage compatible, avec période de rétention en mode conformité ;
• Bande hors ligne, physiquement déconnectée — la protection la plus robuste, la plus lente à restaurer ;
• Dépôt distant avec authentification distincte, sur une infrastructure dont l'administration ne dépend pas de l'annuaire de production.

L'isolation du domaine d'administration

C'est le point le plus souvent mal traité. Une sauvegarde stockée sur un serveur joint au même annuaire que la production, administré avec les mêmes comptes, tombe avec la production.

Trois principes :

1. Comptes distincts — l'administrateur de la sauvegarde n'est pas l'administrateur du domaine de production, et sa compromission ne découle pas de celle du domaine ;
2. Authentification indépendante — idéalement un annuaire séparé ou une authentification locale renforcée ;
3. Flux unidirectionnel — la production pousse vers la sauvegarde, la sauvegarde ne se laisse pas interroger ni piloter depuis la production.

Le « 0 » : vérifier la restauration, pas la sauvegarde

Un rapport de sauvegarde « réussie » atteste que des données ont été écrites. Il n'atteste pas qu'elles sont restaurables, cohérentes et exploitables.

La vérification attendue comporte trois niveaux :

• Automatique et fréquente : restauration d'un échantillon de fichiers, quotidienne ;
• Fonctionnelle et périodique : restauration d'une base complète dans un environnement isolé, avec contrôle applicatif — mensuelle ou trimestrielle ;
• Complète et annuelle : restauration d'un service entier de bout en bout, avec mesure de la durée réelle.

DORA article 12 exige explicitement que les systèmes de restauration soient testés périodiquement et que les sauvegardes soient physiquement et logiquement séparées du système source. Un test de restauration non documenté ne satisfait pas l'exigence.