Imaginez ouvrir votre ordinateur portable un lundi matin et découvrir que tous vos fichiers ont été renommés en charabia, qu'une note de rançon s'affiche sur votre bureau et qu'un compte à rebours de 72 heures exige 50 000 $ en cryptomonnaie. Votre fichier comptable, votre liste de clients, vos registres de paie, cinq ans de déclarations fiscales — tout est chiffré. Les attaquants ont aussi trouvé le disque dur externe branché à votre ordinateur de bureau et l'ont chiffré également. Ce n'est pas une catastrophe rare. Selon le rapport 2025 sur les enquêtes en matière de violations de données de Verizon, les ransomwares sont intervenus dans 44 % des violations examinées par les enquêteurs, et les petites entreprises se trouvent directement dans le rayon d'impact, car les attaquants savent que vos défenses sont plus minces et que vous n'avez pas d'équipe de réponse aux incidents sous contrat.
Voici la partie que la plupart des propriétaires négligent : avoir une sauvegarde n'est pas la même chose que pouvoir récupérer. L'enquête State of Ransomware 2025 de Sophos menée auprès de 3 400 organisations a révélé que seulement 54 % des victimes de ransomwares ont récupéré leurs données grâce à des sauvegardes — le taux le plus bas en six ans — parce que les ransomwares modernes traquent et chiffrent délibérément les sauvegardes accessibles avant de se manifester. Le coût moyen de récupération, hors rançon éventuelle, atteignait 1,53 million de dollars. Une sauvegarde qui réside sur le même réseau, sous le même identifiant, non testée depuis un an, n'est pas un filet de sécurité. C'est un espoir.
La solution est une discipline vieille de plusieurs décennies avec une mise à jour moderne : la règle de sauvegarde 3-2-1, étendue à 3-2-1-1-0 pour l'ère des ransomwares. Cet article détaille ce que chaque chiffre signifie, ce que la CISA recommande réellement aux petites entreprises, et le test de restauration mensuel qui transforme vos sauvegardes d'une supposition en une garantie.
Commencez par un inventaire : sans quoi ne pouvez-vous pas fonctionner ?
La première étape de la CISA pour les sauvegardes des petites entreprises n'est pas d'acheter un logiciel — c'est d'identifier ce sans quoi votre entreprise ne peut pas fonctionner. Les sauvegardes sont limitées en budget et en attention, alors protégez d'abord les joyaux de la couronne :
- Les documents financiers : votre grand livre, l'historique de facturation, les registres de paie, les relevés bancaires et les déclarations fiscales. Les perdre ne bloque pas seulement les opérations ; cela peut rendre impossible la déclaration fiscale ou la survie à un audit.
- Les données clients et opérationnelles : listes de clients, contrats, fichiers de projets en cours, accords fournisseurs et grilles tarifaires.
- La configuration système : archives de courriels, contenu et bases de données du site web, configuration du point de vente et identifiants stockés dans votre gestionnaire de mots de passe (dont la sauvegarde d'urgence mérite sa propre ligne dans votre plan).
- Les documents juridiques et de conformité : actes constitutifs, licences, polices d'assurance et dossiers des employés.
Écrivez la liste, notez où chaque élément se trouve aujourd'hui et classez par ordre de douleur qu'entraînerait sa perte. Ce classement oriente tout le reste : la fréquence des sauvegardes, la durée de rétention et la rapidité avec laquelle chaque catégorie doit être remise en ligne.
La règle 3-2-1, décodée
La règle 3-2-1 est la base recommandée par la CISA, et chaque chiffre existe parce qu'un mode de défaillance spécifique a tué des entreprises qui l'avaient ignoré :
3 — Conservez trois copies des fichiers importants. L'une est votre copie de travail active. Les deux autres sont des sauvegardes. Deux sauvegardes semblent redondantes jusqu'au jour où votre disque principal tombe en panne la même semaine où votre unique disque de sauvegarde meurt de vieillesse. Les défaillances indépendantes surviennent ensemble plus souvent que l'intuition ne le suggère, surtout avec du matériel acheté en même temps.
2 — Utilisez deux types de supports de stockage différents. Par exemple, un disque dur externe plus du stockage cloud, ou un dispositif de stockage en réseau (NAS) plus du cloud. Les différents supports échouent différemment : une surtension peut tuer tous les disques tournants du bureau, mais elle ne peut pas atteindre une copie cloud hors site. Une panne d'un fournisseur cloud ne peut pas atteindre le disque dans votre tiroir. La diversité des supports protège contre les défaillances corrélées.
1 — Conservez une copie hors site, à l'écart de votre local professionnel. Un incendie, une inondation, un cambriolage, et même une fuite d'eau au-dessus du placard du serveur ne se soucient pas du nombre de copies si elles se trouvent toutes dans le même bâtiment. La sauvegarde cloud est la copie hors site la plus simple pour la plupart des petites entreprises ; un disque externe alterné stocké à un second emplacement fonctionne aussi.
Choisissez une solution qui s'exécute automatiquement selon un calendrier. Les sauvegardes manuelles échouent comme les résolutions de la salle de sport — fidèlement pendant les deux premières semaines, puis plus jamais. Des sauvegardes quotidiennes automatiques des données critiques, avec des images système complètes hebdomadaires si vous pouvez vous le permettre en stockage, constituent un paramètre par défaut raisonnable pour une petite structure.
La mise à niveau de l'ère des ransomwares : 3-2-1-1-0
La règle classique est antérieure aux ransomwares qui ciblent spécifiquement les sauvegardes. Deux ajouts comblent l'écart :
Le 1 supplémentaire — une copie immuable ou isolée (air-gapped). Immuable signifie à écriture unique : la sauvegarde ne peut être altérée ni supprimée pendant une fenêtre de rétention, même par un compte administrateur. Air-gapped signifie physiquement ou logiquement déconnectée de votre réseau — un disque débranché après chaque sauvegarde, un support à bande, ou un stockage cloud avec verrouillage d'objet activé et des identifiants séparés. Les recommandations de la CISA sur les ransomwares sont explicites sur ce point : maintenez des sauvegardes hors ligne, gardez-les chiffrées et rendez-les immuables. Les données de Sophos montrent pourquoi : les organisations dont les sauvegardes étaient compromises ont récupéré bien plus lentement que celles dont les copies étaient intactes. Si votre console de sauvegarde se connecte avec les mêmes identifiants que tout le reste, supposez que l'attaquant la contrôle aussi — isolez les identifiants de sauvegarde avec leur propre mot de passe robuste et l'authentification multifacteur.
Le 0 — zéro erreur lors de la vérification de restauration. Une sauvegarde jamais restaurée est une hypothèse, pas une protection. Archives corrompues, clés de chiffrement manquantes, sauvegardes du mauvais dossier, identifiants cloud expirés — chacune de ces situations n'est systématiquement découverte qu'au moment du besoin. Zéro signifie que chaque sauvegarde planifiée se termine proprement et que chaque test de restauration planifié réussit, avec les résultats consignés.
RPO et RTO en langage clair
Deux termes de planification apparaissent dans tout guide de sauvegarde sérieux, y compris celui de la CISA. Ils sont plus simples qu'ils n'en ont l'air :
- Objectif de point de reprise (RPO) — la quantité de données que vous pouvez vous permettre de perdre, mesurée en temps. Si vous sauvegardez chaque nuit, votre RPO est d'environ 24 heures : une panne le vendredi après-midi vous coûte le travail du vendredi. Si perdre une journée entière de factures et de commandes est inacceptable, vous avez besoin de sauvegardes plus fréquentes. Faites correspondre la fréquence des sauvegardes à la vitesse à laquelle chaque catégorie de données change.
- Objectif de temps de reprise (RTO) — la rapidité avec laquelle vous devez être de nouveau opérationnel. L'entreprise peut-elle survivre à trois jours de contournements manuels pendant la reconstruction des systèmes, ou le point de vente et les courriels doivent-ils fonctionner dans les quatre heures ? Votre RTO détermine si un plan bon marché de type « tout télécharger depuis le cloud pendant le week-end » suffit ou si vous avez besoin de copies locales et d'une procédure éprouvée.
Fixez ces deux chiffres par catégorie de données à partir de votre inventaire, plutôt qu'une politique unique et générale. Les documents financiers peuvent justifier un RPO de 24 heures et un RTO le jour même ; les ressources marketing archivées peuvent tolérer des cibles bien plus souples. Révisez les chiffres chaque année — les tests de récupération planifiés sont le moment que recommande la CISA pour les affiner.
Le test de restauration que la plupart des propriétaires ne font jamais
C'est l'élément à plus fort effet de levier de toute la discipline de sauvegarde, et celui que presque personne ne fait. La CISA conseille de tester votre procédure de sauvegarde afin que votre équipe puisse restaurer les données à la fois intégralement et partiellement, et puisse revenir en arrière d'au moins sept jours — car les ransomwares rôdent souvent sans être détectés pendant des jours, chiffrant discrètement des fichiers qui sont ensuite sauvegardés par-dessus les bonnes copies. Restaurer la sauvegarde de la veille de fichiers déjà chiffrés ne récupère rien.
Un exercice mensuel pratique pour une petite entreprise :
- Choisissez une cible de test — un seul dossier de fichiers réels, jamais le système en production. Restaurez-le vers un emplacement distinct.
- Vérifiez le contenu — ouvrez les fichiers. Confirmez qu'ils sont intacts, à jour à la date de la sauvegarde et lisibles sans devoir chercher un mot de passe oublié ou une clé de déchiffrement.
- Chronométrez le processus — notez combien de temps prend une restauration partielle et extrapolez vers une restauration complète. Comparez à votre RTO. Si le calcul échoue, le plan échoue.
- Testez la restauration complète chaque trimestre — reconstruisez une machine complète ou un espace de travail cloud complet à partir de la sauvegarde. C'est là que surgissent les pilotes manquants, la configuration non sauvegardée et le « on a oublié l'archive de courriels ».
- Confirmez le retour en arrière de sept jours — vérifiez que les versions d'au moins une semaine existent et sont restaurables, afin qu'une infection à combustion lente ne vous laisse pas uniquement avec des copies empoisonnées.
- Documentez tout — qui a effectué le test, ce qui a été restauré, combien de temps cela a pris, ce qui a échoué. Conservez le journal là où il survivra à la catastrophe qu'il décrit.
Ensuite, formez l'équipe. Un plan de sauvegarde qui n'existe que dans la tête du propriétaire échoue le jour où celui-ci est injoignable. Écrivez les procédures — où se trouvent les sauvegardes, comment lancer une restauration, qui appeler — et assurez-vous qu'au moins une autre personne peut les exécuter.
Cinq erreurs de sauvegarde qui reviennent sans cesse
Erreur 1 : confondre synchronisation cloud et sauvegarde. Dropbox, Google Drive et OneDrive synchronisent — lorsqu'un ransomware chiffre un fichier local, la version chiffrée se synchronise vers le cloud en quelques minutes, écrasant la bonne copie. Les services de synchronisation conservent généralement un historique des versions, ce qui aide, mais une courte fenêtre de rétention combinée à une infection à combustion lente équivaut à ne plus avoir aucune version propre. La synchronisation, c'est le confort ; une sauvegarde versionnée avec une véritable politique de rétention, c'est la protection. Utilisez les deux.
Erreur 2 : laisser le disque de sauvegarde connecté. Un disque externe branché en permanence à l'ordinateur du bureau n'est pas une copie hors ligne — c'est une seconde victime. Les ransomwares énumèrent les lecteurs connectés par défaut. Alternez les disques et débranchez-les, ou utilisez un stockage cloud immuable.
Erreur 3 : sauvegarder sans chiffrement. Les sauvegardes non chiffrées sont une violation en attente d'un cambriolage ou d'un disque perdu — données clients, détails de paie et numéros fiscaux en clair. Chiffrez les sauvegardes au repos, et stockez la clé de déchiffrement séparément de la sauvegarde elle-même (une enveloppe scellée dans un coffre, ou un second gestionnaire de mots de passe avec sa propre fiche d'urgence).
Erreur 4 : sauvegarder les mauvaises choses. La découverte classique lors d'un premier test de restauration : des mois de sauvegardes fidèles de l'ancien chemin de serveur, alors que tout le monde a migré vers le nouveau lecteur partagé au printemps dernier. Auditez la portée des sauvegardes chaque fois que les systèmes changent — nouveau logiciel, nouveaux dossiers, nouveaux employés dont les ordinateurs portables détiennent la seule copie de quelque chose.
Erreur 5 : aucun plan d'accès hors ligne. La CISA le souligne spécifiquement : sachez comment accéder aux fichiers critiques sans connexion internet. Si votre seule copie propre est dans le cloud et que l'attaque a mis à bas votre réseau — ou simplement votre routeur — vous avez besoin d'une copie locale hors ligne et d'instructions de récupération imprimées pour démarrer.
Vos comptes méritent une protection de premier ordre
Les documents financiers figurent en tête de toute liste de priorités de sauvegarde pour une raison : sans eux, vous ne pouvez pas facturer, ni payer les salaires, ni déclarer vos impôts, ni prouver quoi que ce soit à un auditeur ou à un assureur. Ils changent aussi quotidiennement, ce qui signifie qu'ils nécessitent le RPO le plus court de l'établissement.
C'est là un avantage discret de tenir ses comptes en texte brut. Un grand livre en texte brut est un petit fichier qui se prête merveilleusement au versionnement : chaque changement est un diff lisible, l'état de chaque journée est à un commit de distance, et tout l'historique se synchronise vers n'importe quel dépôt hors site en quelques secondes. Chiffré, versionné, multi-copies, restaurable à n'importe quel instant — c'est l'essentiel de la discipline 3-2-1-1-0 qui découle du format lui-même, avant même de configurer un produit de sauvegarde. Quel que soit le système que vous utilisez, assurez-vous que les données comptables figurent explicitement dans la portée des sauvegardes, explicitement dans le test de restauration et explicitement dans la vérification du retour en arrière de sept jours.
Gardez vos finances organisées et récupérables
Au moment de mettre en place une véritable discipline de sauvegarde, assurez-vous que les documents financiers qui en constituent le cœur résident quelque part de transparent et durable. Beancount.io propose une comptabilité en texte brut qui vous offre une transparence et un contrôle complets sur vos données financières — versionnées, portables sur n'importe quel support de sauvegarde et trivialement restaurables à n'importe quel point de l'historique. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.
