La règle 3-2-1 relue à l'heure de l'immuabilité

La règle 3-2-1 est née à une époque où la menace principale s'appelait panne matérielle, erreur humaine et incendie. Elle répondait à ces trois risques par la redondance, la diversité de support et l'éloignement géographique. Depuis, le risque dominant a changé de nature : il est actif, il cherche vos sauvegardes, et il sait lire la documentation de votre logiciel de sauvegarde aussi bien que vous.

Ce que la formule disait, et pourquoi elle a tenu

Trois copies signifie la production plus deux sauvegardes, pas la production plus une. Deux supports signifie deux technologies dont les modes de défaillance ne se ressemblent pas : un lot de disques du même modèle acheté le même jour ne fait pas deux supports. Une copie hors site signifie une distance suffisante pour que le sinistre qui détruit la salle principale n'atteigne pas la seconde.

Cette économie de moyens explique sa longévité. Elle se vérifie en trois questions, elle s'explique à un dirigeant en une minute, et elle attrape la grande majorité des scénarios ordinaires. Les sinistres de centres de données survenus depuis 2021 l'ont d'ailleurs remise au premier plan chez beaucoup d'entreprises qui pensaient que le nuage dispensait d'y penser, sujet que nous avons repris sous l'angle contractuel dans notre retour sur les cinq ans qui ont suivi un sinistre de centre de données, où la question de la copie hors fournisseur revient à chaque page.

Le point que trente ans n'avaient pas prévu

Dans une intrusion par rançongiciel conduite proprement, la sauvegarde n'est pas une victime collatérale : c'est un objectif prioritaire, traité avant le chiffrement des postes. L'attaquant qui dispose d'un compte d'administration du domaine trouve la console de sauvegarde, désactive les tâches, réduit les durées de rétention à un jour, puis attend le cycle suivant. Aucune alerte ne se déclenche, parce que rien n'a échoué : les travaux se sont exécutés exactement comme on le leur a demandé.

Le résultat est que les trois copies existent toujours, sur deux supports, dont une hors site, et qu'aucune ne contient plus rien d'utile. La règle est respectée à la lettre et elle ne protège rien. Nous avons détaillé cette chronologie dans l'analyse consacrée aux sauvegardes prises pour cible en premier, parce que c'est l'ordre des opérations, et non l'outil de chiffrement, qui décide de l'issue.

L'immuabilité, concrètement

Rendre une copie immuable consiste à empêcher sa modification et sa suppression pendant une durée fixée, y compris par le compte qui l'a écrite. Trois familles de mécanismes coexistent aujourd'hui, avec des garanties très différentes.

Le verrouillage objet est le plus simple à mettre en place et le plus facile à mal configurer : un mode de gouvernance laisse un privilège de contournement à certains comptes, alors qu'un mode de conformité interdit le contournement à tout le monde, y compris à vous, le jour où vous voudrez récupérer de la place. Le choix se fait donc avec la durée de rétention en main, pas après.

Quant au support hors ligne, il conserve un avantage qu'aucun logiciel ne reproduit : un câble débranché ne s'administre pas à distance. C'est la raison pour laquelle la bande n'a pas disparu, comme nous l'écrivions dans notre point sur le rôle actuel de la bande magnétique, où le calcul du coût au téraoctet arrive largement après cet argument.

Ce que l'immuabilité ne fait pas

Elle ne garantit pas que la donnée écrite était saine. Une base corrompue depuis trois semaines et sauvegardée fidèlement chaque nuit produit un dépôt immuable de copies inutilisables. Elle ne raccourcit pas non plus le temps de remontée : verrouiller quarante téraoctets ne les fait pas revenir plus vite sur un lien à un gigabit par seconde. Enfin, elle ne dit rien de l'ordre de redémarrage des dépendances, qui reste la première cause de dépassement des délais annoncés.

Ces trois angles morts se traitent au même endroit : le test de restauration. Chronométré, documenté, rejoué par quelqu'un qui n'a pas écrit la procédure, il est le seul moment où l'on apprend quelque chose de vrai sur sa sauvegarde. C'est l'objet du rituel trimestriel de test de restauration, et c'est aussi là que les objectifs de reprise discutés avec les métiers cessent d'être des chiffres de réunion, comme nous l'avons montré en chiffrant RPO et RTO avec les directions concernées.

Une version de travail

La formulation qui circule aujourd'hui ajoute deux chiffres à la règle d'origine, et l'ordre a son importance.

1. Trois copies au total, production comprise.
2. Deux types de supports dont les défaillances ne se ressemblent pas.
3. Une copie hors site, sur un site que le sinistre principal n'atteint pas.
4. Une copie immuable ou hors ligne, hors d'atteinte du compte d'administration de la sauvegarde.
5. Zéro erreur au dernier test de restauration, avec la date de ce test consignée.

Le dernier point est le seul qui se vérifie sans discussion possible. Une infrastructure qui ne peut pas produire la date de sa dernière restauration réussie n'a pas de sauvegarde : elle a des fichiers.