Sauvegarde immuable et règle 3-2-1-1-0 : le guide pratique anti-ransomware pour les TPE à Digne (04)

En 2026, les ransomwares ne ratent plus les petites entreprises

Pendant longtemps, les TPE pensaient être trop petites pour intéresser les hackers. Cette époque est révolue. Les groupes de ransomware ont automatisé leurs attaques : ils scannent internet en permanence, cherchent des accès non sécurisés (VPN non mis à jour, bureau à distance exposé, mot de passe faible) et frappent sans discriminer.

En France, plus de 60 % des victimes de ransomware sont des entreprises de moins de 50 salariés. Le coût moyen d'un incident — rançon, arrêt d'activité, reconstruction, pertes clients — dépasse 50 000 € pour une PME. Pour une TPE de Digne-les-Bains qui tourne avec 3 ou 4 postes, c'est souvent la fermeture définitive.

La seule vraie protection : une sauvegarde que l'attaquant ne peut pas détruire. C'est exactement l'objet de la règle 3-2-1-1-0.

La règle 3-2-1 : le point de départ (mais plus suffisant)

Si vous avez déjà lu notre article sur la règle 3-2-1 pour les TPE/PME, vous connaissez les bases :

• 3 copies de vos données
• sur 2 supports de nature différente (disque local + NAS, ou NAS + cloud)
• dont 1 copie hors site (cloud ou disque stocké dans un autre lieu)

C'est un excellent point de départ — et beaucoup de TPE n'en sont même pas là. Mais face aux ransomwares modernes, cette règle comporte une faille critique.

Pourquoi la règle 3-2-1 ne protège plus vraiment contre les ransomwares

Les ransomwares de 2024-2026 ne se contentent plus de chiffrer le poste infecté. Ils se propagent sur le réseau, cherchent les partages de fichiers, les NAS accessibles, et les comptes cloud synchronisés. En quelques heures :

• Le NAS connecté au réseau local est chiffré via les partages SMB.
• OneDrive ou Google Drive synchronisent les fichiers chiffrés vers le cloud en quelques minutes.
• Les snapshots récents sont supprimés si le ransomware obtient les identifiants d'administration.

Résultat : vous avez bien 3 copies — toutes chiffrées. La règle 3-2-1 classique supposait que la sauvegarde était inaccessible à l'attaquant. Ce n'est plus une hypothèse valide. D'où la nécessité du standard 3-2-1-1-0.

La règle 3-2-1-1-0 : ce que chaque chiffre signifie vraiment

Le standard 3-2-1-1-0 ajoute deux exigences supplémentaires à la règle classique. Voici ce que chaque chiffre signifie concrètement pour votre TPE.

Le "3" : trois copies indépendantes de vos données

La production plus deux sauvegardes distinctes. Pas deux copies sur le même disque, pas deux sauvegardes dans le même outil avec le même compte. Trois copies réellement indépendantes — si une est compromise, les deux autres restent intactes.

Le "2" : deux supports de nature différente

Par exemple : NAS local + cloud, ou disque interne + bande magnétique, ou serveur local + stockage objet distant. La clé : si un type de support tombe en panne (défaillance matérielle, incendie, inondation), l'autre n'est pas affecté par la même cause.

Le premier "1" : une copie physiquement hors site

Une copie distante de vos locaux. Cloud souverain, serveur dans un autre bâtiment, disque stocké à votre domicile ou chez un partenaire. Si vos bureaux sont touchés (dégât des eaux, vol, incendie), cette copie survit.

Le second "1" : une copie immuable — le cœur du dispositif anti-ransomware

C'est le chiffre qui change tout. Une sauvegarde immuable est une sauvegarde que personne ne peut modifier, supprimer ni chiffrer — même avec les droits administrateur. Elle est verrouillée en lecture seule pour une durée définie (7 jours, 30 jours, 90 jours). Le ransomware peut tenter d'y accéder : il ne peut pas l'altérer.

Le "0" : zéro erreur de restauration non vérifiée

Ce chiffre est souvent oublié — et c'est pourtant le plus important. Une sauvegarde que vous n'avez jamais testée n'est pas une sauvegarde : c'est un espoir. Le "0" exige que chaque sauvegarde soit vérifiée régulièrement par un test de restauration réel, documenté.

La sauvegarde immuable : comment ça fonctionne techniquement

La technologie derrière la sauvegarde immuable s'appelle le WORM (Write Once, Read Many — écriture unique, lecture multiple). Le principe est simple :

• Une fois la sauvegarde écrite, elle est verrouillée pour une période définie au moment de l'écriture.
• Aucun processus, aucun utilisateur, aucun script — pas même un compte administrateur compromis — ne peut la modifier ou la supprimer pendant cette période.
• À l'expiration du verrou, la politique de rétention prend le relai (suppression automatique ou renouvellement du verrou).

Cette fonctionnalité est disponible dans plusieurs solutions adaptées aux budgets des TPE/PME :

• NAS Synology avec Immutable Snapshots (DSM 7.2+, modèles compatibles Btrfs) : snapshots bloqués côté système de fichiers.
• Veeam Backup & Replication avec un référentiel immuable Linux (Hardened Repository) : immuabilité native sans surcoût de licence.
• Acronis Cyber Protect : sauvegarde cloud avec immuabilité intégrée, pilotable depuis une console centralisée.
• Stockage objet S3 avec Object Lock : AWS S3, Backblaze B2, OVHcloud Object Storage, Scaleway — tous supportent le verrouillage d'objets.

La sauvegarde air-gapped : l'autre façon de créer ce "1" immuable

L'air-gap (isolation physique) est une approche complémentaire ou alternative. L'idée : une sauvegarde physiquement déconnectée du réseau ne peut pas être atteinte par un ransomware — simplement parce qu'elle est hors ligne au moment de l'attaque.

Concrètement pour une TPE :

• Disque dur externe en rotation : branché uniquement pendant la sauvegarde nocturne, débranché et emporté hors bureau le reste du temps (domicile du dirigeant, coffre chez un partenaire). Simple, efficace, économique.
• Bande magnétique LTO : solution entreprise plus coûteuse à l'achat mais extrêmement fiable sur 10+ ans. Une bande débranchée est inattaquable par définition.
• NAS avec extinction automatique post-sauvegarde : certains NAS permettent de couper l'alimentation automatiquement après la sauvegarde nocturne via un planificateur d'alimentation.

Pour une structure à Digne-les-Bains avec 3 à 10 postes, un NAS avec snapshots immuables couplé à un disque externe en rotation hebdomadaire répond déjà à la règle 3-2-1-1-0 pour un investissement raisonnable.

Ce que coûte réellement un ransomware sans sauvegarde immuable

Voici des ordres de grandeur observés pour des TPE françaises, pour donner une idée concrète du risque financier :

• Rançon demandée : de 3 000 € à 50 000 € selon le profil de la cible (secteur, chiffre d'affaires estimé, visibilité).
• Payer ne garantit rien : seulement 57 % des entreprises qui paient récupèrent réellement leurs données selon le rapport Sophos 2024. Et payer finance les prochaines attaques.
• Arrêt d'activité : pour une TPE traitant une dizaine de commandes par jour, 5 jours d'arrêt représente 5 à 15 k€ de chiffre d'affaires perdu — sans compter les pénalités contractuelles.
• Reconstruction du système informatique : réinstallation complète des postes, serveur, logiciels, paramétrages — comptez 1 500 € à 5 000 € de main-d'œuvre selon la taille et la complexité.
• Avec une sauvegarde immuable valide : le coût se limite à la restauration et au nettoyage — quelques heures à quelques jours, sans rançon, sans reconstruction partielle.

Pour aller plus loin sur l'ensemble des mesures de protection, consultez notre guide complet sur les 9 mesures anti-ransomware pour les TPE à Digne.

Tester ses sauvegardes : le "0" que tout le monde oublie

Le dernier chiffre de la règle est le plus sacrifié dans les faits. Voici un constat que nous faisons régulièrement lors de nos interventions à Digne-les-Bains et dans le 04 : la sauvegarde tourne depuis 18 mois, personne ne l'a jamais testée. Le jour du sinistre, on découvre que l'espace disque était saturé depuis 6 mois et que les derniers fichiers sauvegardés datent du printemps.

Pour atteindre le "0" de manière concrète :

• Test mensuel de restauration de fichier : restaurez un fichier réel — une facture récente, un devis client — depuis votre sauvegarde. Vérifiez qu'il s'ouvre correctement et que les données sont intègres.
• Test trimestriel de restauration complète : sur une machine de test ou une VM, restaurez un poste ou un serveur complet. Chronométrez. Vous saurez ainsi combien de temps il vous faut réellement pour reprendre votre activité.
• Alertes automatiques en cas d'échec : configurez des notifications mail ou SMS si la sauvegarde échoue ou est incomplète. Sans alerte, vous n'apprenez l'échec qu'au moment où vous en avez le plus besoin.
• Journal des vérifications : conservez un registre daté des tests effectués. En cas d'incident RGPD, ce document démontre votre diligence raisonnable.

Solutions concrètes pour une TPE à Digne-les-Bains en 2026

Trois niveaux de mise en œuvre selon votre budget et la taille de votre structure :

Niveau 1 — Starter (1 à 3 postes, budget < 500 €/an)

• Sauvegarde locale automatique vers un NAS d'entrée de gamme (ex. Synology DS223j, environ 250 €).
• Sauvegarde cloud quotidienne vers Backblaze B2 ou OVHcloud Object Storage avec Object Lock activé (environ 5 à 10 €/mois pour 200 à 500 Go).
• Un disque externe en rotation hebdomadaire, emporté hors des locaux — ce disque joue le rôle de la copie immuable air-gapped.

Niveau 2 — Standard (3 à 10 postes, budget 100 à 300 €/mois)

• NAS Synology compatible Btrfs avec Immutable Snapshots activés et Hyper Backup vers un cloud souverain français.
• Solution Veeam ou Acronis avec référentiel immuable cloud inclus dans la licence.
• Tests de restauration mensuels pilotés par votre prestataire avec rapport écrit.

Niveau 3 — Complet (10 postes et plus, ou données critiques)

• Infrastructure Veeam Backup & Replication avec Hardened Repository Linux (immuabilité native sans surcoût de licence).
• Réplication vers un cloud souverain français (OVHcloud, Scaleway, Infomaniak).
• PRA documenté, testé chaque trimestre — voir notre article sur le PRA/PCA minimal pour dirigeant pour poser les bases.

Par où commencer si votre stratégie de sauvegarde actuelle est insuffisante

Pas de panique si votre dispositif actuel se résume à "on copie les fichiers sur un disque externe de temps en temps". C'est une situation que nous rencontrons souvent lors de nos audits informatiques à Digne et dans les Alpes-de-Haute-Provence. Voici quatre étapes concrètes pour progresser rapidement :

1. Inventoriez vos données critiques. Quels fichiers, si vous les perdiez demain, mettent votre activité en péril ? Base clients, comptabilité, devis, stocks, contrats ? Ce sont eux à protéger en priorité.
2. Mettez en place une sauvegarde cloud automatique cette semaine. Même imparfaite, une sauvegarde quotidienne automatique vaut infiniment mieux que la meilleure sauvegarde manuelle qu'on ne fait jamais. Acronis, Veeam Agent, ou même Duplicati (gratuit) font le travail pour commencer.
3. Ajoutez l'immuabilité au prochain trimestre. Activez l'Object Lock sur votre stockage cloud ou passez à un NAS compatible avec les snapshots immuables. C'est souvent une option à activer, pas un remplacement complet du système existant.
4. Testez une restauration dans les 30 prochains jours. C'est l'étape que tout le monde reporte. Planifiez-la dans votre agenda maintenant — une heure suffit pour un test de fichier basique.

Si vous préférez déléguer cette responsabilité, notre service de maintenance et infogérance pour TPE à Digne inclut la supervision des sauvegardes, les vérifications mensuelles et les alertes automatiques en cas d'anomalie.

FAQ — Sauvegarde immuable et règle 3-2-1-1-0

Un NAS Synology suffit-il pour avoir une vraie sauvegarde immuable ?

Un NAS Synology compatible Btrfs avec DSM 7.2+ peut créer des snapshots immuables — mais avec une réserve importante : si le ransomware compromet le compte administrateur Synology (via l'interface web exposée, par exemple), il peut potentiellement supprimer les snapshots depuis l'interface DSM. La vraie immuabilité robuste nécessite soit un Hardened Repository Linux (serveur dédié avec accès SSH restreint), soit un stockage cloud avec Object Lock géré depuis un compte séparé sans accès depuis le réseau local. Nous configurons ces architectures pour les entreprises du 04 selon leur niveau de risque.

Peut-on utiliser OneDrive ou Google Drive comme copie immuable ?

Non. OneDrive et Google Drive synchronisent les fichiers en temps réel : si vos fichiers sont chiffrés par un ransomware, la synchronisation propage le chiffrement vers le cloud en quelques minutes. Ces outils disposent d'un historique de versions (30 jours sur Microsoft 365 Business, 30 à 180 jours sur Google Workspace) qui peut parfois aider à récupérer des versions antérieures, mais ce n'est pas une sauvegarde immuable. Complétez toujours avec une solution de sauvegarde dédiée et une vraie politique de rétention.

Quelle durée de rétention faut-il appliquer à la copie immuable ?

Le minimum recommandé est 30 jours. Pourquoi ? Parce que certains ransomwares restent dormants plusieurs semaines avant de se déclencher (on parle de "dwell time"). Si votre rétention immuable est de 7 jours, toutes vos sauvegardes peuvent être déjà contaminées avant même que vous ayez détecté l'intrusion. Pour des données comptables ou contractuelles, une rétention d'un an ou plus peut être imposée par des obligations légales (RGPD, droit commercial).

La règle 3-2-1-1-0 est-elle trop complexe pour un dirigeant qui gère tout seul son informatique ?

Non, à condition de l'adapter à votre taille. Pour un dirigeant seul ou avec un ou deux salariés à Digne-les-Bains, le minimum viable consiste en : une sauvegarde automatique vers un cloud avec Object Lock (5 €/mois) + un disque externe débranché et emporté chez soi une fois par semaine + un test de restauration d'un fichier chaque mois. Trois actions simples qui couvrent l'essentiel de la règle. Le reste — NAS immuable, PRA documenté, tests complets — vient ensuite, progressivement.