Sauvegardes d'entreprise : la règle 3-2-1 en 20 minutes par semaine

Une petite entreprise est sauvegardée lorsqu'elle détient trois copies de tout ce dont elle a besoin pour travailler, sur deux types de stockage, avec une copie hors site et hors ligne, et lorsque quelqu'un a restauré un fichier depuis chaque copie au cours du dernier mois. C'est la règle 3-2-1 que recommande le National Cyber Security Centre (NCSC, le centre national britannique de cybersécurité) : elle coûte environ 10 £ par mois plus un disque à 90 £, et la routine tient en 20 minutes par semaine. Ce guide montre quoi copier, où le conserver et comment le tester.

La plupart des dirigeants se croient couverts parce que l'ordinateur portable se synchronise avec le cloud. La Cyber Security Breaches Survey du gouvernement, publiée en avril 2026, a constaté que 43 % des entreprises du Royaume-Uni avaient identifié une violation ou une attaque au cours de l'année précédente, 46 % parmi les petites structures, et que 74 % sauvegardent vers un service cloud. Pourtant, lorsque l'attaque par rançongiciel contre Tuckers Solicitors a chiffré 972 191 fichiers en 2020, les sauvegardes du cabinet ont été chiffrées avec eux, et l'Information Commissioner lui a infligé une amende de 98 000 £. Les sauvegardes de petite entreprise échouent de deux façons : la copie se trouve sur le même réseau que ce qu'elle copie, ou personne n'a jamais essayé de la restaurer.

Dans la suite : ce que signifie 3-2-1 et qui a inventé l'expression, la liste de ce qu'une petite entreprise doit réellement copier, les trois copies et ce que chacune coûte en octobre 2026, les durées de conservation que vos outils cloud offrent déjà, le test de restauration que la plupart des entreprises sautent, et les tâches administratives qu'un agent IA peut exécuter pour que le contrôle hebdomadaire ait lieu, que vous y pensiez ou non.

Comment nous avons jugé

1. Les recommandations officielles d'abord. Les règles viennent du guide du NCSC pour les petites organisations, publié le 9 avril 2026, et de son conseil « Offline backups in an online world », mis à jour en juillet 2026.
2. Les statistiques gouvernementales. Les chiffres sur les violations et les sauvegardes proviennent de la Cyber Security Breaches Survey 2025/26 du Department for Science, Innovation and Technology.
3. Des cas réels. Les avis de sanction de l'ICO, pas les histoires d'horreur des éditeurs.
4. Prix relevés le 24 octobre 2026 sur les pages des fournisseurs eux-mêmes, en livres lorsque le fournisseur affiche des livres.
5. Rien qu'une entreprise d'une seule personne ne puisse faire. Chaque étape fonctionne avec un ordinateur portable, un disque externe et un compte cloud grand public.

Ce que signifie la règle 3-2-1

Trois copies de vos données, sur deux types de stockage différents, avec une copie hors site. Le photographe Peter Krogh a forgé l'expression en rédigeant la première édition de The DAM Book au milieu des années 2000, et le NCSC l'énonce de la même manière : au moins trois copies, sur deux appareils, dont une hors site. La variante « 3-2-1-1-0 » de Veeam ajoute une copie hors ligne ou immuable et zéro erreur après une restauration vérifiée. Pour une petite entreprise, la version pratique est la suivante :

La synchronisation n'est pas une sauvegarde. Si un fichier est chiffré ou supprimé sur l'ordinateur portable, le dossier synchronisé copie fidèlement les dégâts. L'historique des versions du cloud vous donne une fenêtre pour annuler, mais elle est courte et elle se referme.

Ce qu'une petite entreprise doit réellement copier

Dressez la liste avant de choisir les outils. Pour la plupart des entreprises, elle est plus courte qu'on ne le craint :

• Comptabilité et impôts. Factures, reçus, exports bancaires et fichier de tenue des comptes. HMRC attend que les documents soient conservés au moins cinq ans après la date limite de déclaration du 31 janvier, si bien qu'une année perdue est un problème fiscal autant qu'administratif.
• Fiches clients. L'export du CRM, la liste des réservations, la liste de diffusion, les contrats signés et les devis.
• E-mails. Une boîte mail est un document professionnel. Google Workspace et Microsoft 365 la conservent sur leurs serveurs, mais un compte fermé ou compromis l'emporte avec lui ; exportez-la deux fois par an.
• Le site web et la boutique. La base de données, les images produits, le thème et l'identifiant du domaine. La plupart des hébergeurs font leurs propres sauvegardes, mais vérifiez pendant combien de temps.
• Photos et visuels. Les fichiers du logo, les photos avant et après, les maquettes de brochures.
• Mots de passe et clés. L'export chiffré du gestionnaire de mots de passe, les codes de récupération imprimés et les codes de secours de l'authentification à deux facteurs, rangés avec le disque local, pas sur l'ordinateur portable.

Tout ce dont vous auriez besoin pour reconstruire l'entreprise en une semaine figure sur la liste. Tout ce que vous pourriez télécharger de nouveau chez un fournisseur n'y figure pas.

Copie un : la copie de travail, et ce que la synchronisation offre vraiment

Le dossier de synchronisation cloud est déjà votre première copie, et c'est mieux que rien. Chaque grand service conserve un temps les fichiers supprimés et les anciennes versions, et connaître cette durée compte, car c'est la différence entre une annulation et une perte :

Le schéma est clair : un mois est la durée par défaut presque partout. Si un rançongiciel chiffre vos fichiers un vendredi et que vous le remarquez six semaines plus tard, le service de synchronisation a déjà oublié les bonnes versions. C'est à cela que servent les copies deux et trois.

Copie deux : le disque externe que vous débranchez

Achetez un disque dur externe de 2 To, que les comparateurs de prix affichaient autour de 85 £ à 100 £ en octobre 2026, et laissez le système d'exploitation faire le travail. Sur Mac, Time Machine est gratuit : branchez le disque et il conserve des sauvegardes horaires pendant 24 heures, quotidiennes pendant un mois et hebdomadaires jusqu'à ce que le disque soit plein ; Apple recommande un disque au moins deux fois plus grand que le stockage du Mac. Sous Windows, File History et les outils de sauvegarde intégrés remplissent la même fonction.

Ensuite, débranchez-le. Le guide du NCSC pour les petites organisations indique que le disque de sauvegarde ne doit pas rester connecté lorsqu'on ne s'en sert pas, car un rançongiciel chiffre tous les disques qu'il voit, et le cas Tuckers montre à quoi cela ressemble : le cabinet n'avait pas d'authentification multifacteur, un correctif critique a été appliqué avec cinq mois de retard, et les attaquants ont atteint les sauvegardes par le même réseau que tout le reste.

Gardez le disque ailleurs qu'à côté de l'ordinateur portable. Un tiroir de bureau protège d'une panne de l'ordinateur ; la boîte à gants ou votre domicile protège d'un cambriolage du local.

Copie trois : hors site et automatique

La troisième copie doit se faire sans vous. Deux options conviennent à une petite entreprise :

• Un service de sauvegarde. Backblaze facture 9 $ par mois ou 99 $ par an pour des données illimitées depuis un ordinateur, avec 30 jours d'historique des versions par défaut et un an gratuit si vous l'activez. Il tourne en arrière-plan et vous pouvez tester une restauration depuis le site web en deux minutes.
• Un second cloud avec une fenêtre plus large. iCloud+ à 2 To coûte 8,99 £ par mois ; Dropbox Standard conserve 180 jours de versions ; Microsoft 365 pour l'entreprise mutualise le stockage OneDrive par utilisateur. Utilisez-le pour une copie mensuelle des dossiers importants, séparée du compte de synchronisation quotidien.

Protégez la copie hors site par une vérification en deux étapes et un mot de passe qui n'est réutilisé nulle part. Le NCSC en fait la dernière étape pour une bonne raison : un compte de sauvegarde qui s'ouvre avec le même mot de passe que l'e-mail piraté n'est hors site dans aucun sens qui compte.

La réalité des rançongiciels pour les entreprises avec et sans sauvegardes

Le rapport State of Ransomware 2026 de Sophos, une enquête auprès de 2 158 organisations de 100 à 5 000 salariés menée entre janvier et mars 2026, a constaté que 56 % avaient subi un chiffrement de leurs données lors d'une attaque. Parmi elles, 66 % ont restauré depuis des sauvegardes et 48 % ont payé une rançon, avec un coût moyen de remise en état de 1,70 million de dollars et une médiane de 375 000 $. Dans l'échantillon britannique, publié en juillet 2026, la part des entreprises qui paient est passée de 54 % en 2025 à 18 % en 2026, tandis que la part de celles qui restaurent depuis des sauvegardes est passée de 39 % à 78 %. Ce sont des entreprises plus grandes que celles de la plupart des lecteurs de ce blog, mais la tendance est la leçon : les entreprises qui ont payé étaient surtout celles qui ne pouvaient pas restaurer.

Le NCSC n'encourage pas le paiement. Son conseil est le même pour une entreprise de deux personnes que pour un hôpital : conservez des sauvegardes hors ligne récentes, vérifiez que vous pouvez restaurer depuis elles, et analysez la sauvegarde avant de restaurer pour ne pas réinstaller le problème.

Le test de restauration que personne ne fait

Le rapport 2025 de Kaseya sur les sauvegardes, fondé sur plus de 3 000 professionnels de l'informatique, a constaté que 60 % pensaient pouvoir restaurer en 24 heures mais que seulement 35 % l'avaient démontré, et que seulement 15 % testent leurs sauvegardes chaque jour et 25 % chaque semaine. Une petite entreprise n'a pas besoin de tests quotidiens. Il lui faut un test mensuel qui prend dix minutes :

1. Choisissez un fichier modifié la semaine dernière. Supprimez-le de l'ordinateur portable.
2. Restaurez-le depuis le disque externe. Ouvrez-le.
3. Restaurez la version du mois dernier d'un deuxième fichier depuis la sauvegarde cloud. Ouvrez-la.
4. Notez la date et le résultat dans un journal d'une ligne.

Si l'une des étapes échoue, la sauvegarde n'a jamais été une sauvegarde. Le découvrir un mardi tranquille coûte dix minutes ; le découvrir après un vol coûte l'entreprise.

Les 20 minutes par semaine

• Lundi, 5 minutes. Branchez le disque, laissez Time Machine ou File History s'exécuter, débranchez-le quand le voyant s'arrête.
• Lundi, 5 minutes. Ouvrez le service de sauvegarde et vérifiez la date de la dernière exécution réussie et la taille. Une sauvegarde qui « tourne » depuis trois semaines est une sauvegarde qui s'est arrêtée.
• Lundi, 5 minutes. Exportez tout ce qui n'existe que dans une application web : la liste des réservations, les contacts du CRM, les commandes de la boutique. Déposez l'export dans le dossier sauvegardé.
• Premier lundi du mois, 5 minutes de plus. Le test de restauration ci-dessus, et la vérification que les codes de la vérification en deux étapes des comptes de sauvegarde sont toujours imprimés et faciles à retrouver.

Comment un agent IA vous aide à tenir la règle

Le plus dur avec 3-2-1 n'est pas la technologie. C'est de refaire la même petite chose chaque semaine pendant des années. C'est le genre de tâche qu'un agent accomplit sans s'ennuyer.

• Il lance les exports hebdomadaires. Donnez à l'agent l'accès à l'outil de réservation, au CRM et à la boutique : il récupère les exports chaque lundi dans le dossier sauvegardé et les nomme par date. Les automatisations de Jobbit s'exécutent selon un calendrier sans que vous ouvriez un ordinateur.
• Il vérifie que la sauvegarde a bien tourné. Il lit l'état du service de sauvegarde et vous indique la date de la dernière exécution réussie, en un message d'une ligne, plutôt qu'un tableau de bord que vous n'ouvrez jamais.
• Il tient le journal de restauration. Il vous rappelle le premier lundi, enregistre le résultat et signale un mois manqué.
• Il rédige le plan de reprise. Un document d'une page : où se trouve chaque copie, quel compte la restaure, qui détient les codes, dans l'ordre où vous en auriez besoin le pire jour.
• Il surveille les durées de conservation. Quand Dropbox ou Google change de politique, ou qu'un abonnement expire, il vous prévient avant que la fenêtre ne se referme.
• Il prépare la notification si le pire arrive. L'ICO attend un signalement de violation sous 72 heures ; l'agent prépare les faits au format du régulateur pendant que vous gérez l'entreprise.

ChatGPT, Claude, Gemini, Microsoft Copilot, Manus et Muse de Meta expliqueront tous les sauvegardes et rédigeront une liste de contrôle. Ce qu'ils ne font pas, c'est exécuter la routine du lundi pendant un an. Un agent Jobbit suit le calendrier, tient le journal et, lorsque la tâche demande des mains, fait appel à une personne vérifiée du réseau pour installer le disque ou récupérer la boutique.

Votre première semaine

• Jour 1 : dressez la liste. Les six catégories ci-dessus, avec le dossier ou l'application où se trouve chacune.
• Jour 2 : commandez le disque. 2 To, d'une marque connue, et une enveloppe étiquetée pour les codes de récupération.
• Jour 3 : activez la copie hors site. Un service de sauvegarde ou un second compte cloud, vérification en deux étapes activée, mot de passe dans le gestionnaire.
• Jour 4 : première sauvegarde locale. Laissez-la se terminer, débranchez, rangez.
• Jour 5 : premier test de restauration. Un fichier depuis chaque copie, consigné.
• Jour 7 : programmez le rappel du lundi, ou confiez la routine à l'agent.

À lire ensuite

• Best Password & Privacy Tools in 2026 (1Password, Bitwarden, Proton & More)
• AI Scams in 2026: 9 Tricks Aimed at Small Businesses and How to Spot Each One
• 50 AI Automation Ideas for Small Businesses in 2026 (With Examples)

Questions fréquentes

Qu'est-ce que la règle de sauvegarde 3-2-1 ?

Trois copies de vos données, sur deux types de stockage différents, avec une copie conservée hors site. Le NCSC la recommande dans ces termes. Pour une petite entreprise, cela signifie la copie de travail sur l'ordinateur portable et son dossier de synchronisation, une copie hebdomadaire sur un disque externe débranché ensuite, et une copie automatique avec un service de sauvegarde cloud ou un second compte cloud.

La synchronisation cloud comme Google Drive ou OneDrive est-elle une sauvegarde ?

Seulement en partie. La synchronisation copie chaque modification, y compris une suppression ou un chiffrement : elle protège donc d'un ordinateur perdu, mais pas d'un rançongiciel ni d'une erreur que vous remarquez tard. Google Drive conserve les fichiers supprimés 30 jours et OneDrive professionnel 93 jours ; passé ce délai, ils sont perdus. Considérez la synchronisation comme la copie un et ajoutez les deux autres.

À quelle fréquence une petite entreprise doit-elle sauvegarder ?

En continu pour le dossier de synchronisation, chaque semaine pour le disque externe et automatiquement chaque jour pour le service hors site. Testez une restauration une fois par mois. L'enquête Kaseya 2025 a constaté que seulement 35 % des organisations avaient démontré pouvoir restaurer en une journée, contre 60 % qui pensaient en être capables.

Combien coûte la sauvegarde d'une petite entreprise ?

Environ 85 £ à 100 £ une fois pour un disque externe de 2 To, plus 9 $ par mois pour Backblaze ou 8,99 £ par mois pour 2 To d'iCloud+, aux prix d'octobre 2026. Le logiciel de sauvegarde du système d'exploitation, Time Machine sur Mac et File History sous Windows, est gratuit.

Dois-je payer une rançon si je n'ai pas de sauvegarde ?

Le NCSC n'encourage pas le paiement, et payer ne garantit pas que les données reviennent. Dans l'enquête britannique 2026 de Sophos, 78 % des entreprises touchées ont restauré depuis des sauvegardes et 18 % ont payé, contre 54 % l'année précédente. La copie hors ligne sur un disque débranché est l'assurance la moins chère pour n'avoir jamais à en décider.

Un agent IA peut-il gérer mes sauvegardes ?

Il peut exécuter les tâches à refaire chaque semaine : les exports depuis les applications web, la vérification que le service de sauvegarde est allé au bout, le rappel mensuel de restauration et le journal. Un agent Jobbit le fait selon un calendrier, avec 100 crédits gratuits par jour et sans carte bancaire, et fait appel à une personne vérifiée quand la tâche demande quelqu'un sur place.