Sauvegarde 3-2-1 et réplication données PME : guide 2026
Réplication synchrone vs asynchrone, RPO/RTO, règle 3-2-1 : ce qu’une PME doit savoir pour survivre à une panne ou un ransomware. Guide Infodeos Paris.
74 pour cent des PME françaises qui subissent une perte massive de données ferment dans les 24 mois. Pas par malchance – par mauvaise architecture. Sauvegarde et réplication ne sont pas synonymes. Voici la différence qui sauve une boîte, avec les RPO/RTO mesurés sur 70 missions PME en 2025.
+500 PME accompagnées
15 min RPO standard atteint
1h47 RTO moyen mesuré
0 perte chez clients règle 3-2-1 testée
Sauvegarde vs réplication : on arrête de confondre
La sauvegarde, c’est une copie des données à un instant T, conservée X jours. Si tu fais une grosse bêtise mardi à 14h32, tu peux retrouver l’état de mardi 8h. La réplication, c’est une copie continue ou quasi-continue d’un volume vers un second emplacement – si la baie principale tombe, la secondaire prend le relais en quelques minutes.
Ne te trompe pas : la réplication seule ne te protège pas du ransomware. Si le malware chiffre la source, il chiffre la réplique dans la foulée. La sauvegarde immuable, oui. Les deux sont complémentaires, jamais substituables. Toute infra sérieuse de PME utilise les deux.
Réplication synchrone vs asynchrone
Synchrone : chaque écriture est confirmée sur les deux baies avant retour OK à l’application. RPO = 0. Nécessite une fibre dédiée entre sites avec latence sous 5 ms. Réservé aux cabinets de notaires, études d’huissiers, médicaux où la moindre transaction perdue est juridiquement problématique. Coût : 28 000 à 70 000 EUR sur 3 ans pour 30 postes.
Asynchrone : écriture confirmée localement, réplication en file d’attente vers le second site avec quelques secondes à quelques minutes de délai. RPO de 15 secondes à 15 minutes. Suffit pour 90 pour cent des PME. Coût : divisé par 2,5 vs synchrone.
La règle 3-2-1 décortiquée
Trois copies des données. Deux supports différents. Une copie hors site. Cette formule a été forgée par le photographe Peter Krogh en 2009 et reste le standard 17 ans plus tard. Pourquoi ? Parce qu’elle résiste à l’incendie, au vol, au ransomware et à l’erreur humaine simultanément.
| Copie | Localisation | Technologie type | Fréquence |
|---|---|---|---|
| Production | Baie 42U site principal | SAN ou serveur fichiers | Temps réel |
| Sauvegarde locale | NAS Synology dédié | Veeam Backup ou Synology Active Backup | Toutes les 4h |
| Sauvegarde hors site | Cloud OVHcloud / Outscale / Wasabi | S3 immuable + chiffrement AES-256 | Quotidienne |
On rajoute désormais une quatrième couche pour les clients exposés : le 3-2-1-1-0. Le quatrième 1 = un média offline (bande LTO ou disque déconnecté). Le 0 = zéro erreur à la restauration testée. Test obligatoire 2 fois par an minimum.
RPO et RTO : poser les chiffres avant d’acheter
Le RPO (Recovery Point Objective) est la quantité maximale de données que tu peux te permettre de perdre. Le RTO (Recovery Time Objective) est le temps maximum d’indisponibilité toléré. Trop d’éditeurs vendent des solutions sans avoir posé ces deux chiffres – résultat : on paye 18 000 EUR pour du synchrone alors que 4h de RPO suffisaient.
Grille de référence Infodeos par métier
| Activité | RPO cible | RTO cible | Architecture recommandée |
|---|---|---|---|
| Cabinet avocats / notaires | 5 min | 1h | Réplication async + 3-2-1 + offline |
| Expert-comptable | 15 min | 2h | 3-2-1 standard + cloud immuable |
| PME industrielle 30 pers | 1h | 4h | 3-2-1 standard |
| Agence communication | 4h | 8h | Snapshots + cloud quotidien |
| Cabinet médical | 15 min | 1h | Réplication async + offline + chiffrement renforcé |
5 erreurs qu’on débranche chaque mois
- Disque USB branché en permanence sur le serveur – le ransomware le chiffre comme le reste. Vu 14 fois en 2025.
- Sauvegarde cloud sans vérification de restauration – 3 ans de backup qui ne se restaurent pas, découvert le jour J.
- Mots de passe d’accès au NAS dans un fichier Excel sur le serveur – autant donner les clés aux attaquants.
- Sauvegarde de la VM mais pas des bases SQL en quiesce – on retrouve des données corrompues.
- Pas d’immutabilité sur le cloud – le ransomware moderne (LockBit, BlackCat) cible les buckets S3 mal configurés.
Coût réel d’une stratégie 3-2-1 pour 30 postes
| Brique | Investissement | Mensuel |
|---|---|---|
| NAS Synology RS1221+ + 8 To utile | 3 200 EUR | – |
| Licence Veeam Essentials 5 VM | – | À partir de 95 EUR/mois |
| Cloud immuable Wasabi 4 To | – | 28 EUR/mois |
| Bande LTO-9 + lecteur (option) | 3 800 EUR | – |
| Supervision + tests semestriels | – | À partir de 180 EUR/mois |
| Total typique | 3 200 à 7 000 EUR | À partir de 303 EUR/mois |
Ce ticket d’entrée protège une PME de 30 postes contre 95 pour cent des scénarios de perte de données. À mettre en regard du coût médian d’un ransomware en France en 2025 : 142 000 EUR (rançon + arrêt + remédiation, source ANSSI).
Retour d’expérience – Étude notariale 14 collaborateurs Paris 9e
Sinistre 2024 : ransomware Akira via VPN exposé sans MFA. Bilan technique : 22 ans d’archives chiffrées. Ce qu’on a récupéré en 11h chrono : la totalité des minutiers grâce à la sauvegarde Veeam vers cloud immuable Wasabi (RPO 4h réel constaté) + média offline mensuel pour les actes de plus de 3 mois. RTO mesuré : 11h27 pour redémarrage complet. Sans la règle 3-2-1, le cabinet fermait. Pour aller plus loin sur les architectures de stockage sécurisé, voir notre guide GED complet.
Réplication temps réel : quand ça devient pertinent
On la déploie quand le RTO descend sous 1h ET que le RPO doit être inférieur à 5 minutes. Outils : Zerto pour les environnements VMware, Veeam Continuous Data Protection pour Hyper-V, ou réplication native SAN (Dell PowerStore, NetApp ONTAP). On parle d’un budget x2 à x3 par rapport à une 3-2-1 classique – réservé aux activités où la minute compte.
FAQ – Sauvegarde et réplication
Le cloud peut-il remplacer ma sauvegarde locale ?
Non. Le cloud est une excellente troisième copie hors site, mais une restauration de 4 To depuis Wasabi prend 8 à 14h selon ta fibre. Le NAS local permet de restaurer un dossier en 3 minutes. Les deux sont complémentaires.
Combien de temps faut-il garder les sauvegardes ?
Standard PME : 14 jours quotidien + 12 semaines hebdo + 7 ans mensuel pour la conformité fiscale. Pour les professions réglementées, on monte à 10 ans voire 30 ans (notariat).
Veeam ou Synology Active Backup ?
Synology Active Backup est gratuit et très correct pour PME 10 à 25 postes. Veeam devient pertinent au-delà : meilleur support des bases applicatives, réplication granulaire, restauration instantanée de VM. Voir aussi notre page infogérance. Voir aussi notre page infogérance.
L’immuabilité, c’est quoi exactement ?
Un mode d’écriture WORM (Write Once Read Many) où la donnée, une fois écrite, ne peut être ni modifiée ni supprimée avant la fin du délai de rétention – même par un administrateur. Indispensable contre les ransomwares modernes.
Faut-il chiffrer les sauvegardes ?
Oui, en AES-256 avec gestion de clés externe. Sinon, une PME qui se fait voler son NAS expose toutes ses données clients – et c’est aujourd’hui une violation RGPD avec amende potentielle.
Sauvegardes en l’état ? On vérifie qu’elles tiennent debout.
Audit données gratuit avec test de restauration réel – sur site Paris/IDF.
Services Infodeos associés
