En bref : La cybersécurité d’une PME en 2026 repose sur sept piliers : authentification forte (2FA/passkey obligatoires pour tous), logiciels à jour (correctifs mensuels, remplacement des versions en fin de vie), protection des endpoints (EDR au lieu d’un antivirus classique), sécurité e-mail anti-phishing, sauvegardes chiffrées et immuables (3-2-1), formation des employés et plan de réponse aux incidents prêt. La combinaison de ces mesures réduit la probabilité d’une attaque réussie de 90 %+ pour un investissement de 8 000 à 25 000 EUR par an — une fraction du coût d’un seul incident ransomware.

Une cyberattaque est en 2026 la crise opérationnelle la plus probable qu’une entreprise traversera. Les statistiques de l’ANSSI et des CERT nationaux montrent que chaque troisième PME de taille moyenne en Europe a enregistré en 2025 un incident de sécurité grave, et 12 % d’entre elles ont subi une perte financière supérieure à 50 000 EUR. Une grande partie de ces incidents était entièrement préventable par des mesures standard pour une fraction du coût des dommages.

Cet article pilier guide le chef d’entreprise et le responsable IT à travers tout le spectre de la cyberdéfense — des concepts de base (virus, malware, phishing, ransomware) aux mesures techniques concrètes (2FA, SSL, VPN, EDR, sauvegardes) jusqu’aux aspects processuels (formation, réponse aux incidents, notification réglementaire). Pas de théorie abstraite, mais des étapes concrètes qui fonctionnent réellement dans une PME.

Pour le contexte réglementaire plus large, voir le pilier Sécurité et conformité dans les ERP cloud 2026, qui se concentre sur ISO 27001, RGPD, NIS2 et DORA.

Le paysage des menaces en 2026 : ce qui a changé

Les cybermenaces pour les PME ont qualitativement évolué ces trois dernières années. Avant la pandémie, 80 % des attaques étaient opportunistes — scans automatisés de vulnérabilités, campagnes de phishing de masse sans ciblage. Aujourd’hui, le tableau est différent :

  1. Groupes ransomware ciblés (LockBit, BlackCat, Cl0p) ciblent systématiquement les entreprises moyennes dans l’UE avec un CA de 10 à 100 millions d’EUR.
  2. Campagnes de phishing générées par IA peuvent imiter le style de l’entreprise, le langage d’un manager spécifique et adapter l’attaque au contexte — les fautes de grammaire et les URL suspects appartiennent au passé.
  3. Attaques de la chaîne d’approvisionnement ciblant les fournisseurs IT affectent également les entreprises qui ne sont pas elles-mêmes des cibles intéressantes.
  4. Menaces internes augmentent avec le télétravail et la rotation plus fréquente — un ancien employé avec des comptes actifs est un vrai problème en 2026.
  5. Pression réglementaire (NIS2, DORA, RGPD) augmente le coût des défaillances — aux dommages s’ajoutent des amendes et des obligations légales de notification.

Pour le chef d’entreprise, cela signifie que l’hygiène cybernétique n’est plus optionnelle — c’est un minimum opérationnel comparable à la prévention incendie ou à la sécurité au travail.

Glossaire des menaces : qui est qui

Dans les médias, les termes virus, malware, ransomware et phishing sont souvent utilisés de manière interchangeable, mais ils représentent techniquement des classes de menaces différentes avec des défenses différentes.

Malware (terme générique)

Le malware (malicious software) est le terme générique pour tout code malveillant. Sous ce terme :

  • Virus — programme qui se propage en s’attachant à d’autres fichiers et nécessite une action de l’utilisateur (ouverture). Le virus PC classique des années 90 est aujourd’hui un phénomène marginal.
  • Ver (worm) — se propage de lui-même, ne nécessite pas de fichier hôte. Se propage via des vulnérabilités réseau. Exemple : WannaCry (2017).
  • Trojan — déguisé en logiciel légitime. Après exécution, effectue une action malveillante. La voie d’entrée la plus courante dans les entreprises.
  • Ransomware — type spécial de malware qui chiffre les fichiers et demande une rançon pour la clé de déchiffrement. Menace dominante en 2026.
  • Spyware — collecte des données sur l’utilisateur (clés d’autres comptes, documents confidentiels).
  • Rootkit — cache sa présence à un niveau profond de l’OS, persiste souvent après la réinstallation.
  • Keylogger — enregistre les frappes au clavier, notamment les mots de passe et les données de cartes bancaires.

Un aperçu plus complet est disponible dans l’article Virus et malware en entreprise : comment se défendre.

Phishing et ingénierie sociale

Le phishing est une tentative d’obtenir des données (typiquement des identifiants) via un message frauduleux — e-mail, SMS (smishing), appel téléphonique (vishing), ou même via les réseaux sociaux. L’attaquant imite une entité de confiance (banque, support IT, directeur de l’entreprise).

Variantes avancées :

  • Spear phishing — phishing ciblé sur une personne spécifique avec un contenu personnalisé.
  • Whaling — phishing visant la direction (PDG, DAF).
  • Business E-mail Compromise (BEC) — l’attaquant imite l’e-mail d’un manager et demande à la comptable de virer de l’argent. La perte moyenne d’une attaque BEC en Europe en 2025 était de 45 000 EUR.

Attaques d’infrastructure

  • DDoS (Distributed Denial of Service) — surcharge d’un site web/service avec du trafic fictif. Pour une entreprise utilisant un ERP B2B, ce n’est généralement pas la menace principale (contrairement aux e-commerces).
  • Man-in-the-middle (MitM) — interception de la communication réseau. Risque principal sur les réseaux Wi-Fi publics et les canaux mal chiffrés.
  • Brute force / credential stuffing — devinage automatisé de mots de passe ou test de combinaisons nom+mot de passe ayant fuité d’autres services.

Menaces internes

  • Menace interne malveillante — un employé mécontent avec des accès cause intentionnellement des dommages (vol de données, sabotage).
  • Menace interne négligente — violation involontaire (envoi d’un document sensible à la mauvaise adresse, mot de passe faible, clic sur du phishing).

Selon les statistiques de l’ENISA, 40 % des incidents de sécurité impliquent une composante interne, majoritairement négligente.

Les sept piliers de la cyberdéfense de l’entreprise

Aucune technologie unique ne suffit. Une entreprise résiliente construit sur sept couches, chacune traitant une menace différente.

Pilier 1 : Identité et authentification

La cause la plus fréquente d’une attaque réussie en 2026 n’est pas un hack sophistiqué, mais un mot de passe compromis. Défenses :

  • Gestionnaire de mots de passe pour toute l’entreprise (1Password, Bitwarden, Dashlane). Génère des mots de passe uniques de 20+ caractères, élimine la réutilisation.
  • 2FA / MFA obligatoire pour tous les utilisateurs, idéalement passkey/WebAuthn pour les comptes critiques (admin, finance, RH).
  • Single Sign-On (SSO) via Azure AD, Google Workspace ou Okta — un seul point de connexion, un seul journal d’audit, désactivation rapide d’un employé partant.
  • Principe du moindre privilège — l’utilisateur n’a que les droits dont il a réellement besoin.
  • Révision régulière des accès (1× par trimestre) — qui a quel accès, en a-t-il encore besoin ?

Un guide détaillé sur l’implémentation 2FA est disponible dans l’article Authentification à deux facteurs (2FA) : pourquoi et comment la déployer.

Pilier 2 : Mises à jour et gestion des correctifs

70 % des attaques réussies en 2025 ont exploité des vulnérabilités pour lesquelles un correctif était disponible depuis plus de 30 jours. Une gestion disciplinée des correctifs élimine la plupart de celles-ci.

  • Systèmes d’exploitation — mises à jour automatiques, cycle mensuel pour Windows, continu pour macOS/Linux.
  • Applications — notamment les navigateurs (Chrome, Edge, Firefox), suites Office, lecteurs PDF, runtimes Java/Adobe.
  • Équipements réseau — pare-feu, routeurs, passerelles VPN. Souvent oubliés, souvent ciblés.
  • Logiciels spécialisés — ERP, CRM, serveur e-mail, serveur web. Cycle de contrôle mensuel.
  • Logiciels en fin de vie (EOL) — Windows 7, Windows Server 2012, anciennes versions PHP/Node. Sans exception à remplacer — pas de correctifs, vecteur d’attaque complet.

Les solutions SaaS cloud (dont Modulario) éliminent cette tâche pour l’entreprise — le fournisseur corrige l’infrastructure et l’application en continu.

Pilier 3 : Protection des endpoints (EDR)

Un antivirus classique de 2010 est insuffisant en 2026. Les endpoints modernes nécessitent un EDR (Endpoint Detection and Response) — monitoring continu du comportement, détection des anomalies, réponse automatique.

Différence :

AspectAntivirus (basé sur les signatures)EDR (basé sur le comportement)
Détection d’une menace connueOuiOui
Détection d’une menace inconnue (zero-day)LimitéOui (heuristique, ML)
Données forensiques après une attaqueMinimalesComplètes (timeline complet)
Isolation distante de l’endpointNonOui (1 clic)
Coût (annuel, par poste)30 à 60 EUR60 à 180 EUR

Fournisseurs recommandés pour les PME européennes : Microsoft Defender for Endpoint (souvent inclus dans M365), CrowdStrike, SentinelOne, ESET PROTECT.

Pilier 4 : Sécurité e-mail

90 % des attaques ciblées commencent par e-mail. Sans une bonne sécurité e-mail, tout le reste est compromis.

Couches :

  • SPF, DKIM, DMARC — authentification de l’expéditeur, élimine l’usurpation de votre domaine.
  • Moteur anti-phishing — analyse du contenu, des URL, des pièces jointes. Microsoft Defender for Office 365, Google Workspace Security, Proofpoint, Mimecast.
  • Sandbox pour les pièces jointes — les pièces jointes dangereuses sont ouvertes dans un environnement isolé avant livraison.
  • Réécriture des URL — les clics dans les e-mails passent par un proxy de sécurité qui vérifie la destination en temps réel.
  • Bannière pour les e-mails externes — signalisation visuelle des e-mails provenant de l’extérieur de l’entreprise.

Pilier 5 : Sauvegardes et récupérabilité

La sauvegarde est la dernière défense contre le ransomware. Sans sauvegardes fonctionnelles, immuables et testées, le ransomware signifie la fin de l’activité.

Règle 3-2-1-1-0 :

  • 3 copies des données (1 production + 2 sauvegardes)
  • 2 médias / fournisseurs différents
  • 1 hors site (géographiquement séparé)
  • 1 hors ligne ou immuable (S3 Object Lock, bande air-gapped)
  • 0 erreur lors du test de récupération (effectuer minimum 1× par an)

Pour un ERP cloud, la sauvegarde primaire est sous la responsabilité du fournisseur, mais l’entreprise doit avoir sa propre sauvegarde indépendante — export des données vers un bucket S3 sous son contrôle ou sauvegarde hors ligne. Modulario fournit un export natif de toutes les données via API et via dump UI, ce qui permet à l’entreprise de faire une sauvegarde indépendante de manière automatisée.

Pilier 6 : Sécurité réseau

  • Pare-feu — périmètre et basé sur l’hôte (Windows Defender Firewall sur chaque endpoint).
  • VPN pour l’accès distant, idéalement ZTNA (Zero Trust Network Access) au lieu d’un VPN IPsec/SSL classique. ZTNA vérifie chaque accès séparément, pas le réseau entier en même temps.
  • Segmentation réseau — séparation du Wi-Fi de production, de bureau et invité. Les appareils IoT (caméras, imprimantes) sur un VLAN séparé.
  • Filtrage DNS (Cisco Umbrella, Cloudflare Gateway) — bloque l’accès aux domaines malveillants connus au niveau DNS.

Pour les bases VPN, voir l’entrée du glossaire /fr/glossaire/vpn.

Pilier 7 : Formation des employés

Le maillon le plus faible est presque toujours l’humain. Une formation régulière le fait passer du maillon le plus faible à la première ligne de défense.

  • Formation d’onboarding pour chaque nouvel employé (1 à 2 heures).
  • Rafraîchissement annuel obligatoire pour tous.
  • Simulations de phishing 4 à 12 fois par an avec retour personnalisé (KnowBe4, Hoxhunt, ProofPoint).
  • Formation juste-à-temps — quand un employé clique dans une simulation de phishing, il reçoit immédiatement une courte leçon expliquant pourquoi c’était du phishing.

Un investissement de 25 à 50 EUR/employé/an dans une formation de qualité est rentabilisé dès le premier incident évité.

Chiffrement : SSL/TLS, VPN, chiffrement des données

Le chiffrement protège la confidentialité (qui peut lire) et l’intégrité (qui peut modifier) des données. Trois contextes sont les plus importants en pratique.

SSL/TLS pour la communication web

SSL/TLS sécurise la communication entre le navigateur et le serveur. En 2026, TLS 1.3 est le minimum pour les sites publics, TLS 1.2 est toléré pour les clients legacy.

Conséquences pratiques pour l’entreprise :

  • Chaque site web d’entreprise doit avoir un certificat SSL valide (HTTPS, pas HTTP). Let’s Encrypt gratuit est suffisant pour la plupart des cas.
  • HSTS (HTTP Strict Transport Security) preload — force HTTPS même pour le premier accès.
  • Audit du contenu mixte — pas de ressources HTTP (images, scripts) sur une page HTTPS.
  • Monitoring de la transparence des certificats — alerte si quelqu’un émet un certificat pour votre domaine (attaque possible).

Pour les détails, voir l’article Certificat SSL : guide complet pour le site web d’entreprise et le glossaire /fr/glossaire/ssl.

VPN et Zero Trust

Un VPN classique donne à l’utilisateur connecté accès à l’ensemble du réseau interne. C’est un anti-pattern de sécurité — un compte compromis ouvre les portes à tout.

Zero Trust Network Access (ZTNA) est la meilleure approche en 2026 :

  • Chaque accès est vérifié séparément (identité, appareil, contexte).
  • Les applications sont accessibles individuellement, pas via « tout le réseau ».
  • Refus par défaut — autorisation explicite, pas confiance implicite.

Fournisseurs : Cloudflare Access, Tailscale, Twingate, Microsoft Entra Internet Access.

Chiffrement des données au repos

  • Chiffrement du disque — BitLocker (Windows), FileVault (macOS), LUKS (Linux). Obligatoire pour les ordinateurs portables.
  • Chiffrement des bases de données — TDE (Transparent Data Encryption) dans PostgreSQL, MySQL, SQL Server.
  • Chiffrement des sauvegardes — le logiciel de sauvegarde chiffre avant l’upload vers le cloud, la clé est gérée par l’entreprise ou un KMS géré.
  • Chiffrement des e-mails (S/MIME ou PGP) — pour la correspondance sensible, notamment juridique ou RH.

Dans Modulario, les données primaires sont chiffrées AES-256 au repos et la communication protégée par TLS 1.3 en transit. Détail dans la documentation sécurité.

Matériel, logiciel et réseau : bases techniques pour le chef d’entreprise

Une partie des décisions de sécurité est prise par le chef d’entreprise avant même le responsable IT — par exemple le choix des ordinateurs portables, de l’ERP, des services cloud. Voici un bref aperçu des concepts à comprendre. Un aperçu plus détaillé est disponible dans l’article pilier Bases informatiques pour le chef d’entreprise.

Matériel

Appareils physiques : serveurs, ordinateurs portables, téléphones mobiles, équipements réseau, capteurs IoT, lecteurs, imprimantes. Aspects sécurité :

  • Gestion du cycle de vie — achat, inventaire, maintenance, mise au rebut. Objectif : un appareil ne disparaît jamais de l’inventaire.
  • Chiffrement du disque obligatoire pour tous les ordinateurs portables.
  • MDM (Mobile Device Management) — Microsoft Intune, Jamf, MobileIron. Gestion centralisée, verrouillage à distance en cas de perte.
  • Mise au rebut sécurisée — effacement du disque ou destruction physique, pas revente sur le marché de l’occasion.

Glossaire : /fr/glossaire/hardver.

Logiciel

Programmes et applications. Aspects sécurité :

  • Inventaire des logiciels installés — ce qui fonctionne sur les appareils de l’entreprise.
  • Whitelisting — applications explicitement autorisées, autres bloquées (Microsoft Defender Application Control, AppLocker).
  • Open source vs. commercial — l’open source n’est pas pire, mais nécessite une maintenance active (qui suit les correctifs ?).
  • Shadow IT SaaS — les employés s’inscrivent à des services SaaS avec leurs e-mails professionnels sans que l’IT le sache. Un CASB (Cloud Access Security Broker) aide à cartographier cela.

Glossaire : /fr/glossaire/softver.

Réseau : adresses IP, DNS, ports

Termes pertinents pour la sécurité :

  • Adresse IP — identifie un appareil sur un réseau. Publique (routable depuis Internet) vs. privée (LAN). L’IP statique de l’entreprise peut être utilisée comme identité pour le whitelisting (ex. « accès à l’ERP uniquement depuis l’IP de l’entreprise »). Glossaire : /fr/glossaire/ip-adresa.
  • DNS — traduction d’un nom de domaine en IP. L’empoisonnement DNS est une attaque où un mauvais serveur retourne une mauvaise IP. Défense : DNSSEC, DNS over HTTPS/TLS.
  • Ports — canaux de communication au sein d’une IP. Port ouvert = point d’entrée. Le pare-feu n’ouvre que les ports nécessaires.

Réponse aux incidents : quand les préventions échouent

Quelle que soit la qualité de la prévention, quelque chose finira par se passer. Un plan de réponse aux incidents préparé décide si cela sera une épisode de 24 heures ou une crise opérationnelle de 3 mois.

Structure du plan IR

  1. Phase de préparation — liste de contacts (interne + externe : expert forensique, juriste, relations publiques, assureur, régulateur), runbooks pour les 5 principaux scénarios, matrice des rôles (qui fait quoi).
  2. Détection et triage — canaux de signalement (canal interne #security-incident, e-mail security@entreprise.fr, ligne téléphonique), critères de classification (sévérité 1-4).
  3. Confinement — mesures immédiates selon le scénario (isolation de l’endpoint, désactivation du compte, rotation des clés).
  4. Eradication — élimination de la menace (suppression du malware, correctif, réinitialisation du compte).
  5. Récupération — restauration des systèmes, vérification de l’intégrité, démarrage progressif.
  6. Retour d’expérience — post-mortem dans les 2 semaines, mise à jour des mesures.

Décisions clés en temps réel

  • Payer la rançon en cas de ransomware ? La police et l’ANSSI ne le recommandent pas. 35 % des entreprises qui ont payé reçoivent une clé de déchiffrement fonctionnelle. 65 % ne reçoivent rien ou seulement une clé partielle. Mieux vaut investir dans la récupération depuis une sauvegarde immuable.
  • Notifier les clients ? RGPD art. 34 : si le risque est élevé pour les droits et libertés des personnes concernées, oui, dans les 72 heures. NIS2 : alerte précoce à l’autorité (ANSSI/CNIL) dans les 24h, notification officielle dans les 72h.
  • Notifier le public / médias ? De manière stratégique — neutraliser les rumeurs, mais ne pas divulguer de détails qui aideraient l’attaquant. Un conseiller RP dans l’équipe IR est un investissement rentable.

Cyber-assurance

La cyber-assurance en 2026 couvre typiquement :

  • Les frais forensiques et de récupération IT
  • Les frais juridiques et de notification
  • La perte d’exploitation (business interruption)
  • Les amendes et sanctions réglementaires (partiellement)
  • La rançon (sous des conditions strictes)

Coût : 0,1 à 0,4 % de la somme assurée par an. Pour une PME de taille moyenne, typiquement 5 000 à 25 000 EUR par an pour une couverture de 1 à 5 millions d’EUR. Obligatoire pour les secteurs régulés et le B2B avec de grands clients.

Conformité et réglementation : contexte

L’hygiène cybernétique ne repose pas sur une seule réglementation. Pour une PME européenne en 2026, les réglementations pertinentes sont :

  • RGPD — cadre principal pour les données personnelles
  • NIS2 — cybersécurité pour 18 secteurs
  • DORA — secteur financier + leurs fournisseurs TIC
  • AI Act — systèmes IA à haut risque (scoring RH, scoring crédit)
  • eIDAS 2 — signatures électroniques, identité numérique
  • Réglementations sectorielles — santé (HDS), énergie, télécommunications

Un aperçu détaillé du cadre réglementaire est dans l’article pilier Sécurité et conformité dans les ERP cloud 2026 et dans les articles Directive NIS2, Directive DORA, Checklist RGPD et ISO 27001 pour les PME.

Comment Modulario gère la cybersécurité

Modulario en tant que plateforme ERP/CRM UE-native fournit des mesures de sécurité out of the box :

  • 2FA / SSO supportés (TOTP, WebAuthn, SAML 2.0, OIDC) — les administrateurs peuvent l’imposer à toute l’entreprise
  • Contrôle d’accès basé sur les rôles avec granularité au niveau des champs pour les modules sensibles (RH, finance)
  • Journal d’audit natif de chaque modification dans chaque module, rétention 12 mois, export vers SIEM
  • Chiffrement AES-256 au repos, TLS 1.3 en transit, mTLS en interne
  • Hébergement UE avec certification ISO 27001, aucun risque CLOUD Act
  • DPA standardisée avec chaque contrat, sans négociation juridique nécessaire
  • Sauvegardes avec incrementaux horaires, réplication multi-région, stockage immuable 7 jours
  • Support DSAR — export des données personnelles sur demande dans les 30 jours
  • SLA de réponse aux incidents 24 heures pour les incidents de sécurité

Pour la description détaillée, voir la page sécurité ou les études de cas de déploiements réglementés.

Index des sujets : aller plus loin

Cet article pilier a résumé l’agenda à un niveau élevé. Pour les sujets spécifiques, voir les articles :

Résumé et recommandations

La cybersécurité d’une PME en 2026 n’est pas un luxe — c’est le minimum opérationnel. Chaque entreprise qui a subi un incident grave investirait rétrospectivement plus dans la prévention qu’elle ne l’a réellement fait. Le standard minimal pragmatique :

  1. 2FA pour tous, passkey pour les administrateurs et l’équipe financière
  2. Cycle mensuel de correctifs OS et applications + remplacement des versions EOL sans exception
  3. EDR au lieu d’un antivirus classique sur tous les endpoints
  4. Sécurité e-mail avec anti-phishing, SPF/DKIM/DMARC configurés
  5. Sauvegardes 3-2-1-1-0 avec test de récupération annuel
  6. Formation des employés annuelle + 4 simulations de phishing
  7. Plan de réponse aux incidents avec liste de contacts et runbooks pour les 5 principaux scénarios

Investissement : 8 000 à 25 000 EUR par an pour une PME de taille moyenne. Rentabilité : un seul incident évité.

Un ERP cloud avec des données primaires chez un fournisseur UE-natif certifié ISO 27001 (comme Modulario) enlève à l’entreprise 50 à 60 % de cet agenda — l’infrastructure primaire, le chiffrement, le journal d’audit, les sauvegardes et la réponse aux incidents sont sous la responsabilité du fournisseur. L’entreprise peut se concentrer sur la sécurité des endpoints, l’e-mail, l’identité et la formation.

Si vous souhaitez discuter de l’hygiène cybernétique spécifique de votre entreprise ou d’un déploiement Modulario dans un environnement réglementé, contactez-nous via une consultation gratuite.

Questions fréquentes

Quelles sont les méthodes les plus fréquentes utilisées par les hackers pour accéder au réseau d’entreprise ? En 2026, trois vecteurs dominent : le phishing (environ 60 % des attaques commencent par un clic sur un e-mail frauduleux), les identifiants compromis (mots de passe réutilisés) et les vulnérabilités dans les logiciels non mis à jour. Les attaques ransomware commencent presque toujours par l’un de ces trois points d’entrée.

Un antivirus me suffit-il ou ai-je besoin de plus ? L’antivirus n’est qu’une couche. La défense moderne repose sur six piliers : 2FA/SSO, logiciels à jour, EDR, sécurité e-mail, sauvegardes immuables, formation des employés. Sans 2FA et mises à jour, l’antivirus est marginalement utile.

Quelle est la différence entre 2FA et passkey ? La 2FA classique utilise mot de passe + code unique. Le passkey (FIDO2/WebAuthn) est sans mot de passe — une clé cryptographique stockée sur l’appareil, impossible à phisher. Le passkey est en 2026 le standard recommandé pour les comptes critiques.

Combien coûte la récupération après une attaque ransomware pour une PME ? Les coûts réels se situent dans la fourchette de 80 000 à 350 000 EUR : indisponibilité directe (moyenne 9 jours × CA journalier), analyse forensique (15 à 40 000 EUR), frais juridiques et RGPD (10 à 25 000 EUR), réinstallation de l’infrastructure, amendes réglementaires. La rançon n’est que 15 à 25 % du coût total.

À quelle fréquence dois-je faire des sauvegardes et où les stocker ? Règle 3-2-1 : 3 copies des données, 2 médias/sites différents, 1 hors ligne ou immuable. Les sauvegardes DOIVENT être testées minimum 1× par an — une sauvegarde non testée est inutilisable.