La règle 3-2-1 est le socle universel de la protection des données : 3 copies (la production + 2 sauvegardes), sur 2 types de supports différents (pour ne pas subir la même panne), dont 1 conservée hors site — typiquement dans un second datacenter.
La version durcie face aux rançongiciels est 3-2-1-1-0 : le premier 1 ajouté impose une copie immuable ou déconnectée (immuable = non modifiable pendant une durée fixée, WORM ; air-gap = physiquement isolée), et le 0 exige zéro erreur de restauration vérifiée — car une sauvegarde jamais testée n’est pas une sauvegarde.
C’est la brique qui alimente un vrai PCA/PRA : la copie hors site devient le point de départ d’une reprise sur un autre site, avec un RTO/RPO mesurable. Sans copie hors site immuable, un ransomware ou un sinistre unique emporte tout.