Proč vyspělé strategie zálohování v roce 2026 selhávají
Více než dvě desetiletí bylo pravidlo zálohování 3-2-1 základním kamenem podnikové ochrany dat. Zavedl je fotograf Peter Krogh a následně jej přijalo celé IT odvětví – nabízelo snadno zapamatovatelný vzorec: tři kopie dat, na dvou typech médií, s jednou kopií uloženou mimo primární lokalitu.
Fungovalo. Dokud nepřestalo.
V roce 2025 se ransomware vyskytoval u 44 % všech potvrzených úniků dat, oproti 32 % v roce předchozím. Ransomwarové útoky celosvětově meziročně vzrostly o 58 % a odhaduje se, že nyní někde na světě dojde k incidentu každých 19 sekund. Pro podnikové risk manažery je závažnější zjištění, že 75 % ransomwarových útoků v roce 2025 zahrnovalo exfiltraci dat před zašifrováním – bezchybná obnova tedy už narušení bezpečnosti sama o sobě nevyřeší.
Pravidlo 3-2-1 bylo navrženo pro selhání hardwaru, regionální výpadky a náhodná smazání dat. Nebylo navrženo pro sofistikované útočníky, kteří cíleně napadají zálohovací úložiště, pro phishingové kampaně generované umělou inteligencí provozované v průmyslovém měřítku, ani pro interní hrozby disponující platnými administrátorskými přihlašovacími údaji. Vyspělí útočníci vědí, že zničení nebo poškození zálohovací infrastruktury je nejrychlejší cestou, jak vynutit zaplacení výkupného – a v rámci svých útočných řetězců (kill chains) to považují za prioritní cíl.
Proto odvětví toto pravidlo postupně rozšiřovalo – nejprve na 3-2-1-1, poté na 3-2-1-1-0. Ve společnosti BackupSec věříme, že dalším vývojovým krokem je to, čemu říkáme Fibonacciho pravidlo zabezpečení záloh, vyjádřené jako 5-3-2-1-1-0: rámec, který se čte jako Fibonacciho posloupnost pozpátku a přidává klíčový šestý rozměr – pět základních bezpečnostních principů, na nichž musí stát každá vrstva pod nimi.
Pro organizace provozující vyspělá zálohovací prostředí tento článek nově definuje, co by mělo v roce 2026 znamenat pojem „komplexní ochrana dat“.
Od 3-2-1 k 3-2-1-1-0: Stručné shrnutí
Než představíme Fibonacciho pravidlo, stojí za to připomenout si, jak jsme se k němu dostali.
Původní pravidlo 3-2-1 vyžadovalo tři kopie dat na dvou různých typech médií, přičemž jedna kopie byla uložena mimo primární lokalitu. Zaměřovalo se na redundanci – vycházelo z předpokladu, že žádná jednotlivá fyzická událost nemůže zničit všechny tři kopie současně.
Pravidlo 3-2-1-1-0, které zpopularizovala společnost Veeam a které se následně široce ujalo, přidalo dvě klíčová zpřesnění:
- Jednu neměnnou (immutable) nebo fyzicky oddělenou (air-gapped) kopii, kterou nelze změnit ani smazat, a to ani útočníkem disponujícím administrátorskými přihlašovacími údaji.
- Nulové chyby při ověřování záloh, které zajišťují, že každou zálohu lze skutečně obnovit – nejen že fyzicky existuje.
Tento vývoj uzavřel dvě zásadní mezery: ransomware cílící na zálohy a tiché selhání záloh, které nejsou testovány až do chvíle, kdy dojde ke katastrofě. Pravidlo se však nesnaží definovat celou bezpečnostní architekturu kolem těchto kopií – včetně oddělení identit, privilegovaného přístupu, segmentace, průběžného monitoringu a omezení dopadu kompromitace.
Právě tuto mezeru má Fibonacciho pravidlo zabezpečení záloh za úkol uzavřít.
Proč Fibonacci? Logika skrytá za čísly
Fibonacciho posloupnost (0, 1, 1, 2, 3, 5, 8, 13...) patří k nejelegantnějším vzorům v matematice – každé číslo je součtem dvou předchozích. Při čtení našeho rámce pozpátku (5, 3, 2, 1, 1, 0) platí stejná kumulativní logika: každá vrstva ochrany staví na základech té předchozí.
- 5 — Základní bezpečnostní principy: Pět principů, které určují, jak je záloha navržena.
- 3 — Kopie dat: Nejméně tři kopie každé kritické datové sady.
- 2 — Různé typy médií nebo úložných platforem: Uložení na dvou různých médiích, úložných platformách nebo technologických stacích.
- 1 — Kopie mimo primární lokalitu: Jedna kopie na geograficky odděleném místě.
- 1 — Další neměnná, izolovaná nebo jinak chráněná kopie: Ještě jedna kopie chráněná před změnou i zničením.
- 0 — Neověřené zálohy / nevyřešené chyby obnovy: Žádná neověřená záloha a žádná otevřená chyba obnovy.
Původní pravidlo 3-2-1-1-0 odpovídalo na provozní otázku „Kolik kopií, kde a v jakém stavu?“ Číslo „5“, které jsme přidali, odpovídá na zásadnější architektonickou otázku: „Co vlastně znamená, že je záloha zabezpečená?“
Bez těchto pěti principů je zbytek řetězce prázdnou skořápkou. Záloha, která existuje ve třech kopiích, na dvou médiích, v neměnném stavu – ale řídí se nedostatečnými přístupovými kontrolami nebo je dosažitelná z kompromitované administrátorské pracovní stanice – není chráněná. Je to jen doklad o existující zranitelnosti.
„5“: Pět základních principů zabezpečení záloh
Těchto pět principů musí ovlivňovat každé architektonické rozhodnutí ve vašem zálohovacím prostředí – od výběru platformy přes politiku uchovávání dat až po řízení přístupu.
1. Kyberodolná architektura již od návrhu
Zabezpečení záloh nelze dodatečně naroubovat. Musí být návrhovým požadavkem už od prvního dne.
Kyberodolná zálohovací architektura přistupuje ke každé komponentě – katalogu, úložné vrstvě, řídicí rovině i obnovovacímu prostředí – jako k potenciálnímu cíli. Počítá s narušením bezpečnosti, plánuje pro případ kompromitace a zajišťuje, aby žádné jednotlivé selhání (technické, lidské nebo způsobené útočníkem) nemohlo přerůst v úplnou ztrátu schopnosti obnovy.
V praxi to znamená:
- Vrstvená obrana (defense in depth): Každou vrstvu chrání více nezávislých kontrolních mechanismů, takže selhání jednoho z nich systém nevystaví riziku.
- Omezení dosahu incidentu (blast-radius containment): Kompromitace produkčního prostředí se nesmí přenést do zálohovací infrastruktury a kompromitace jedné zálohovací vrstvy se nesmí přenést na ostatní.
- Návrh orientovaný na obnovu (recovery-first design): Architektury se nehodnotí jen podle toho, jak dobře zálohují data, ale podle toho, jak spolehlivě je dokážou obnovit i za nepříznivých podmínek – když nefunguje DNS, jsou kompromitovaní poskytovatelé identity nebo je nedostupná primární lokalita.
- Šifrování jako architektonický základ, nikoli funkce navíc: Každá záloha musí být v každém stavu chráněna silným, průmyslově standardním šifrováním v klidu i při přenosu, přičemž šifrovací klíče by měly být všude, kde je to proveditelné, spravovány nezávisle na zálohovací infrastruktuře – ideálně ve vyhrazeném HSM modulu nebo ve službě pro správu klíčů se samostatným administrativním vlastnictvím. Pokud vaše klíče žijí vedle vašich dat, nemáte šifrování – máte pouze zamlžení. Pro podniky s přeshraničními datovými toky se suverenita klíčů – tedy kdo může vynutit jejich zpřístupnění, podle jaké jurisdikce a v jakém časovém rámci – stává návrhovým rozhodnutím, nikoli problémem řešeným až při incidentu.
Organizace, které dodatečně naroubovávají bezpečnost na zálohovací systémy navržené pro hrozby staré deset let, opakovaně zjišťují uprostřed incidentu, že zranitelností je samotná jejich architektura. Odolnost musí být součástí návrhu – nikoli dodatečně přišroubovaným prvkem.
2. Přístup podle zásady zero trust a silné ověřování
Princip je jednoduchý: nikdy nedůvěřuj, vždy ověřuj. Každý požadavek na čtení, zápis nebo úpravu zálohy musí být v okamžiku podání ověřen a autorizován – bez ohledu na to, odkud v síti pochází.
V praxi to vyžaduje:
- Vícefaktorové ověřování (MFA) pro každou administrátorskou identitu, která přichází do styku se zálohovací infrastrukturou, ideálně pomocí metod odolných vůči phishingu, jako jsou hardwarové tokeny.
- Řízení přístupu na základě rolí (RBAC), které granulárně vynucuje princip nejnižších potřebných oprávnění.
- Oddělené administrátorské identity pro produkční a zálohovací systémy – kompromitovaný správce domény by neměl mít přístup k vaší poslední obranné linii.
- Správa privilegovaného přístupu (PAM) s dočasným navyšováním oprávnění (just-in-time), záznamem relací a schvalovacími procesy pro citlivé operace, jako jsou změny politiky uchovávání dat.
Kompromitované přihlašovací údaje způsobily 23 % ransomwarových útoků v roce 2025. Pokud vaše zálohovací prostředí důvěřuje stejné identitní infrastruktuře, jaká chrání produkci, máte ve skutečnosti jediný bod selhání zamaskovaný za vrstvenou obranu.
3. Neměnnost a úložiště WORM
Neměnnost (immutabilita) – vlastnost, díky níž jednou zapsaná data nelze po definovanou dobu uchovávání změnit ani smazat – se z „doporučeného postupu“ přesunula mezi „nezpochybnitelné požadavky“. Ať už je implementována prostřednictvím object locku v cloudovém úložišti, médií typu Write Once Read Many (WORM), nebo hardwarově vynucených zámků uchovávání, patří neměnnost k nejúčinnějším architektonickým obranám proti útočníkům, kteří cíleně pátrají po zálohovacích úložištích.
Pro podniky podléhající regulačním režimům, jako jsou SEC 17a-4, FINRA, HIPAA nebo DORA, může neměnnost navíc podpořit požadavky na soulad a kontrolní cíle týkající se doby uchovávání, integrity, odolnosti vůči manipulaci a obnovitelnosti. Kontrolní mechanismus, který vás chrání před ransomwarem, je často tentýž, na který se ptá váš auditor.
CISA doporučuje udržovat offline šifrované zálohy, pravidelně testovat jejich dostupnost a integritu a používat ochranné mechanismy, jako je neměnné úložiště, aby se snížil provozní dopad ransomwaru. Právě neměnnost udržuje tyto zálohy neporušené a obnovitelné i ve chvíli, kdy má útočník k dispozici administrátorské přihlašovací údaje.
4. Průběžné ověřování a testování obnovy
Záloha, kterou jste neotestovali, není záloha – je to jen hypotéza.
„0“ v pravidle 3-2-1-1-0 vyžaduje nulový počet chyb, ale jediný způsob, jak toto tvrzení doložit, je průběžné testování. Vyspělé programy zavádějí automatizované kontroly integrity, pravidelné cvičné testy úplné obnovy, izolovaná prostředí pro ověřování obnovy a strukturovaná cvičení typu tabletop, která stejně důkladně prověřují lidskou a procesní vrstvu jako tu technickou.
Organizace s otestovanými plány reakce na incidenty se zotavují výrazně rychleji: v roce 2025 dosáhl podíl obětí ransomwaru, které se plně zotavily do jednoho týdne, rekordní úrovně, zatímco podíl těch, kterým obnova trvala déle než měsíc, klesl na pouhých 18 % oproti 34 % v roce předchozím.
Ponaučení pro vedoucí pracovníky odpovědné za řízení rizik je jednoznačné: právě testování odděluje organizace, které zálohy mají, od organizací, které se dokážou skutečně obnovit. Rozdíl v nákladech mezi těmito dvěma stavy, měřeno dobou výpadku a poškozením reputace, bývá zpravidla řádový.
5. Izolace a segmentace sítě
Zálohovací infrastruktura by měla být silně oddělena od produkce a všude, kde je to prakticky možné, by neměla záviset na stejných administrativních hranicích důvěry, které chrání produkční systémy.
Moderní osvědčené postupy kombinují logickou segmentaci (samostatné VLAN, vyhrazené podsítě, přísná pravidla firewallu, mikrosegmentaci) s fyzicky oddělenými (air-gapped) nebo kvazi-air-gapped architekturami alespoň pro jednu kopii každé zálohy. Cloudová neměnnost se samostatnými poskytovateli identity, rotace offline pásek, vyhrazená obnovovací prostředí a izolace tenantů ve sdílené infrastruktuře – to vše slouží stejnému architektonickému cíli: zajistit, aby se dosah jakékoli jednotlivé kompromitace nemohl rozšířit do vrstvy obnovy.
Pokud se útočník, který ovládl váš řadič domény, dokáže dostat do vašeho zálohovacího úložiště pomocí stejných přihlašovacích údajů, je vaše záloha součástí útočné plochy – nikoli od ní oddělena.
„3-2-1“: Redundance, na které stále záleží
S pěti principy jako základem zůstává klasická vrstva 3-2-1 nadále nezbytná.
- 3 kopie každé kritické datové sady – vaše produkční data plus alespoň dvě zálohy.
- 2 různá média nebo úložné platformy – lokální disk a cloud, nebo lokální objektové úložiště (on-premises) a samostatný cloudový poskytovatel. Cílem je zajistit, aby jediné technologické selhání, výpadek dodavatele nebo určitá třída útoku nemohly zničit všechny kopie současně.
- 1 kopie mimo primární lokalitu – geograficky oddělená od vašeho hlavního pracoviště, ideálně v jiné bezpečnostní doméně a případně i v jiné regulační jurisdikci.
Od doby, kdy bylo toto pravidlo poprvé formulováno, se změnila hlavně jeho interpretace. Dva cloudové regiony u téhož poskytovatele nepředstavují „dva různá média“. Zálohovací svazek na poli SAN umístěném vedle vašeho produkčního pole není smysluplně „mimo primární lokalitu“. Moderní modelování hrozeb v podnikovém prostředí vyžaduje přísnější výklad každého z těchto požadavků.
„1-1“: Mimo primární lokalitu a neměnná nebo air-gapped
Obě „1“ řeší odlišné domény selhání.
První vyžaduje, aby jedna kopie byla uložena mimo primární lokalitu – geograficky oddělena od primárního prostředí tak, aby incident na úrovni lokality, výpadek infrastruktury nebo fyzická katastrofa nemohly naráz odstranit všechny možnosti obnovy.
Druhá vyžaduje, aby alespoň jedna další kopie byla chráněna před změnou nebo zničením prostřednictvím neměnnosti, fyzického oddělení (air-gap) nebo rovnocenného izolačního mechanismu. Její účel je jiný: geografické oddělení chrání před výpadkem lokality, zatímco neměnnost či izolace chrání před útočníkem, který už získal administrátorský přístup.
Tyto požadavky se v implementaci mohou překrývat. Kopie mimo primární lokalitu může být zároveň neměnná a vyspělá prostředí mohou udržovat jak neměnnou vrstvu pro obnovu, tak hlubší offline nebo air-gapped kopii. Podstatné je, aby se samotná geografie nepovažovala za bezpečnostní izolaci.
Toto rozlišení je také důvodem, proč se neměnnost objevuje mezi pěti bezpečnostními principy Fibonacciho pravidla. Číselná „1“ definuje minimální požadavek na ochranu jedné záložní kopie; bezpečnostní princip vyžaduje, aby se neměnnost promýšlela napříč celou architekturou, včetně řízení retence, administrátorských přístupů, oddělení identit a management plane.
„0“: Nulová tolerance vůči neověřeným zálohám
Každá záloha ověřena. Každá obnova otestována. Každá mezera zdokumentována a odstraněna.
„0“ představuje vrstvu provozní disciplíny v rámci tohoto rámce. Vyžaduje důslednost: automatizované kontrolní součty, plánované ověřování obnovy, detekci anomálií v metadatech zálohovacích úloh (náhlý nárůst velikosti úlohy může signalizovat přípravnou fázi útočníka před zašifrováním dat), monitorování chování administrativní aktivity v zálohovacím prostředí a jasně definované eskalační postupy pro případ, že ověření selže.
Data tuto disciplínu potvrzují: organizace, které sledovaly telemetrii zálohovacího systému – nejen míru úspěšnosti – odhalily aktivitu útočníka dříve a incidenty zvládaly rychleji. Nulový počet chyb není jen okázalá metrika. Je to rozdíl mezi opodstatněnou jistotou a falešnou jistotou přesně ve chvíli, kdy na tomto rozdílu záleží nejvíc.
Co to znamená pro podnikové risk manažery
Pokud vaše organizace provozuje strategii zálohování navrženou pro odlišné prostředí hrozeb, propast mezi tím, co máte, a tím, co potřebujete, už dávno není jen teoretická otázka. Zvažte finanční realitu:
- K ransomwarovému incidentu dochází celosvětově přibližně každých 19 sekund.
- Průměrná výše zaplaceného výkupného v roce 2025 činila přibližně 1 milion USD, přičemž náklady na obnovu dosahovaly v průměru dalších 1,53 milionu USD.
- 64 % postižených organizací v roce 2025 odmítlo zaplatit – rekordní podíl – protože jim vylepšené zálohovací architektury poskytly věrohodnou alternativu. Zbývajících 36 % tuto možnost nemělo.
Pro podniky působící v regulovaných odvětvích nebo spravující komplexní hybridní prostředí je tato kalkulace ještě naléhavější. Významná ztráta dat dnes s sebou nese přímé oznamovací povinnosti podle pravidel SEC pro zveřejňování kybernetických incidentů, GDPR, DORA a rostoucího seznamu odvětvových předpisů. Náklady na neobnovitelný incident už dávno nejsou pouze provozní – jsou reputační, regulatorní a stále více i osobní pro vrcholové vedení.
Zavedení Fibonacciho pravidla nevyžaduje kompletní přestavbu vaší infrastruktury od nuly. Vyžaduje upřímné architektonické posouzení, prioritizovanou nápravu podle jasně definované sady principů a řídicí odhodlání přistupovat k zabezpečení záloh jako k integrované disciplíně – nikoli jako k položce v nákupním rozpočtu.
Kde přichází na řadu BackupSec
Ve společnosti BackupSec pomáháme podnikovým týmům provozovat jejich zálohovací prostředí v souladu s výše uvedenými principy – nikoli nahrazením jejich zálohovací platformy, ale tím, že zabezpečení záloh zviditelníme, poskytneme k němu odborné poradenství a doložíme jej důkazy.
Náš přístup kombinuje tři vrstvy, z nichž každá řeší jinou mezeru ve Fibonacciho pravidle:
- ZeroMON poskytuje průběžnou pozorovatelnost nad celým zálohovacím prostředím – monitoring připravený pro Veeam se sledováním úloh v reálném čase, automatizovanými bezpečnostními kontrolami, forenzními auditními stopami pro odhalení konfiguračních odchylek a reporty souladu na jedno kliknutí. Jde o provozní vrstvu, která mění požadavek rámce na „0 chyb“ z pouhého záměru na doložitelný fakt.
- ZeroTAM poskytuje odborné poradenství věnované architektuře záloh, plánování kapacit, strategii obnovy po ransomwarovém útoku a krizové reakci – lidskou vrstvu, kterou většina podniků potřebuje k tomu, aby dokázala interpretovat, co jim jejich zálohovací prostředí skutečně sděluje.
- ZeroPEN penetračně testuje vaši zálohovací infrastrukturu způsobem, jakým by postupoval skutečný útočník – zaměřuje se na řídicí roviny, přístupové kontroly, nastavení neměnnosti a stav izolace – a následně spouští reálné scénáře obnovy, aby ověřil, že se dokážete obnovit čistě, kompletně a v rámci deklarovaného RTO.
BackupSec se nasazuje on-premise, k vašim zálohovacím aplikacím se připojuje prostřednictvím API přístupu pouze pro čtení a zálohovaná data nikdy nepřesouvá mimo vaše prostředí. Ať už modernizujete zastaralou architekturu 3-2-1, ověřujete svou stávající implementaci 3-2-1-1-0 vůči moderním modelům hrozeb, nebo prokazujete připravenost k obnově auditorům a představenstvu, tento třívrstvý přístup má podnikovým týmům poskytnout viditelnost, odborné vedení a důkazy, které tento rámec vyžaduje.
Promluvte si se společností BackupSec o zabezpečení vašich záloh →
Jste připraveni posoudit zabezpečení záloh ve vaší organizaci podle Fibonacciho pravidla zabezpečení záloh? Kontaktujte BackupSec →