Fibonacciho pravidlo bezpečnosti záloh: rozšíření 3-2-1-1-0 pro moderní bezpečnost záloh

Proč vyspělé strategie zálohování v roce 2026 selhávají

Pravidlo zálohování 3-2-1 je už léta základním kamenem ochrany dat. Fotograf Peter Krogh říká, že tento termín vymyslel při psaní prvního vydání knihy The DAM Book, a jeho průvodce zálohováním pro projekt dpBestflow organizace ASMP ho formuluje takto: tři kopie každého důležitého souboru, na dvou různých typech médií, přičemž jedna kopie je mimo pracoviště (offsite). Vzorec se rozšířil daleko za hranice fotografie. Dokument CISA o možnostech zálohování dat ho opakuje pro osobní i firemní data.

Fungovalo to. Dokud to nepřestalo fungovat.

Verizon ve své zprávě 2025 Data Breach Investigations Report našel ransomware ve 44 % posuzovaných úniků dat, oproti 32 % v předchozím vydání. Toto vydání pokrývá incidenty od listopadu 2023 do října 2024; vydání z roku 2026, pokrývající období od listopadu 2024 do října 2025, uvádí podíl 48 %. Výzkumný tým společnosti GuidePoint Security, který sleduje oběti zveřejňované ransomwarovými skupinami, zaznamenal v roce 2025 meziroční nárůst počtu obětí ransomwaru o 58 %, což je nejaktivnější rok, jaký kdy sledoval. Pro manažery podnikových rizik je podstatnější jiné zjištění: napříč zakázkami Mandiant v oblasti reakce na incidenty v roce 2025 skupina Google Threat Intelligence Group zaznamenala potvrzenou nebo podezřelou krádež dat přibližně v 77 % ransomwarových průniků, oproti přibližně 57 % v roce 2024. Pokud už byla data ukradena, bezchybná obnova vrátí systémy do provozu, ale únik dat nevyřeší.

Pravidlo 3-2-1 bylo navrženo pro selhání hardwaru, regionální výpadky a náhodná smazání. Nebylo navrženo pro útočníky, kteří cíleně útočí na zálohovací repozitáře, ani pro insidery s platnými administrátorskými přihlašovacími údaji. Útočníci vědí, že zničením záloh oběti odebírají alternativu k zaplacení. Tatáž zpráva společnosti Google uvádí, že ransomwaroví aktéři „often disabled or deleted backups to inhibit and/or limit recovery options.“ (často vypínali nebo mazali zálohy, aby zabránili obnově nebo omezili její možnosti).

Proto bylo pravidlo rozšířeno. Veeam popisuje své vlastní rozšíření 3-2-1-1-0 jako přidání jedné neměnné kopie a nulového počtu chyb při obnově. V BackupSec navrhujeme další krok, který nazýváme Fibonacciho pravidlo bezpečnosti záloh a zapisujeme jako 5-3-2-1-1-0. Je to náš rámec, nikoli oborový standard. Čte se jako Fibonacciho posloupnost pozpátku a přidává šestý prvek: pět základních bezpečnostních principů, na kterých musí stát každá vrstva pod nimi.

Pro organizace s vyspělým zálohovacím prostředím tento článek nově vymezuje, co by v roce 2026 měla znamenat „komplexní ochrana dat“.

Od 3-2-1 k 3-2-1-1-0: stručné shrnutí

Než představíme Fibonacciho pravidlo, stojí za to připomenout, jak jsme se sem dostali.

Původní pravidlo 3-2-1 požadovalo tři kopie dat na dvou různých typech médií, přičemž jedna je uložena mimo pracoviště. Soustředilo se na redundanci a vycházelo z předpokladu, že žádná jednotlivá fyzická událost nemůže zničit všechny tři kopie najednou.

Pravidlo 3-2-1-1-0, rozšíření původního pravidla od společnosti Veeam, které se dnes široce používá, přidalo dvě zpřesnění:

• Jednu neměnnou nebo air-gapped kopii, kterou nelze upravit ani smazat, a to ani útočníkem s administrátorskými přihlašovacími údaji.
• Nula chyb při ověřování záloh, takže o každé záloze se ví, že je obnovitelná, nejen že existuje.

Tento vývoj uzavřel dvě významné mezery: ransomware cílící na zálohy a tiché selhání záloh, které se nikdy netestují, dokud nepřijde katastrofa. Pravidlo se však nesnaží vymezit úplnou bezpečnostní architekturu kolem těchto kopií: oddělení identit, privilegovaný přístup, segmentaci, průběžný monitoring a omezení dopadu (blast radius).

Právě tuto mezeru má Fibonacciho pravidlo bezpečnosti záloh uzavřít.

Proč Fibonacci? Logika za čísly

Fibonacciho posloupnost (0, 1, 1, 2, 3, 5, 8, 13...) je jedním z nejelegantnějších vzorců v matematice: každé číslo je součtem dvou předchozích. Když náš rámec čteme pozpátku (5, 3, 2, 1, 1, 0), platí stejná kumulativní logika: každá vrstva ochrany staví na základech pod sebou.

• 5 základních bezpečnostních principů. Pět principů, které určují, jak je zálohování architektonicky navrženo.
• 3 kopie dat. Nejméně tři kopie každé kritické datové sady.
• 2 různé typy médií nebo úložišť/platforem. Uloženo na dvou různých médiích, úložných platformách nebo technologických stacích.
• 1 kopie mimo pracoviště. Jedna kopie v geograficky oddělené lokalitě.
• 1 další neměnná, izolovaná nebo jinak chráněná kopie. Jedna další kopie chráněná proti úpravě nebo zničení.
• 0 neověřených záloh nebo nevyřešených chyb obnovy. Žádná záloha nezůstane neověřená, žádná chyba obnovy nezůstane otevřená.

Původní pravidlo 3-2-1-1-0 odpovídalo na provozní otázku „Kolik kopií, kde a v jakém stavu?“ Námi přidaná „5“ odpovídá na zásadnější architektonickou otázku: „Co vlastně znamená, že je záloha bezpečná?“

Bez těchto pěti principů je zbytek řetězce prázdný. Záloha, která existuje ve třech kopiích, na dvou médiích a v neměnném stavu, ale je spravována s nedostatečnými řízeními přístupu nebo je dosažitelná z kompromitované administrátorské stanice, chráněná není. Je to dokumentace expozice.

„5“: pět základních principů bezpečnosti záloh

Těchto pět principů by mělo ovlivňovat každé architektonické rozhodnutí ve vašem zálohovacím prostředí, od výběru platformy přes retenční politiku až po řízení přístupu.

1. Kyberneticky odolná architektura už od návrhu

Bezpečnost záloh nelze dodat dodatečně. Musí být návrhovým omezením od prvního dne.

Kyberneticky odolná zálohovací architektura považuje každou komponentu (katalog, úložnou vrstvu, řídicí rovinu, prostředí pro obnovu) za potenciální cíl. Předpokládá průnik, počítá s kompromitací a zajišťuje, že žádné jednotlivé selhání, ať technické, lidské nebo způsobené útočníkem, nemůže kaskádovitě vést k úplné ztrátě obnovitelnosti.

V praxi to znamená:

• Obrana do hloubky: Každou vrstvu chrání více nezávislých kontrol, takže selhání jedné z nich systém neodhalí.
• Omezení dopadu (blast radius): Kompromitace produkčního prostředí se nemůže rozšířit do zálohovací infrastruktury a kompromitace jedné zálohovací vrstvy se nemůže rozšířit do ostatních.
• Návrh s prioritou obnovy: Architektury se neposuzují jen podle toho, jak dobře data zálohují, ale podle toho, jak spolehlivě je dokážou obnovit v nepřátelských podmínkách: když nefunguje DNS, poskytovatelé identit jsou kompromitovaní nebo je primární lokalita nedostupná.
• Šifrování jako architektonický základ, nikoli funkce: Každá záloha musí být v každém stavu chráněna silným šifrováním podle oborových standardů, v klidu i při přenosu, přičemž šifrovací klíče by měly být všude, kde je to proveditelné, spravovány nezávisle na zálohovací infrastruktuře, ideálně ve vyhrazeném HSM nebo ve službě pro správu klíčů s odděleným administrativním vlastnictvím. Pokud vaše klíče leží vedle vašich dat, nemáte šifrování, máte zamlžování. Pro podniky s přeshraničními datovými toky se suverenita klíčů (kdo může vynutit jejich zpřístupnění, v jaké jurisdikci a v jaké lhůtě) stává rozhodnutím při návrhu, nikoli problémem při reakci na incident.

Bezpečnost přišroubovaná k zálohovacímu systému navrženému pro starší prostředí hrozeb obvykle ukáže své mezery uprostřed incidentu, kdy se slabinou ukáže samotná architektura. Odolnost musí být součástí návrhu.

2. Přístup Zero Trust a silná autentizace

Princip je jednoduchý: nikdy nedůvěřuj, vždy ověřuj. Každý požadavek na čtení, zápis nebo úpravu zálohy musí být v okamžiku požadavku autentizován a autorizován bez ohledu na to, z jaké sítě přichází.

V praxi to vyžaduje:

• Vícefaktorovou autentizaci (MFA) pro každou administrátorskou identitu, která pracuje se zálohovací infrastrukturou, ideálně s metodami odolnými proti phishingu, jako jsou hardwarové tokeny.
• Řízení přístupu na základě rolí (RBAC), které prosazuje princip nejnižších oprávnění v jemně členěném rozsahu.
• Oddělené administrátorské identity pro produkční a zálohovací systémy. Kompromitovaný doménový administrátor by neměl mít přístup k vaší poslední linii obrany.
• Správu privilegovaného přístupu (PAM) s dočasným zvýšením oprávnění (just-in-time), nahráváním relací a schvalovacími workflow pro citlivé operace, jako jsou změny retenční politiky.

V průzkumu společnosti Sophos State of Ransomware 2025 mezi 3 400 organizacemi zasaženými ransomwarem uvedly oběti jako kořenovou příčinu 23 % útoků kompromitované přihlašovací údaje, což je druhá nejčastější technická kořenová příčina po zneužitých zranitelnostech (32 %). Pokud vaše zálohovací prostředí důvěřuje stejné infrastruktuře identit, která chrání produkci, máte jediný bod selhání převlečený za vrstvenou obranu.

3. Neměnnost a úložiště WORM

Neměnnost (immutability), tedy vlastnost, že data po zápisu nelze po definovanou dobu retence změnit ani smazat, se posunula od „osvědčeného postupu“ k „nepostradatelnému požadavku“. Ať už je implementována pomocí Object Lock v cloudovém úložišti, médií WORM (Write Once Read Many) nebo hardwarově vynucovaných retenčních zámků, neměnnost patří k nejúčinnějším architektonickým obranám proti útočníkům, kteří cíleně hledají zálohovací repozitáře.

Pro podniky, na které se vztahují pravidla pro uchovávání záznamů, může neměnnost podporovat i compliance. SEC Rule 17a-4 umožňuje obchodníkům s cennými papíry (broker-dealers) uchovávat elektronické záznamy buď s úplným auditním záznamem opatřeným časovými razítky, nebo „in a non-rewriteable, non-erasable format“ (ve formátu, který nelze přepsat ani vymazat). HIPAA Security Rule vyžaduje plán zálohování dat, který vytváří a udržuje „retrievable exact copies“ (dohledatelné přesné kopie) elektronických chráněných zdravotních informací. Kontrolní plocha, která vás chrání před ransomwarem, je často tatáž, na kterou se ptá váš auditor.

CISA je opatrnější než většina dodavatelů. Její #StopRansomware Guide organizacím říká, aby „maintain offline, encrypted backups of critical data“ (udržovaly offline šifrované zálohy kritických dat) a pravidelně testovaly jejich dostupnost a integritu. Neměnné úložiště od cloudových dodavatelů zmiňuje jen s varováním: „does not meet compliance criteria for certain regulations“ (nesplňuje kritéria compliance některých předpisů) a chybná konfigurace může způsobit značné náklady. Neměnnost udrží zálohy nedotčené vůči útočníkovi, který už má administrátorské přihlašovací údaje. Nenahrazuje offline kopii ani otestovanou obnovu.

4. Průběžné ověřování a testování obnovy

Záloha, kterou jste neotestovali, není záloha. Je to hypotéza.

„0“ v 3-2-1-1-0 vyžaduje nulový počet chyb, ale jediný způsob, jak toto tvrzení podložit, je průběžně testovat. Vyspělé programy zavádějí automatizované kontroly integrity, pravidelné cvičné úplné obnovy, izolovaná prostředí pro ověřování obnovy a strukturovaná tabletop cvičení, která prověřují lidskou a procesní vrstvu stejně důkladně jako technickou.

Obnova se zrychluje. Ve stejném průzkumu společnosti Sophos se 53 % obětí ransomwaru plně zotavilo do týdne, oproti 35 % v roce 2024, a 97 % se plně zotavilo do tří měsíců. Sophos naznačuje, že zlepšení může odrážet investice do přípravy na incidenty a připravenosti na obnovu. Průzkum vliv otestovaných plánů samostatně neizoluje, ale vlastní doporučení společnosti Sophos zní pořizovat kvalitní zálohy a pravidelně z nich nacvičovat obnovu.

Poučení pro lídry v oblasti rizik: testování je tím, co odlišuje organizace, které zálohy mají, od organizací, které se dokážou obnovit.

5. Izolace a segmentace sítě

Zálohovací infrastruktura by měla být od produkce důsledně segmentovaná a všude, kde je to prakticky možné, by neměla záviset na stejných administrativních hranicích důvěry, které chrání produkční systémy.

Současný osvědčený postup kombinuje logickou segmentaci (oddělené VLAN, vyhrazené podsítě, přísná pravidla firewallu, mikrosegmentaci) s architekturami air gap nebo téměř air gap pro nejméně jednu kopii každé zálohy. Cloudová neměnnost s oddělenými poskytovateli identit, rotace offline pásek, vyhrazená prostředí pro obnovu a izolace tenantů ve sdílené infrastruktuře slouží stejnému architektonickému cíli: zajistit, aby dopad jakékoli jednotlivé kompromitace nemohl zasáhnout vrstvu obnovy.

Pokud se útočník na vašem doménovém řadiči dostane se stejnými přihlašovacími údaji do vašeho zálohovacího repozitáře, je vaše záloha součástí útočné plochy, nikoli od ní oddělená.

„3-2-1“: redundance, na které stále záleží

S pěti principy jako základem zůstává klasická vrstva 3-2-1 nezbytná.

• 3 kopie každé kritické datové sady: vaše produkční data plus nejméně dvě zálohy.
• 2 různá média nebo úložné platformy: lokální disk a cloud, případně on-premises objektové úložiště a samostatný cloudový poskytovatel. Cílem je zajistit, aby jediné technologické selhání, výpadek dodavatele nebo jedna třída útoku nemohly zničit všechny kopie současně.
• 1 kopie mimo pracoviště: geograficky oddělená od primární lokality, ideálně v jiné doméně hrozeb a, kde je to vhodné, v jiné regulatorní jurisdikci.

Od doby, kdy bylo pravidlo poprvé formulováno, se změnil jeho výklad. Dva cloudové regiony stejného poskytovatele nepředstavují „dvě různá média“. Zálohovací svazek na SAN hned vedle vašeho produkčního pole není v žádném smysluplném ohledu „mimo pracoviště“. Současné modelování hrozeb v podnicích vyžaduje přísnější výklad každého požadavku.

„1-1“: mimo pracoviště a neměnná nebo air-gapped kopie

Obě „1“ se týkají různých domén selhání.

První vyžaduje, aby jedna kopie byla uložena mimo pracoviště, geograficky oddělená od primárního prostředí, aby incident na úrovni lokality, selhání infrastruktury nebo fyzická katastrofa nemohly odstranit všechny možnosti obnovy najednou.

Druhá vyžaduje, aby nejméně jedna další kopie byla chráněna proti úpravě nebo zničení pomocí neměnnosti, air gapu nebo rovnocenného izolačního mechanismu. Její účel je jiný: oddělení mimo pracoviště chrání před selháním lokality, zatímco neměnnost nebo izolace chrání před útočníkem, který získal administrátorský přístup.

Tyto požadavky se v implementaci mohou překrývat. Kopie mimo pracoviště může být zároveň neměnná a vyspělá prostředí mohou udržovat jak neměnnou vrstvu pro obnovu, tak hlubší offline nebo air-gapped kopii. Podstatné je, aby samotná geografie nebyla považována za bezpečnostní izolaci.

Toto rozlišení je také důvodem, proč se neměnnost objevuje mezi pěti bezpečnostními principy Fibonacciho pravidla. Číselná „1“ definuje minimální požadavek na ochranu jedné zálohové kopie; bezpečnostní princip vyžaduje, aby se s neměnností počítalo v celé architektuře, včetně řízení retence, administrativního přístupu, oddělení identit a řídicí roviny.

„0“: nulová tolerance k neověřeným zálohám

Každá záloha ověřená. Každá obnova otestovaná. Každá mezera zdokumentovaná a uzavřená.

„0“ je vrstvou provozní disciplíny v rámci celého rámce. Vyžaduje důslednost: automatizované kontrolní součty, plánované ověřování obnovy, detekci anomálií v metadatech zálohovacích úloh (náhlý nárůst velikosti úlohy může signalizovat přípravu dat útočníkem před šifrováním), behaviorální monitoring administrativní činnosti v zálohování a jasné eskalační postupy, když ověření selže.

Úvaha je jednoduchá. Útočník, který se chystá zničit zálohy, musí na zálohovací systém nejprve sáhnout a tyto změny se projeví v nastavení úloh, hodnotách retence a auditních lozích dřív, než jakákoli obnova selže. Nula chyb není metrika pro parádu. Je to rozdíl mezi jistotou a falešnou jistotou ve chvíli, kdy na tom rozdílu záleží nejvíc.

Co to znamená pro lídry v oblasti podnikových rizik

Pokud vaše organizace funguje se strategií zálohování navrženou pro jiné prostředí hrozeb, mezera mezi tím, co máte, a tím, co potřebujete, už není akademická. Zvažte finanční realitu:

• Průzkum společnosti Sophos z roku 2025 uvádí medián výplaty výkupného 1 mil. USD a průměrné náklady na obnovu bez jakéhokoli výkupného 1,53 mil. USD.
• Verizon 2025 DBIR uvádí, že 64 % organizací, které se staly obětí ransomwaru, nezaplatilo, oproti 50 % o dva roky dříve. Sophos na jiném vzorku zjistil, že 49 % obětí zaplatilo výkupné, aby získalo svá data zpět. Tak či onak, zaplacení už není výchozí volbou a organizace, která platit odmítne, potřebuje cestu obnovy, která funguje.

Pro podniky v regulovaných odvětvích nebo pro ty, kdo spravují složitá hybridní prostředí, je tato úvaha ještě naléhavější. Společnosti kótované v USA musí zveřejnit podstatný kybernetický incident ve formuláři 8-K, zpravidla do čtyř pracovních dnů od určení, že je podstatný, a mnoho dalších jurisdikcí a odvětví ukládá vlastní ohlašovací povinnosti. Náklady neobnovitelného incidentu už nejsou jen provozní. Jsou také reputační a regulatorní.

Zavedení Fibonacciho pravidla nevyžaduje přestavět infrastrukturu od nuly. Vyžaduje poctivé architektonické posouzení, prioritizovanou nápravu podle jasné sady principů a závazek na úrovni řízení chápat bezpečnost záloh jako integrovanou disciplínu, nikoli jako položku v nákupu.

Kde přichází na řadu BackupSec

V BackupSec pomáháme týmům provozovat jejich zálohovací prostředí Veeam v souladu s výše uvedenými principy. Zálohovací platformu nenahrazujeme; děláme její bezpečnost pozorovatelnou, podloženou odborným poradenstvím a otestovanou.

• ZeroMON monitoruje Veeam Backup & Replication: stav úloh, změny konfigurace se záznamem kdo/co/kdy, checklist Security Analyzer, reporty a honeypot. Zobrazuje stav neměnnosti tak, jak ho uvádí nastavení repozitářů ve Veeamu; neověřuje zámky na úrovni objektů v samotném úložišti. Upozornění chodí e-mailem a jako notifikace v aplikaci. Nasazuje se on-premises jako OVA, připojuje se pomocí účtu jen pro čtení a nic neodesílá společnosti BackupSec ani žádné třetí straně.
• ZeroTAM vám poskytne vyhrazeného poradce pro bezpečnost záloh v oblasti architektury, kapacity, plánování obnovy po ransomwaru a prioritní podpory v krizi.
• ZeroPEN je penetrační test řízený hrozbami (threat-led) pro Veeam Backup & Replication, Veeam ONE a Enterprise Manager: osm fází kill chainu namapovaných na MITRE ATT&CK. Součástí zakázky je také ověření integrity obnovy a neměnnosti. Nikdy nemaže skutečné zálohy, neprovádí skutečné šifrování ani nezastavuje produkční nebo zálohovací služby. Získáte důkazy připravené pro audit a opakovaný test u kritických nálezů.
• ZeroVault je S3 kompatibilní neměnné cloudové objektové úložiště s Object Lock pro neměnnou kopii mimo pracoviště.

Promluvte si s BackupSec o bezpečnostní úrovni vašich záloh →