Co pravidlo 3-2-1-1-0 skutečně říká
Pravidlo 3-2-1-1-0 je vzorec ochrany dat, který určuje, kolik kopií dat mít, na jakých typech médií a jak prokázat, že skutečně fungují:
- 3 kopie dat — produkční kopie plus alespoň dvě zálohy.
- 2 různá média nebo úložné platformy, aby selhání jedné technologie nebo výpadek jednoho dodavatele nemohly zničit všechny kopie najednou.
- 1 kopie uložená mimo primární lokalitu, geograficky oddělená od hlavního pracoviště.
- 1 další kopie, která je neměnná nebo air-gapped — nedostupná nebo neupravitelná i pro útočníka s administrátorskými přihlašovacími údaji.
- 0 chyb: každá záloha ověřená a každá obnova otestovaná, ne jen předpokládaná jako funkční.
Působí to jako přirozená posloupnost, ale obě dodatečné číslice — druhá „1" a „0" — nebyly součástí původního vzorce. Přidaly se až o roky později, jako přímá reakce na to, že se ransomware naučil cílit konkrétně na zálohy. Pochopení toho, proč byly přidány, vypovídá o moderní strategii zálohování víc než samotný checklist.
Odkud se pravidlo vzalo
Část názvu „3-2-1" existovala ještě předtím, než se objevil ransomware. Fotograf Peter Krogh tuto frázi vytvořil ve své knize z roku 2006 The DAM Book: Digital Asset Management for Photographers, kde zjednodušil soubor postupů, které pozoroval u IT profesionálů, do vzorce dost jednoduchého na to, aby ho dokázali skutečně dodržovat i pracující fotografové — kteří najednou zodpovídali za nenahraditelné digitální archivy, ale nebyli to systémoví administrátoři. Krogh nevymyslel samotnou myšlenku redundantních kopií mimo pracoviště — dal jí jen zapamatovatelný název. Pravidlo mu bylo formálně připsáno později, v publikaci US-CERT o možnostech zálohování dat z roku 2012, kdy už se ale mezitím stalo standardním doporučením napříč firemním IT, a dodnes zůstává základem, který podporují jak CISA, tak NIST.
Původní pravidlo 3-2-1 bylo navržené pro hrozby své doby: selhání disku, požár, povodeň, krádež a náhodné smazání. Jeho základní předpoklad zněl, že jedna fyzická událost pravděpodobně nezničí tři kopie dat rozprostřené napříč dvěma typy médií a dvěma lokalitami. Zhruba deset let tento předpoklad platil.
Proč samotné 3-2-1 přestalo stačit
Tento předpoklad se rozpadl ve chvíli, kdy provozovatelé ransomwaru začali zálohovací infrastrukturu považovat za primární cíl, ne za překážku, kterou je potřeba obejít. Tři kopie na dvou typech médií s jednou mimo pracoviště stále plně splňují 3-2-1, i když jsou všechny tři kopie dostupné pomocí stejné sady kompromitovaných produkčních přihlašovacích údajů — a přesně takový scénář moderní ransomwarové skupiny hledají.
Rozsah tohoto posunu je markantní. Zpráva Veeam 2025 Ransomware Trends zjistila, že z 1,300 dotazovaných organizací mělo 89 % obětí ransomwaru přímo napadená úložiště záloh během útoku. Zpráva Sophos 2025 State of Ransomware zaznamenala nejnižší podíl úspěšné obnovy ze záloh za šest let, co se průzkum provádí: ze zálohy dokázalo obnovit data jen 54 % organizací, a mezi těmi, kdo nakonec zaplatili víc, než útočník původně požadoval, uvedlo 38 % jako přímou příčinu nefunkční nebo selhávající zálohy.
Tři geograficky oddělené kopie nijak nezastaví útočníka, který už má přihlašovací údaje k tomu, aby smazal všechny tři. A přesně tuto mezeru mají obě přidané číslice uzavřít.
Extra „1": kopie, na kterou útočníci opravdu nedosáhnou
Dodatečná „1" vyžaduje alespoň jednu kopii, která je buď neměnná — chráněná před úpravou nebo smazáním po stanovené retenční období, typicky pomocí object locku na cloudovém úložišti, hardwaru Write Once Read Many (WORM) nebo zabezpečeného úložiště (repository) s retencí vynucenou na úrovni úložiště — nebo air-gapped, tedy bez jakékoli trvalé síťové cesty z produkce.
Jde o přísnější požadavek, než se na první pohled zdá. Dva cloudové regiony od stejného poskytovatele, oba dostupné stejným administrátorským účtem, tento požadavek nesplňují — geografické oddělení bez oddělení přihlašovacích údajů není skutečná ochrana proti útočníkovi, který už má práva doménového správce. Skutečné implementace obvykle kombinují cloudové neměnné úložiště pro rychlou obnovu s hlubší offline nebo air-gapped kopií pro nejhorší scénář, kdy je kompromitovaná i řídicí rovina neměnné vrstvy.
Doporučení CISA k ransomwaru jasně říká, že offline, šifrované zálohy by se měly považovat za poslední linii obrany právě proto, že leží mimo dosah, kam se kompromitovaná identita může dostat.
„0": důkaz, že záloha skutečně funguje
„0" je provozní polovina pravidla, a zároveň ta, kterou organizace nejčastěji vynechávají. Vyžaduje nulu neověřených záloh — každá záloha musí mít zkontrolovanou integritu, každá cesta obnovy musí být pravidelně otestovaná od začátku do konce, nejen sledovaná podle zelené notifikace „úloha úspěšně proběhla".
Propast mezi úlohami zálohování, které hlásí úspěch, a obnovami, které skutečně fungují, je velká a dobře zdokumentovaná. Oborový průzkum z roku 2025 zjistil, že 62 % organizací pravidelně neprovádí testovací cvičení zálohování a obnovy a 37 % se nepodařilo obnovit data v rámci požadovaného cíle doby obnovy právě proto, že zálohy chyběly nebo nikdy nebyly ověřeny. Když se obnova provádí bez řádné kontroly integrity a antimalwarové kontroly, odhaduje se, že 63 % organizací riskuje opětovné zavlečení stejné infekce, která výpadek způsobila — a pokus o obnovu se tak změní ve druhý incident.
„0" existuje proto, že záloha, ze které nikdy nebyla provedena obnova, není kontrola — je to jen předpoklad. Teprve ověřování prováděné podle plánu a poměřované vůči reálným cílům doby obnovy mění tento předpoklad ve fakt, na který se dá spolehnout během skutečného incidentu.
Časté chyby při zavádění 3-2-1-1-0
- Počítání dvou cloudových regionů jako „dvě média". Rozmanitost typů médií znamená skutečně odlišné úložné technologie nebo platformy, ne dvě instance stejného objektového úložiště.
- Považování extra „1" za splněnou libovolnou kopií mimo pracoviště. Offsite řeší geografii; neměnnost nebo air-gapped řeší kompromitaci přihlašovacích údajů. Kopie mimo pracoviště, která formálně splňuje pravidlo, ale sdílí identitní rovinu s produkcí, neuzavírá mezeru, kvůli které byla tato číslice přidána.
- Vynechávání „0", protože úlohy zálohování hlásí zelenou. Úspěšná úloha zálohování potvrzuje jen to, že se data zapsala. Nepotvrzuje, že jsou data obnovitelná, konzistentní na úrovni aplikace nebo bez malwaru, který si obnovu vůbec vyžádá.
- Uplatňování pravidla jednotně bez ohledu na kritičnost dat. Systémy první úrovně (tier-one) si obecně zaslouží častější ověřování a kratší RTO než archivní data; jednotná retenční a testovací politika napříč celým prostředím obvykle nedostatečně chrání systémy, na kterých nejvíc záleží, a naopak zbytečně přeinvestovává do těch, na kterých tolik nezáleží.
Stačí 3-2-1-1-0 i v roce 2026?
Pro většinu organizací platí, že správné zavedení 3-2-1-1-0 — se skutečně vynucovanou extra „1" a „0", ne jen odškrtnutou na papíře — uzavírá většinu mezery, která ransomwaru vůbec umožnila začít cílit na zálohy. Zůstává to solidní provozní základ, který CISA i NIST nadále doporučují.
Kde 3-2-1-1-0 nestačí, je architektura: odpovídá na otázku „kolik kopií, kde a v jakém stavu", ale nic neříká o správě přístupů, segmentaci sítě a průběžném monitoringu, které rozhodují o tom, zda tyto kopie zůstanou v takovém stavu i pod útokem. Přesně tuto mezeru má uzavřít vlastní Fibonacciho pravidlo zabezpečení záloh od BackupSecu (5-3-2-1-1-0), které pod stejný vzorec počtu kopií přidává pět základních bezpečnostních principů. Pro organizaci, která teprve dostává 3-2-1-1-0 plně a prokazatelně do provozu, je to ale další krok — ne předpoklad.
Kde přichází na řadu BackupSec
Ve společnosti BackupSec pomáháme firemním týmům ověřit, že jejich implementace 3-2-1-1-0 je skutečná — ne jen zdokumentovaná — tím, že děláme zabezpečení záloh pozorovatelné, poradensky podložené a prokazatelné.
Náš přístup kombinuje tři vrstvy:
- ZeroMON poskytuje průběžnou pozorovatelnost nad celým zálohovacím prostředím — monitoring připravený pro Veeam s real-time sledováním úloh, automatizovanými bezpečnostními kontrolami, forenzními auditními stopami pro configuration drift a reporty o compliance na jedno kliknutí. Tato vrstva mění požadavek pravidla „0 chyb" z naděje na doložený fakt.
- ZeroTAM poskytuje dedikované odborné poradenství pro architekturu záloh, konfiguraci neměnnosti a plánování obnovy po ransomwaru — lidskou vrstvu, kterou většina firem potřebuje k tomu, aby si potvrdila, že jejich extra „1" je opravdu izolovaná, ne jen geograficky vzdálená.
- ZeroPEN penetračně testuje vaši zálohovací infrastrukturu tak, jako by to dělal skutečný útočník — cílí na řídicí roviny, přístupové kontroly a nastavení neměnnosti — a následně spouští reálné scénáře obnovy, aby prokázal, že se dokážete obnovit čistě, kompletně a v rámci deklarovaného RTO.
BackupSec se nasazuje on-premise, k vašim zálohovacím aplikacím se připojuje přes API s přístupem pouze pro čtení a data záloh nikdy nepřesouvá mimo vaše prostředí.
Promluvte si se společností BackupSec o zabezpečení vašich záloh →
Chcete zjistit, jak si stojí vaše vlastní prostředí? Ohodnoťte ho pomocí bezplatného Backup Security Assessment.