Co pravidlo 3-2-1-1-0 skutečně říká
Pravidlo 3-2-1-1-0 je vzorec ochrany dat, který určuje, kolik kopií dat uchovávat, na jakých médiích a jak prokázat, že skutečně fungují:
- 3 kopie dat: produkční kopie plus nejméně dvě zálohy.
- 2 různá média nebo úložné platformy, aby jediné selhání technologie nebo výpadek dodavatele nemohly zničit všechny kopie najednou.
- 1 kopie uložená mimo pracoviště, geograficky oddělená od primární lokality.
- 1 další kopie, která je neměnná nebo air-gapped, takže ji ani útočník s administrátorskými přihlašovacími údaji nemůže změnit ani se k ní dostat.
- 0 chyb: každá záloha ověřená a obnovy otestované, nikoli jen předpoklad, že fungují.
První tři číslice tvoří klasické pravidlo 3-2-1. Druhá „1“ a „0“ přibyly později. Veeam uvádí, že „extended the rule to 3-2-1-1-0“ (rozšířil pravidlo na 3-2-1-1-0), a důvod pro kopii navíc uvádí přímo: „ransomware increasingly targets backups.“ (ransomware se stále častěji zaměřuje na zálohy). Pochopení, proč byly tyto dvě číslice přidány, vypovídá o moderní strategii zálohování víc než samotný kontrolní seznam.
Odkud pravidlo pochází
Část názvu „3-2-1“ je starší než ransomware jako rozšířená hrozba. Připisuje se fotografovi Peteru Kroghovi a jeho knize The DAM Book: Digital Asset Management for Photographers. Krogh nevymyslel myšlenku redundantních kopií mimo pracoviště; dal jí název dost jednoduchý na to, aby se dal zapamatovat.
Obvyklým referenčním bodem je dokument Data Backup Options, napsaný v roce 2012 pro US-CERT. Pravidlo v něm zní „Keep 3 copies of any important file: 1 primary and 2 backups“ (Uchovávejte 3 kopie každého důležitého souboru: 1 primární a 2 zálohy), „Keep the files on 2 different media types to protect against different types of hazards“ (Uchovávejte soubory na 2 různých typech médií, abyste je chránili před různými druhy rizik) a „Store 1 copy offsite“ (Ukládejte 1 kopii mimo pracoviště). Jako svůj zdroj dokument uvádí druhé vydání Kroghovy knihy z roku 2009.
Tytéž základy jsou stále i v současných doporučeních. Cybersecurity Framework 2.0 organizace NIST uvádí výstup PR.DS-11: „Backups of data are created, protected, maintained, and tested“ (Zálohy dat jsou vytvářeny, chráněny, udržovány a testovány). #StopRansomware Guide agentury CISA ukládá organizacím „maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario.“ (udržovat offline šifrované zálohy kritických dat a pravidelně testovat dostupnost a integritu záloh ve scénáři obnovy po havárii).
Původní pravidlo 3-2-1 bylo navrženo pro hrozby své doby: selhání disku, požár, povodeň, krádež a náhodné smazání. Jeho klíčovým předpokladem bylo, že žádná jednotlivá fyzická událost nemůže reálně zničit tři kopie dat rozložené na dvou typech médií a ve dvou lokalitách.
Proč samotné 3-2-1 přestalo stačit
Tento předpoklad padl, když operátoři ransomwaru začali zálohovací infrastrukturu považovat za primární cíl, a ne za překážku, kterou je třeba obejít. Tři kopie na dvou typech médií, z nichž jedna je mimo pracoviště, plně splňují pravidlo 3-2-1, i když jsou všechny tři dosažitelné stejnou sadou kompromitovaných přihlašovacích údajů. Přesně takový scénář moderní ransomwarové skupiny hledají. Příručka CISA to říká bez obalu: „most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid.“ (většina aktérů ransomwaru se snaží najít dostupné zálohy a následně je smazat nebo zašifrovat, aby obnova nebyla možná, dokud nebude zaplaceno výkupné).
Data z průzkumů ukazují stejným směrem. Zpráva společnosti Veeam 2025 Ransomware Trends, založená na průzkumu mezi 1 300 organizacemi, z nichž 900 bylo v předchozích 12 měsících zasaženo ransomwarem, zjistila, že u 89 % napadených organizací se útočník zaměřil na jejich zálohovací repozitáře a že v průměru bylo upraveno nebo smazáno 34 % jejich zálohovacích repozitářů. Průzkum společnosti Sophos State of Ransomware 2025 mezi 3 400 vedoucími pracovníky IT a kybernetické bezpečnosti, jejichž organizace byly zasaženy ransomwarem, zjistil, že pomocí záloh obnovilo data jen 54 % organizací, jejichž data byla zašifrována, což Sophos označuje za nejnižší podíl za šest let. Ze 151 organizací v tomto průzkumu, které zaplatily víc, než činil počáteční požadavek útočníka, 38 % uvedlo, že jejich zálohy selhaly nebo nefungovaly správně.
Tři geograficky oddělené kopie nijak nezastaví útočníka, který už má přihlašovací údaje ke smazání všech tří. Právě tuto mezeru měly dvě číslice navíc uzavřít.
„1“ navíc: jedna kopie, na kterou útočníci skutečně nedosáhnou
Další „1“ vyžaduje nejméně jednu kopii, která je buď neměnná, nebo air-gapped. Neměnná znamená chráněná před úpravou nebo smazáním po stanovenou dobu retence, obvykle pomocí Object Lock na cloudovém objektovém úložišti, hardwaru Write Once Read Many (WORM) nebo zabezpečeného (hardened) repozitáře, který vynucuje retenci na úrovni úložiště. Air-gapped znamená, že z produkce ke kopii nevede vůbec žádná trvalá síťová cesta.
Jde o přísnější požadavek, než se na první pohled zdá. Dva cloudové regiony stejného poskytovatele, oba dosažitelné stejným administrátorským účtem, ho nesplňují: geografické oddělení bez oddělení přihlašovacích údajů vás neochrání před útočníkem, který už má práva doménového administrátora. CISA uvádí k cloudovým zálohám související poznámku a navrhuje multicloudový přístup „in case all accounts under the same vendor are impacted.“ (pro případ, že budou zasaženy všechny účty u stejného dodavatele). Silnější implementace často kombinují neměnné cloudové úložiště pro rychlou obnovu s offline nebo air-gapped kopií pro nejhorší případ, kdy byla kompromitována i řídicí rovina (management plane) neměnné vrstvy.
Neměnnost má i vlastní kompromisy. Příručka CISA uvádí, že někteří cloudoví dodavatelé nabízejí neměnné úložiště, které chrání data bez samostatného prostředí, a přidává varování: „Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost.“ (Neměnné úložiště používejte s opatrností, protože nesplňuje kritéria compliance některých předpisů a chybná konfigurace může způsobit značné náklady.)
„0“: důkaz, že záloha skutečně funguje
„0“ je provozní polovina pravidla a ta, kterou je nejsnazší vynechat. Vyžaduje nulový počet neověřených záloh: každou zálohu zkontrolovanou z hlediska integrity a každou cestu obnovy pravidelně otestovanou od začátku do konce, nikoli jen sledovanou kvůli zelenému oznámení „job succeeded“. Veeam tuto číslici popisuje jako „zero recovery errors“ (nulový počet chyb při obnově); verze CISA zní „regularly test the availability and integrity of backups.“ (pravidelně testovat dostupnost a integritu záloh).
Úspěšná zálohovací úloha a čistá obnova jsou dvě různé věci. Zpráva společnosti Veeam 2024 Ransomware Trends zjistila, že jen 37 % napadených organizací zahrnutých do průzkumu použilo během obnovy nějaký druh sandboxu. Bez přípravného prostoru (staging), kde se obnovená data prověří dřív, než se vrátí do produkce, může obnova přinést zpět i malware útočníka a proměnit obnovu v druhý incident.
„0“ existuje, protože záloha, ze které se nikdy neobnovovalo, není kontrola. Je to předpoklad. Ověřování prováděné podle plánu a měřené proti realistickým cílům doby obnovy je to, co z tohoto předpokladu dělá fakt, na který se lze během skutečného incidentu spolehnout.
Časté chyby při zavádění 3-2-1-1-0
- Počítání dvou cloudových regionů jako „dvou médií“. Rozmanitost typů médií znamená skutečně odlišné úložné technologie nebo platformy, nikoli dvě instance téhož objektového úložiště.
- Považování „1“ navíc za splněnou jakoukoli kopií mimo pracoviště. Umístění mimo pracoviště řeší geografii; neměnnost nebo air gap řeší kompromitaci přihlašovacích údajů. Kopie mimo pracoviště, která pravidlo splňuje, ale sdílí s produkcí rovinu identit, neuzavírá mezeru, kvůli které byla tato číslice přidána.
- Vynechání „0“, protože zálohovací úlohy svítí zeleně. Úspěšná zálohovací úloha potvrzuje, že data byla zapsána. Nepotvrzuje, že jsou data obnovitelná, aplikačně konzistentní a bez malwaru, kvůli kterému bude obnova nutná.
- Uplatňování pravidla jednotně bez ohledu na kritičnost dat. Systémy první úrovně (tier-one) obecně vyžadují častější ověřování a kratší RTO než archivní data; jediná politika retence a testování pro celé prostředí obvykle nedostatečně chrání systémy, na kterých záleží nejvíc, a zbytečně utrácí za ty, na kterých nezáleží.
Stačí 3-2-1-1-0 i v roce 2026?
Pro většinu organizací správné zavedení 3-2-1-1-0 uzavírá významnou část mezery, která ransomwaru umožňuje udělat ze zálohovací infrastruktury cíl. Správně znamená, že neměnná nebo izolovaná kopie a ověřování obnovy jsou skutečně vynucovány, nikoli jen odškrtnuty.
Zůstává to solidní provozní základ. Veeam model 3-2-1-1-0 výslovně prosazuje. NIST a CISA podporují kontroly, na kterých stojí: chráněné zálohy, offline kopie a pravidelné testování. CISA také zmiňuje neměnné úložiště jako jednu z možností, s výhradami citovanými výše.
Pravidlo nestačí nikoli v redundanci, ale v okolní bezpečnostní architektuře. Říká nám, kolik kopií udržovat, kde by měly existovat a v jakém stavu by měly být. Plně nedefinuje řízení přístupu, hranice administrativní důvěry, segmentaci sítě, monitoring a architekturu obnovy, které jsou potřeba, aby tyto kopie zůstaly chráněné i během aktivní kompromitace.
Právě tuto mezeru má řešit Fibonacciho pravidlo bezpečnosti záloh (5-3-2-1-1-0) od BackupSec. Pravidlo 3-2-1-1-0 nenahrazuje; rozšiřuje ho o pět základních bezpečnostních principů.
Pro organizace, které teprve směřují k plně zavedené a pravidelně ověřované strategii 3-2-1-1-0, je tento základ na prvním místě. Fibonacciho pravidlo je architektonická vrstva, která na něm staví.
Kde přichází na řadu BackupSec
BackupSec se tomuto problému věnuje na straně Veeamu. Čtyři z našich služeb odpovídají tomuto pravidlu:
- ZeroMON monitoruje Veeam Backup & Replication. Běží on-premises jako OVA, připojuje se pomocí účtu jen pro čtení a nic neodesílá společnosti BackupSec ani žádné třetí straně. Sleduje stav úloh, zaznamenává změny konfigurace (kdo co změnil a kdy), provádí bezpečnostní checklist a zobrazuje stav neměnnosti, který Veeam uvádí na základě vlastních nastavení repozitářů. Upozornění přicházejí e-mailem a notifikací v aplikaci. ZeroMON čte konfiguraci Veeamu; neověřuje zámky v samotném úložišti a neprovádí testy obnovy. Dá vám vědět, když se změní podmínky, na kterých stojí vaše „1“ a „0“; testování obnovy je samostatná práce.
- ZeroVault je S3 kompatibilní cloudové objektové úložiště s Object Lock, používané jako neměnný cíl mimo pracoviště pro zálohy Veeam. Na rozdíl od ZeroMON uchovává zálohovaná data záměrně mimo vaše prostředí, protože přesně to kopie mimo pracoviště je.
- ZeroTAM vám poskytne vyhrazeného poradce pro bezpečnost záloh v oblasti architektury, kapacity, plánování obnovy po ransomwaru a prioritní podpory během krize. Jde o poradenskou práci, nikoli software: je to člověk, kterého se zeptáte, zda je vaše „1“ navíc skutečně izolovaná, nebo jen daleko.
- ZeroPEN je penetrační test řízený hrozbami (threat-led) pro Veeam Backup & Replication, Veeam ONE a Enterprise Manager. Simuluje ransomwarový kill chain v osmi fázích namapovaných na MITRE ATT&CK, od počátečního přístupu přes přístup k repozitářům a neutralizaci záloh až po prokázání schopnosti šifrovat. Je nedestruktivní: ZeroPEN „never deletes real backups, performs real encryption, or stops production or backup services.“ (nikdy nemaže skutečné zálohy, neprovádí skutečné šifrování ani nezastavuje produkční nebo zálohovací služby). Součástí zakázky je také ověření integrity obnovy a neměnnosti; zakázka končí balíčkem reportů připraveným pro audit a zahrnuje opakovaný test kritických nálezů.
Promluvte si s BackupSec o bezpečnostní úrovni vašich záloh →
Chcete si nejdřív udělat rychlou kontrolu? Bezplatné Backup Security Assessment klade 28 otázek v sedmi oblastech, od strategie zálohování a řízení přístupu po testování obnovy.