De Fibonacci-regel voor back-upsecurity: 3-2-1-1-0 uitbreiden voor moderne back-upbeveiliging

Waarom volwassen back-upstrategieën in 2026 tekortschieten

Jarenlang was de 3-2-1-back-upregel het fundament van databescherming. Fotograaf Peter Krogh zegt dat hij de term heeft bedacht toen hij de eerste editie van The DAM Book schreef, en zijn back-uphandleiding voor het dpBestflow-project van de ASMP zet de regel uiteen: drie kopieën van elk belangrijk bestand, op twee verschillende soorten media, met één kopie offsite. De formule verspreidde zich tot ver buiten de fotografie. Het document van CISA over opties voor databack-ups herhaalt haar voor persoonlijke en zakelijke data.

Het werkte. Totdat het niet meer werkte.

Het 2025 Data Breach Investigations Report van Verizon trof ransomware aan in 44% van de onderzochte datalekken, tegenover 32% in de vorige editie. Die editie beslaat incidenten van november 2023 tot oktober 2024; de editie van 2026, over november 2024 tot oktober 2025, komt op een aandeel van 48%. Het onderzoeksteam van GuidePoint Security, dat de slachtoffers bijhoudt die ransomwaregroepen publiceren, registreerde in 2025 een stijging van 58% in het aantal ransomwareslachtoffers ten opzichte van het jaar ervoor, het actiefste jaar dat het ooit heeft gevolgd. Nog ingrijpender voor risicoverantwoordelijken in grote organisaties: over de incident-response-opdrachten van Mandiant in 2025 zag de Google Threat Intelligence Group bevestigde of vermoede datadiefstal bij ongeveer 77% van de ransomware-inbraken, tegenover ongeveer 57% in 2024. Als data al gestolen is, brengt een foutloze restore de systemen terug, maar is het datalek daarmee niet opgelost.

De 3-2-1-regel is ontworpen voor hardwarestoringen, regionale uitval en per ongeluk verwijderde bestanden. Hij is niet ontworpen voor aanvallers die het specifiek op back-uprepository's gemunt hebben, of voor insiders met geldige beheerderscredentials. Aanvallers weten dat het vernietigen van back-ups het slachtoffer zijn alternatief voor betalen ontneemt. Hetzelfde rapport van Google merkt op dat ransomware-actoren "often disabled or deleted backups to inhibit and/or limit recovery options." (vaak back-ups uitschakelden of verwijderden om herstelmogelijkheden te belemmeren of te beperken).

Daarom is de regel uitgebreid. Veeam beschrijft zijn eigen uitbreiding, 3-2-1-1-0, als de toevoeging van één immutable kopie en nul herstelfouten. Bij BackupSec stellen we een volgende stap voor, die we de Fibonacci-regel voor back-upsecurity noemen en schrijven als 5-3-2-1-1-0. Het is ons eigen kader, geen industriestandaard. Het leest als de rij van Fibonacci achterstevoren en voegt een zesde element toe: vijf fundamentele securityprincipes die elke laag daaronder moeten dragen.

Voor organisaties met een volwassen back-upomgeving herdefinieert dit artikel wat "volledige databescherming" in 2026 zou moeten betekenen.

Van 3-2-1 naar 3-2-1-1-0: een korte terugblik

Voordat we de Fibonacci-regel introduceren, is het goed om te zien hoe we hier zijn gekomen.

De oorspronkelijke 3-2-1-regel vroeg om drie kopieën van data op twee verschillende soorten media, waarvan één offsite. De regel draaide om redundantie, vanuit de aanname dat geen enkele fysieke gebeurtenis alle drie de kopieën tegelijk kon vernietigen.

De 3-2-1-1-0-regel, de uitbreiding van Veeam op het origineel die nu breed wordt gebruikt, voegde twee verfijningen toe:

• Eén immutable of air-gapped kopie die niet kan worden gewijzigd of verwijderd, zelfs niet door een aanvaller met beheerderscredentials.
• Nul fouten bij de verificatie van back-ups, zodat van elke back-up vaststaat dat hij terug te zetten is, en niet alleen dat hij bestaat.

Deze stap dichtte twee belangrijke gaten: ransomware die zich op back-ups richt, en het stille falen van back-ups die pas worden getest als het misgaat. Maar de regel probeert niet de volledige securityarchitectuur rond die kopieën te definiëren: scheiding van identiteiten, geprivilegieerde toegang, segmentatie, continue monitoring en het beperken van de blast radius.

Dat is het gat dat de Fibonacci-regel voor back-upsecurity moet dichten.

Waarom Fibonacci? De logica achter de getallen

De rij van Fibonacci (0, 1, 1, 2, 3, 5, 8, 13...) is een van de elegantste patronen in de wiskunde: elk getal is de som van de twee getallen ervoor. Lees ons kader achterstevoren (5, 3, 2, 1, 1, 0) en dezelfde opbouwende logica geldt: elke beschermingslaag bouwt voort op de fundamenten eronder.

• 5 fundamentele securityprincipes. Vijf principes die bepalen hoe back-up wordt ingericht.
• 3 kopieën van data. Ten minste drie kopieën van elke kritieke dataset.
• 2 verschillende media of typen storage/platform. Opgeslagen op twee verschillende media, storageplatforms of technologiestacks.
• 1 offsite kopie. Eén kopie op een geografisch gescheiden locatie.
• 1 extra kopie die immutable, geïsoleerd of anderszins beschermd is. Nog een kopie die beschermd is tegen wijziging of vernietiging.
• 0 ongeverifieerde back-ups of openstaande herstelfouten. Geen back-up blijft ongeverifieerd, geen herstelfout blijft openstaan.

De oorspronkelijke 3-2-1-1-0-regel beantwoordde de operationele vraag "Hoeveel kopieën, waar en in welke staat?" De "5" die wij toevoegen, beantwoordt een fundamentelere architectuurvraag: "Wat betekent het eigenlijk dat een back-up veilig is?"

Zonder die vijf principes is de rest van de keten hol. Een back-up die in drie kopieën bestaat, op twee media, in immutable staat, maar onder gebrekkige toegangscontrole valt of bereikbaar is vanaf een gecompromitteerd beheerwerkstation, is niet beschermd. Het is de documentatie van een blootstelling.

De "5": vijf fundamentele principes van back-upsecurity

Deze vijf principes horen elke architectuurbeslissing in uw back-upomgeving te sturen, van platformkeuze tot retentiebeleid en toegangsbeheer.

1. Cyberweerbare architectuur by design

Back-upsecurity kunt u niet achteraf inbouwen. Het moet vanaf de eerste dag een ontwerpeis zijn.

Een cyberweerbare back-uparchitectuur behandelt elk onderdeel (de catalogus, de storagelaag, het managementvlak, de herstelomgeving) als potentieel doelwit. Ze gaat uit van een inbraak, plant voor compromittering en zorgt ervoor dat geen enkele storing, of die nu technisch, menselijk of vijandig is, kan uitmonden in het volledige verlies van herstelbaarheid.

In de praktijk betekent dit:

• Defense in depth: meerdere onafhankelijke maatregelen beschermen elke laag, zodat het falen van één maatregel het systeem niet blootlegt.
• Beperking van de blast radius: een compromittering van de productieomgeving kan zich niet uitbreiden naar de back-upinfrastructuur, en een compromittering van één back-uplaag kan zich niet uitbreiden naar de andere.
• Ontwerp met herstel voorop: architecturen worden niet alleen beoordeeld op hoe goed ze data back-uppen, maar op hoe betrouwbaar ze die onder vijandige omstandigheden kunnen terugzetten: als DNS plat ligt, identity providers gecompromitteerd zijn of de primaire locatie onbereikbaar is.
• Versleuteling als bouwsteen van de architectuur, niet als functie: elke back-up moet in elke toestand beschermd zijn met sterke, gangbare versleuteling at rest en in transit, waarbij de encryptiesleutels waar mogelijk onafhankelijk van de back-upinfrastructuur worden beheerd, idealiter in een dedicated HSM of een key management service met apart administratief eigenaarschap. Als uw sleutels naast uw data staan, hebt u geen versleuteling maar verhulling. Voor organisaties met grensoverschrijdende datastromen wordt sleutelsoevereiniteit (wie openbaarmaking kan afdwingen, onder welke jurisdictie en binnen welke termijn) een ontwerpbeslissing in plaats van een probleem voor incident response.

Security die achteraf wordt vastgeschroefd op een back-upsysteem dat voor een ouder dreigingslandschap is ontworpen, laat haar gaten meestal midden in een incident zien, wanneer de architectuur zelf de zwakke plek blijkt te zijn. Weerbaarheid moet erin worden ontworpen.

2. Zero-trust-toegang en sterke authenticatie

Het principe is eenvoudig: never trust, always verify. Elk verzoek om een back-up te lezen, te schrijven of te wijzigen moet op het moment van het verzoek worden geauthenticeerd en geautoriseerd, ongeacht de netwerkherkomst.

In de praktijk vraagt dat om:

• Multifactorauthenticatie (MFA) voor elke beheeridentiteit die aan back-upinfrastructuur raakt, idealiter met phishingbestendige methoden zoals hardwaretokens.
• Role-based access control (RBAC) die het principe van least privilege op fijnmazig niveau afdwingt.
• Aparte beheeridentiteiten voor productie- en back-upsystemen. Een gecompromitteerde domeinbeheerder mag geen toegang hebben tot uw laatste verdedigingslinie.
• Privileged access management (PAM) met just-in-time-verhoging van rechten, opname van sessies en goedkeuringsworkflows voor gevoelige handelingen zoals wijzigingen in het retentiebeleid.

In de enquête State of Ransomware 2025 van Sophos onder 3.400 door ransomware getroffen organisaties noemden slachtoffers gecompromitteerde credentials als grondoorzaak van 23% van de aanvallen, de op één na meest voorkomende technische grondoorzaak na misbruikte kwetsbaarheden (32%). Als uw back-upomgeving dezelfde identiteitsinfrastructuur vertrouwt die productie beschermt, hebt u een single point of failure die zich voordoet als gelaagde verdediging.

3. Immutability en WORM-storage

Immutability, de eigenschap dat data na het wegschrijven gedurende een vastgestelde retentieperiode niet kan worden gewijzigd of verwijderd, is van "best practice" opgeschoven naar "niet onderhandelbaar". Of ze nu wordt ingevuld met Object Lock op cloudstorage, met Write Once Read Many (WORM)-media of met hardwarematig afgedwongen retentielocks: immutability is een van de effectiefste architectonische verdedigingen tegen aanvallers die gericht op zoek gaan naar back-uprepository's.

Voor organisaties die onder regels voor archivering vallen, kan immutability ook compliance ondersteunen. SEC Rule 17a-4 staat broker-dealers toe elektronische records te bewaren met een volledige audit trail met tijdstempels, of "in a non-rewriteable, non-erasable format." (in een formaat dat niet kan worden overschreven of gewist). De HIPAA Security Rule vereist een back-upplan dat "retrievable exact copies" (opvraagbare exacte kopieën) van elektronische beschermde gezondheidsinformatie aanmaakt en bijhoudt. Het controleoppervlak dat u tegen ransomware beschermt, is vaak hetzelfde waar uw auditor naar vraagt.

CISA is voorzichtiger dan de meeste leveranciers. Zijn #StopRansomware Guide zegt organisaties "maintain offline, encrypted backups of critical data" (houd offline, versleutelde back-ups van kritieke data bij) en regelmatig de beschikbaarheid en integriteit daarvan te testen. Immutable storage van cloudleveranciers noemt de gids alleen met een waarschuwing: zulke storage "does not meet compliance criteria for certain regulations," (voldoet voor bepaalde regelgeving niet aan de compliance-eisen), en een verkeerde configuratie kan aanzienlijke kosten veroorzaken. Immutability houdt back-ups intact tegenover een aanvaller die al beheerderscredentials heeft. Het vervangt geen offline kopie en geen geteste restore.

4. Continue verificatie en hersteltests

Een back-up die u niet hebt getest, is geen back-up. Het is een hypothese.

De "0" in 3-2-1-1-0 eist nul fouten, maar die bewering kunt u alleen onderbouwen door continu te testen. Volwassen programma's werken met geautomatiseerde integriteitscontroles, periodieke oefeningen met volledige restores, geïsoleerde herstelomgevingen voor validatie en gestructureerde tabletop-oefeningen die de menselijke en proceslagen net zo grondig op de proef stellen als de technische.

Herstel gaat sneller. In dezelfde Sophos-enquête had 53% van de ransomwareslachtoffers binnen een week volledig hersteld, tegenover 35% in 2024, en 97% had binnen drie maanden volledig hersteld. Sophos oppert dat de verbetering kan voortkomen uit investeringen in incidentvoorbereiding en herstelparaatheid. De enquête isoleert het effect van geteste plannen niet, maar het eigen advies van Sophos is om back-ups van goede kwaliteit te maken en regelmatig te oefenen met het terugzetten ervan.

De les voor risicoverantwoordelijken: testen is wat organisaties die back-ups hebben scheidt van organisaties die kunnen herstellen.

5. Isolatie en netwerksegmentatie

Back-upinfrastructuur moet sterk gesegmenteerd zijn van productie en mag, waar dat praktisch haalbaar is, niet afhangen van dezelfde administratieve vertrouwensgrenzen die productiesystemen beschermen.

Moderne best practice combineert logische segmentatie (aparte VLAN's, dedicated subnetten, strikte firewallregels, microsegmentatie) met air-gapped of vrijwel air-gapped architecturen voor ten minste één kopie van elke back-up. Immutability in de cloud met aparte identity providers, offline tapewisselingen, dedicated herstelomgevingen en tenantisolatie in gedeelde infrastructuur dienen allemaal hetzelfde architectuurdoel: ervoor zorgen dat de blast radius van één compromittering zich niet kan uitstrekken tot de herstellaag.

Als een aanvaller op uw domeincontroller met dezelfde credentials uw back-uprepository kan bereiken, is uw back-up onderdeel van het aanvalsoppervlak en niet daarvan gescheiden.

De "3-2-1": redundantie die nog steeds telt

Met de vijf principes als fundament blijft de klassieke 3-2-1-laag essentieel.

• 3 kopieën van elke kritieke dataset: uw productiedata plus ten minste twee back-ups.
• 2 verschillende media of storageplatforms: lokale disk en cloud, of on-premises objectstorage en een aparte cloudprovider. Het doel is ervoor te zorgen dat één technologiestoring, één storing bij een leverancier of één type aanval niet alle kopieën tegelijk kan vernietigen.
• 1 offsite kopie: geografisch gescheiden van uw primaire locatie, idealiter in een ander dreigingsdomein en, waar passend, onder een andere jurisdictie.

Wat is veranderd sinds de regel voor het eerst werd geformuleerd, is de interpretatie. Twee cloudregio's van dezelfde provider vormen geen "twee verschillende media". Een back-upvolume op een SAN naast uw productie-array is niet echt "offsite". Moderne threat modeling vraagt om een strengere lezing van elke eis.

De "1-1": offsite en immutable of air-gapped

De twee "enen" hebben betrekking op verschillende faaldomeinen.

De eerste vereist dat één kopie offsite wordt bewaard, geografisch gescheiden van de primaire omgeving, zodat een incident op locatieniveau, een infrastructuurstoring of een fysieke ramp niet alle herstelopties tegelijk kan wegvagen.

De tweede vereist dat ten minste één extra kopie beschermd is tegen wijziging of vernietiging door immutability, een air-gap of een gelijkwaardig isolatiemechanisme. Het doel daarvan is anders: offsite scheiding beschermt tegen het uitvallen van een locatie, terwijl immutability of isolatie beschermt tegen een aanvaller die beheerderstoegang heeft verkregen.

In de uitvoering kunnen deze eisen overlappen. Een offsite kopie kan ook immutable zijn, en volwassen omgevingen kunnen zowel een immutable herstellaag als een diepere offline of air-gapped kopie aanhouden. Waar het om gaat, is dat geografie alleen niet als security-isolatie wordt beschouwd.

Dit onderscheid is ook de reden dat immutability tussen de vijf securityprincipes van de Fibonacci-regel staat. De numerieke "1" definieert een minimale beschermingseis voor een back-upkopie; het securityprincipe vereist dat immutability in de hele architectuur wordt meegenomen, inclusief retentie-instellingen, beheerderstoegang, scheiding van identiteiten en het managementvlak.

De "0": nultolerantie voor ongeverifieerde back-ups

Elke back-up geverifieerd. Elke restore getest. Elk gat gedocumenteerd en gedicht.

De "0" is de laag van operationele discipline in het kader. Ze vraagt om grondigheid: geautomatiseerde checksums, geplande validatie van restores, anomaliedetectie op de metadata van back-upjobs (een plotselinge piek in jobgrootte kan erop wijzen dat een aanvaller data klaarzet voor versleuteling), gedragsmonitoring van beheeractiviteit rond back-ups en duidelijke escalatiepaden als verificatie mislukt.

De redenering is eenvoudig. Een aanvaller die back-ups wil vernietigen, moet eerst aan het back-upsysteem komen, en die wijzigingen zijn zichtbaar in jobinstellingen, retentiewaarden en auditlogs lang voordat een restore mislukt. Nul fouten is geen ijdelheidsmetriek. Het is het verschil tussen vertrouwen en vals vertrouwen op het moment dat dat onderscheid het meest telt.

Wat dit betekent voor risicoverantwoordelijken in grote organisaties

Als uw organisatie werkt met een back-upstrategie die voor een ander dreigingslandschap is ontworpen, is het gat tussen wat u hebt en wat u nodig hebt niet langer academisch. Kijk naar de financiële realiteit:

• De Sophos-enquête van 2025 kwam uit op een mediane losgeldbetaling van $1 miljoen en gemiddelde herstelkosten, zonder eventueel losgeld, van $1,53 miljoen.
• Het Verizon 2025 DBIR meldt dat 64% van de organisaties die slachtoffer werden van ransomware niet betaalde, tegenover 50% twee jaar eerder. Sophos vond in een andere steekproef dat 49% van de slachtoffers losgeld betaalde om hun data terug te krijgen. Hoe dan ook is betalen niet langer de standaard, en een organisatie die weigert, heeft een restorepad nodig dat werkt.

Voor organisaties in gereguleerde sectoren of met complexe hybride omgevingen is de afweging nog scherper. Beursgenoteerde bedrijven in de VS moeten een materieel cybersecurityincident melden via Form 8-K, in het algemeen binnen vier werkdagen nadat is vastgesteld dat het materieel is, en veel andere jurisdicties en sectoren leggen eigen meldplichten op. De kosten van een onherstelbaar incident zijn niet langer alleen operationeel. Ze zijn ook reputatie- en toezichtgerelateerd.

De Fibonacci-regel invoeren betekent niet dat u uw infrastructuur vanaf nul opnieuw moet bouwen. Het vraagt om een eerlijke architectuurbeoordeling, geprioriteerd herstel van tekortkomingen aan de hand van een duidelijke set principes, en een bestuurlijke toezegging om back-upsecurity als geïntegreerde discipline te behandelen in plaats van als een regel in de inkoopbegroting.

Waar BackupSec in beeld komt

Bij BackupSec helpen we teams hun Veeam-back-upomgevingen volgens de bovenstaande principes te beheren. We vervangen het back-upplatform niet; we maken de security ervan observeerbaar, onderbouwd met advies en getest.

• ZeroMON monitort Veeam Backup & Replication: gezondheid van jobs, configuratiewijzigingen met een spoor van wie wat wanneer deed, een checklist van de Security Analyzer, rapporten en een honeypot. Het toont de immutability-status zoals de repository-instellingen van Veeam die rapporteren; het verifieert geen locks op objectniveau in de storage. Alerts gaan per e-mail en als melding in de applicatie. Het wordt on-premises uitgerold als OVA, maakt verbinding met een read-only account en stuurt niets naar BackupSec of een andere derde partij.
• ZeroTAM geeft u een vaste adviseur voor back-upsecurity voor architectuur, capaciteit, planning van herstel na ransomware en ondersteuning met voorrang tijdens een crisis.
• ZeroPEN is een threat-led penetratietest van Veeam Backup & Replication, Veeam ONE en Enterprise Manager: acht fasen van de kill chain, gekoppeld aan MITRE ATT&CK. De opdracht omvat ook verificatie van restore-integriteit en immutability. De test verwijdert nooit echte back-ups, voert nooit echte versleuteling uit en stopt nooit productie- of back-upservices. U krijgt audit-klaar bewijs en een hertest voor kritieke bevindingen.
• ZeroVault is S3-compatibele immutable cloud-objectstorage met Object Lock, voor de offsite immutable kopie.

Praat met BackupSec over de security van uw back-upomgeving →