Wat de 3-2-1-1-0-regel eigenlijk inhoudt
De 3-2-1-1-0-regel is een dataprotectieformule voor hoeveel kopieën van je data je bewaart, op wat voor soort media, en hoe je bewijst dat ze ook echt werken:
- 3 kopieën van je data — de productiekopie plus minimaal twee back-ups.
- 2 verschillende media of opslagplatformen, zodat één technologiestoring of leveranciersuitval niet meteen alle kopieën tegelijk kan vernietigen.
- 1 kopie offsite opgeslagen, geografisch gescheiden van de primaire locatie.
- 1 extra kopie die immutable of air-gapped is — onbereikbaar of onwijzigbaar, zelfs voor een aanvaller met beheerderscredentials.
- 0 fouten: iedere back-up geverifieerd en iedere restore getest, niet alleen verondersteld te werken.
Het leest als een logische opbouw, maar de twee extra cijfers — de tweede "1" en de "0" — maakten geen deel uit van de oorspronkelijke formule. Ze zijn jaren later toegevoegd, als directe reactie op ransomware die specifiek back-ups leerde aanvallen. Begrijpen waarom ze zijn toegevoegd, vertelt meer over moderne back-upstrategie dan de checklist op zich.
Waar de regel vandaan komt
Het "3-2-1"-deel van de naam dateert van ver vóór ransomware. Fotograaf Peter Krogh muntte de term in zijn boek uit 2006, The DAM Book: Digital Asset Management for Photographers, en destilleerde daarmee een reeks praktijken die hij bij IT-professionals had waargenomen tot een formule die simpel genoeg was om ook door werkende fotografen te worden gevolgd — die plotseling verantwoordelijk waren voor onvervangbare digitale archieven, maar geen systeembeheerders waren. Krogh bedacht het onderliggende idee van redundante offsite-kopieën niet zelf; hij gaf het een naam die bleef hangen. De regel werd later formeel aan hem toegeschreven in een US-CERT-publicatie uit 2012 over back-upopties voor data, op welk moment de regel al de standaardaanbeveling was geworden binnen enterprise IT, en vandaag de dag nog altijd een basisniveau is dat door zowel CISA als NIST wordt onderschreven.
De oorspronkelijke 3-2-1-regel was ontworpen voor de dreigingen van die tijd: schijfstoringen, brand, overstroming, diefstal en onbedoelde verwijdering. De kernaanname was dat geen enkele fysieke gebeurtenis aannemelijk drie kopieën van data kon vernietigen, verspreid over twee mediatypen en twee locaties. Ongeveer tien jaar lang klopte die aanname.
Waarom 3-2-1 alleen niet meer volstond
Die aanname ging onderuit toen ransomware-operators back-upinfrastructuur gingen behandelen als primair doelwit in plaats van als obstakel om te omzeilen. Drie kopieën op twee mediatypen met één offsite voldoen nog steeds volledig aan 3-2-1, zelfs als alle drie de kopieën bereikbaar zijn met hetzelfde gecompromitteerde set productiecredentials — en dat is precies het scenario waar moderne ransomware-groepen naar op zoek zijn.
De omvang van die verschuiving is groot. Het Ransomware Trends-rapport 2025 van Veeam vond dat bij 89% van de ransomware-slachtoffers de back-uprepository's rechtstreeks werden aangevallen tijdens de aanval, op een totaal van 1.300 onderzochte organisaties. Het State of Ransomware-rapport 2025 van Sophos registreerde het laagste back-up-herstelpercentage in de zes jaar dat het onderzoek loopt: slechts 54% van de organisaties kon back-ups gebruiken om hun data te herstellen, en van degenen die uiteindelijk meer betaalden dan de oorspronkelijke losgeldeis van de aanvaller, gaf 38% mislukte of disfunctionerende back-ups op als directe oorzaak.
Drie geografisch gescheiden kopieën houden een aanvaller die al over de credentials beschikt om alle drie te verwijderen, op geen enkele manier tegen. Precies dat gat waren de twee extra cijfers bedoeld om te dichten.
De extra "1": één kopie die aanvallers écht niet kunnen bereiken
De extra "1" vereist minstens één kopie die immutable is — beschermd tegen wijziging of verwijdering gedurende een vastgestelde bewaartermijn, doorgaans via object lock op cloudopslag, Write Once Read Many (WORM)-hardware, of een gehardende repository met retentie die op opslagniveau wordt afgedwongen — of air-gapped, wat betekent dat er helemaal geen permanent netwerkpad vanuit productie bestaat.
Dit is een strengere eis dan hij op het eerste gezicht lijkt. Twee cloudregio's van dezelfde provider, beide bereikbaar met hetzelfde beheerdersaccount, voldoen er niet aan — geografische scheiding zonder credential-scheiding is geen echte bescherming tegen een aanvaller die al domain admin heeft. Echte implementaties combineren doorgaans cloudgebaseerde immutable opslag, voor snel herstel, met een diepere offline of air-gapped kopie voor het worstcasescenario waarin zelfs de management plane van de immutable laag is gecompromitteerd.
De ransomware-richtlijnen van CISA zijn expliciet dat offline, versleutelde back-ups als laatste verdedigingslinie moeten worden behandeld, specifiek omdat ze buiten de blast radius vallen die een gecompromitteerde identiteit kan bereiken.
De "0": bewijzen dat de back-up ook echt werkt
De "0" is het operationele deel van de regel, en degene die organisaties het vaakst overslaan. Ze vereist nul ongeverifieerde back-ups — iedere back-up gecontroleerd op integriteit, elk restorepad periodiek end-to-end getest, niet alleen gemonitord op een groene melding dat de "job is geslaagd".
Het gat tussen back-up jobs die succes rapporteren en restores die daadwerkelijk werken is groot en goed gedocumenteerd. Een branche-onderzoek uit 2025 vond dat 62% van de organisaties geen regelmatige backup-and-restore-tests uitvoert, en dat 37% niet binnen de vereiste recovery time objective kon herstellen, specifiek omdat back-ups ontbraken of nooit waren gevalideerd. Wanneer restores worden geprobeerd zonder goede integriteits- en malwarescans, loopt naar schatting 63% van de organisaties het risico dezelfde infectie opnieuw te introduceren die de uitval oorspronkelijk veroorzaakte — waardoor een herstelpoging in een tweede incident verandert.
De "0" bestaat omdat een back-up die nog nooit is hersteld geen beheersmaatregel is — het is een aanname. Verificatie, uitgevoerd volgens schema en afgemeten tegen realistische recovery-time-doelen, is wat die aanname omzet in een feit waarop je kunt vertrouwen tijdens een echt incident.
Veelgemaakte fouten bij het implementeren van 3-2-1-1-0
- Twee cloudregio's meetellen als "twee media." Diversiteit in mediatype betekent écht verschillende opslagtechnologieën of -platformen, niet twee instanties van dezelfde object store.
- Ervan uitgaan dat elke offsite-kopie de extra "1" invult. Offsite pakt geografie aan; immutable of air-gapped pakt credential compromise aan. Een offsite-kopie die formeel aan de regel voldoet maar dezelfde identity plane deelt met productie, dicht het gat niet waarvoor het extra cijfer is toegevoegd.
- De "0" overslaan omdat back-up jobs groen rapporteren. Een geslaagde back-up job bevestigt dat er data is weggeschreven. Het bevestigt niet dat die data herstelbaar, application-consistent, of vrij van de malware is die de restore straks nodig zal maken.
- De regel uniform toepassen, ongeacht de kriticiteit van de data. Tier-één-systemen vragen doorgaans om frequentere verificatie en kortere RTO's dan archiefdata; één retentie- en testbeleid voor de hele omgeving beschermt meestal juist de systemen die er het meest toe doen onvoldoende, en besteedt te veel aan de systemen die er weinig toe doen.
Is 3-2-1-1-0 in 2026 nog voldoende?
Voor de meeste organisaties dicht een correcte implementatie van 3-2-1-1-0 — waarbij de extra "1" en "0" écht worden afgedwongen, niet alleen afgevinkt — het grootste deel van het gat dat ransomware in de eerste plaats de kans gaf om back-ups te gaan aanvallen. Het blijft een solide operationele basis, en zowel CISA als NIST blijven het als zodanig onderschrijven.
Waar de regel tekortschiet, is architectuur: 3-2-1-1-0 beantwoordt de vraag "hoeveel kopieën, waar, en in welke staat," maar zegt niets over de toegangsgovernance, netwerksegmentatie en continue monitoring die bepalen of die kopieën dat ook blijven onder een actieve aanval. Dat is precies het gat dat BackupSecs eigen Fibonacci Rule of Backup Security (5-3-2-1-1-0) is ontworpen om te dichten, door vijf fundamentele beveiligingsprincipes toe te voegen onder dezelfde kopietelformule. Voor een organisatie die 3-2-1-1-0 nog maar net volledig en aantoonbaar op orde krijgt, is dat echter een volgende stap — geen voorwaarde vooraf.
Hier komt BackupSec in beeld
Bij BackupSec helpen we enterprise-teams verifiëren dat hun 3-2-1-1-0-implementatie ook echt is — niet alleen gedocumenteerd — door back-upbeveiliging observeerbaar, adviseerbaar en aantoonbaar te maken.
Onze aanpak combineert drie lagen:
- ZeroMON levert continue observability over de volledige back-upomgeving — Veeam-ready monitoring met real-time job tracking, geautomatiseerde security checks, forensische audit trails voor configuration drift, en compliance-rapportages met één klik. Dit is de laag die van de "0 fouten"-eis uit de regel geen hoop meer maakt, maar bewijs.
- ZeroTAM biedt dedicated expert advisory voor back-uparchitectuur, immutability-configuratie en ransomware-recoveryplanning — de menselijke laag die de meeste enterprises nodig hebben om te bevestigen dat hun extra "1" écht geïsoleerd is, en niet alleen geografisch op afstand.
- ZeroPEN pentest je back-upinfrastructuur zoals een echte aanvaller dat zou doen — gericht op management planes, toegangscontroles en immutability-instellingen — en voert vervolgens echte restore-scenario's uit om te bewijzen dat je schoon, volledig en binnen je gestelde RTO kunt herstellen.
BackupSec wordt on-premise uitgerold, maakt verbinding met je back-upapplicaties via read-only API-toegang, en verplaatst nooit back-updata buiten je omgeving.
Praat met BackupSec over uw backupbeveiligingspositie →
Benieuwd hoe jouw eigen omgeving scoort? Score hem met de gratis Backup Security Assessment.