Wat de 3-2-1-1-0-regel eigenlijk zegt
De 3-2-1-1-0-regel is een formule voor databescherming: hoeveel kopieën van uw data u bewaart, op welk soort media, en hoe u aantoont dat ze echt werken:
- 3 kopieën van uw data: de productiekopie plus ten minste twee back-ups.
- 2 verschillende media of storageplatforms, zodat één technologiestoring of één storing bij een leverancier niet alle kopieën tegelijk kan vernietigen.
- 1 kopie offsite, geografisch gescheiden van de primaire locatie.
- 1 extra kopie die immutable of air-gapped is, zodat ze niet kan worden gewijzigd of bereikt, zelfs niet door een aanvaller met beheerderscredentials.
- 0 fouten: elke back-up geverifieerd en restores getest, niet alleen aangenomen dat ze werken.
De eerste drie cijfers vormen de klassieke 3-2-1-regel. De tweede "1" en de "0" kwamen later. Veeam zegt dat het "extended the rule to 3-2-1-1-0" (de regel heeft uitgebreid tot 3-2-1-1-0), en geeft direct de reden voor de extra kopie: "ransomware increasingly targets backups." (ransomware richt zich steeds vaker op back-ups). Begrijpen waarom de twee cijfers zijn toegevoegd, zegt meer over moderne back-upstrategie dan de checklist alleen.
Waar de regel vandaan komt
Het deel "3-2-1" van de naam is ouder dan ransomware als algemene dreiging. Het wordt toegeschreven aan fotograaf Peter Krogh en zijn boek The DAM Book: Digital Asset Management for Photographers. Krogh heeft het idee van redundante, offsite kopieën niet bedacht; hij gaf het een naam die eenvoudig genoeg is om te onthouden.
Een document uit 2012 dat voor US-CERT werd geschreven, Data Backup Options, is het gebruikelijke referentiepunt. Het formuleert de regel als "Keep 3 copies of any important file: 1 primary and 2 backups" (bewaar 3 kopieën van elk belangrijk bestand: 1 primaire en 2 back-ups), "Keep the files on 2 different media types to protect against different types of hazards" (bewaar de bestanden op 2 verschillende soorten media om u tegen verschillende soorten risico's te beschermen) en "Store 1 copy offsite" (bewaar 1 kopie offsite), en noemt de tweede editie van het boek van Krogh uit 2009 als bron.
Dezelfde basis staat nog steeds in actuele richtlijnen. Het Cybersecurity Framework 2.0 van NIST noemt de uitkomst "Backups of data are created, protected, maintained, and tested" (back-ups van data worden gemaakt, beschermd, onderhouden en getest) (PR.DS-11). De #StopRansomware Guide van CISA zegt organisaties: "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario." (houd offline, versleutelde back-ups van kritieke data bij en test regelmatig de beschikbaarheid en integriteit van back-ups in een disaster-recovery-scenario).
De oorspronkelijke 3-2-1-regel was ontworpen voor de dreigingen van zijn tijd: defecte disks, brand, overstroming, diefstal en per ongeluk verwijderde bestanden. De kernaanname was dat geen enkele fysieke gebeurtenis redelijkerwijs drie kopieën van data kon vernietigen die over twee soorten media en twee locaties waren verspreid.
Waarom 3-2-1 alleen niet meer genoeg was
Die aanname brak toen ransomware-operators back-upinfrastructuur gingen behandelen als primair doelwit in plaats van als obstakel om omheen te werken. Drie kopieën op twee soorten media, waarvan één offsite, voldoen nog steeds volledig aan 3-2-1, ook als alle drie bereikbaar zijn met dezelfde set gecompromitteerde credentials. Dat is precies het scenario waar moderne ransomwaregroepen naar zoeken. De gids van CISA zegt het onomwonden: "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid." (de meeste ransomware-actoren proberen bereikbare back-ups te vinden en vervolgens te verwijderen of te versleutelen, zodat herstel onmogelijk is tenzij het losgeld wordt betaald).
De enquêtedata wijst dezelfde kant op. Het 2025 Ransomware Trends-rapport van Veeam, gebaseerd op een enquête onder 1.300 organisaties waarvan er 900 in de voorgaande 12 maanden door ransomware waren getroffen, stelde vast dat bij 89% van de aangevallen organisaties de back-uprepository's doelwit waren van de aanvaller, en dat gemiddeld 34% van hun back-uprepository's werd gewijzigd of verwijderd. State of Ransomware 2025 van Sophos, een enquête onder 3.400 IT- en cybersecurityleiders van door ransomware getroffen organisaties, stelde vast dat slechts 54% van de organisaties waarvan de data was versleuteld die terugzette met behulp van back-ups, wat Sophos het laagste percentage in zes jaar noemt. Van de 151 organisaties in die enquête die meer betaalden dan de oorspronkelijke eis van de aanvaller, zei 38% dat hun back-ups hadden gefaald of niet goed werkten.
Drie geografisch gescheiden kopieën houden een aanvaller die al de credentials heeft om ze alle drie te verwijderen op geen enkele manier tegen. Dat gat moesten de twee extra cijfers dichten.
De extra "1": één kopie die aanvallers echt niet kunnen bereiken
De extra "1" vereist ten minste één kopie die immutable of air-gapped is. Immutable betekent beschermd tegen wijziging of verwijdering gedurende een vastgestelde retentieperiode, doorgaans via Object Lock op cloud-objectstorage, Write Once Read Many (WORM)-hardware of een hardened repository die de retentie op de storagelaag afdwingt. Air-gapped betekent dat er helemaal geen permanent netwerkpad van productie naar de kopie bestaat.
Dit is een strengere eis dan het op het eerste gezicht lijkt. Twee cloudregio's van dezelfde provider, allebei bereikbaar met hetzelfde beheerdersaccount, voldoen er niet aan: geografische scheiding zonder scheiding van credentials beschermt u niet tegen een aanvaller die al domeinbeheerder is. CISA maakt een verwant punt over cloudback-ups en stelt een multicloudaanpak voor "in case all accounts under the same vendor are impacted." (voor het geval alle accounts bij dezelfde leverancier worden getroffen). Sterkere implementaties combineren vaak immutable cloudstorage voor snel herstel met een offline of air-gapped kopie voor het ergste geval, waarin zelfs het managementvlak van de immutable laag is gecompromitteerd.
Immutability heeft ook eigen afwegingen. De gids van CISA merkt op dat sommige cloudleveranciers immutable storage aanbieden die data beschermt zonder aparte omgeving, en voegt een waarschuwing toe: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost." (gebruik immutable storage met voorzichtigheid, want het voldoet voor bepaalde regelgeving niet aan de compliance-eisen en een verkeerde configuratie kan aanzienlijke kosten veroorzaken).
De "0": aantonen dat de back-up echt werkt
De "0" is de operationele helft van de regel, en de helft die het makkelijkst wordt overgeslagen. Ze eist nul ongeverifieerde back-ups: elke back-up gecontroleerd op integriteit en elk restorepad periodiek van begin tot eind getest, niet alleen bewaakt op een groene melding dat de job is geslaagd. Veeam omschrijft het cijfer als "zero recovery errors" (nul herstelfouten); de versie van CISA is om "regularly test the availability and integrity of backups." (regelmatig de beschikbaarheid en integriteit van back-ups te testen).
Een geslaagde back-upjob en een schone restore zijn verschillende dingen. Het 2024 Ransomware Trends-rapport van Veeam stelde vast dat slechts 37% van de ondervraagde aangevallen organisaties tijdens het herstel een of andere vorm van sandbox gebruikte. Zonder een staging-omgeving waarin herstelde data wordt gescand voordat die teruggaat naar productie, kan een restore de malware van de aanvaller mee terugbrengen en een herstel veranderen in een tweede incident.
De "0" bestaat omdat een back-up die nooit is teruggezet geen maatregel is. Het is een aanname. Verificatie volgens schema, afgemeten aan realistische doelen voor hersteltijd, maakt van die aanname een feit waarop u tijdens een echt incident kunt vertrouwen.
Veelgemaakte fouten bij het invoeren van 3-2-1-1-0
- Twee cloudregio's tellen als "twee media". Diversiteit in mediatype betekent echt verschillende storagetechnologieën of platforms, niet twee instanties van dezelfde objectstore.
- Aannemen dat aan de extra "1" is voldaan met elke willekeurige offsite kopie. Offsite gaat over geografie; immutable of air-gapped gaat over gecompromitteerde credentials. Een offsite kopie die aan de regel voldoet maar een identiteitsvlak deelt met productie, dicht niet het gat waarvoor het cijfer werd toegevoegd.
- De "0" overslaan omdat back-upjobs groen melden. Een geslaagde back-upjob bevestigt dat data is weggeschreven. Hij bevestigt niet dat de data terug te zetten is, applicatieconsistent is of vrij is van de malware die de restore noodzakelijk zal maken.
- De regel overal gelijk toepassen, ongeacht hoe kritiek de data is. Tier-1-systemen verdienen doorgaans vaker verificatie en kortere RTO's dan archiefdata; één retentie- en testbeleid voor een hele omgeving beschermt de systemen die er het meest toe doen meestal te weinig en geeft te veel uit aan de systemen die er minder toe doen.
Is 3-2-1-1-0 in 2026 nog genoeg?
Voor de meeste organisaties dicht een correcte invoering van 3-2-1-1-0 een aanzienlijk deel van het gat waardoor ransomware back-upinfrastructuur tot doelwit kan maken. Correct betekent dat de immutable of geïsoleerde kopie en de herstelverificatie echt worden afgedwongen, en niet alleen worden afgevinkt.
Het blijft een degelijke operationele basis. Veeam pleit expliciet voor het 3-2-1-1-0-model. NIST en CISA ondersteunen de onderliggende maatregelen: beschermde back-ups, offline kopieën en regelmatig testen. CISA noemt immutable storage ook als optie, met de kanttekeningen die hierboven zijn geciteerd.
Waar de regel tekortschiet, is niet de redundantie maar de securityarchitectuur eromheen. Ze vertelt ons hoeveel kopieën we moeten aanhouden, waar die moeten staan en in welke staat ze moeten zijn. Ze definieert niet volledig het toegangsbeheer, de administratieve vertrouwensgrenzen, de netwerksegmentatie, de monitoring en de herstelarchitectuur die nodig zijn om die kopieën tijdens een actieve compromittering beschermd te houden.
Dat is het gat waarvoor de Fibonacci-regel voor back-upsecurity (5-3-2-1-1-0) van BackupSec is ontworpen. Die vervangt 3-2-1-1-0 niet; ze breidt de regel uit met vijf fundamentele securityprincipes.
Voor organisaties die nog toewerken naar een volledig ingevoerde en regelmatig geverifieerde 3-2-1-1-0-strategie komt dat fundament eerst. De Fibonacci-regel is de architectuurlaag die erop voortbouwt.
Waar BackupSec in beeld komt
BackupSec werkt aan de Veeam-kant van dit probleem. Vier van onze diensten sluiten aan op de regel:
- ZeroMON monitort Veeam Backup & Replication. Het draait on-premises als OVA, maakt verbinding met een read-only account en stuurt niets naar BackupSec of een andere derde partij. Het volgt de gezondheid van jobs, legt configuratiewijzigingen vast (wie wat wanneer heeft gewijzigd), voert een securitychecklist uit en toont de immutability-status die Veeam uit zijn eigen repository-instellingen rapporteert. Alerts komen binnen per e-mail en als melding in de applicatie. ZeroMON leest de configuratie van Veeam uit; het verifieert geen locks op de storage zelf en voert geen restoretests uit. Het laat u weten wanneer de omstandigheden achter uw "1" en "0" veranderen; restoretests zijn een aparte taak.
- ZeroVault is S3-compatibele cloud-objectstorage met Object Lock, gebruikt als offsite immutable doel voor Veeam-back-ups. Anders dan ZeroMON bewaart het back-updata bewust buiten uw omgeving, want dat is wat een offsite kopie is.
- ZeroTAM geeft u een vaste adviseur voor back-upsecurity voor architectuur, capaciteit, planning van herstel na ransomware en ondersteuning met voorrang tijdens een crisis. Het is adviswerk, geen software: de persoon aan wie u vraagt of uw extra "1" echt geïsoleerd is of alleen ver weg staat.
- ZeroPEN is een threat-led penetratietest van Veeam Backup & Replication, Veeam ONE en Enterprise Manager. Het simuleert een ransomware-kill chain in acht fasen, gekoppeld aan MITRE ATT&CK, van initiële toegang via toegang tot de repository en het uitschakelen van back-ups tot een bewijs van versleutelingsvermogen. De test is niet-destructief: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services." (verwijdert nooit echte back-ups, voert nooit echte versleuteling uit en stopt nooit productie- of back-upservices). De opdracht omvat ook verificatie van restore-integriteit en immutability, sluit af met een audit-klaar rapportpakket en bevat een hertest van kritieke bevindingen.
Praat met BackupSec over de security van uw back-upomgeving →
Eerst een snelle zelfcheck? Het gratis Backup Security Assessment stelt 28 vragen over zeven gebieden, van back-upstrategie en toegangscontrole tot hersteltests.