Reguła Fibonacciego bezpieczeństwa kopii zapasowych: rozszerzenie 3-2-1-1-0 na miarę współczesnych zagrożeń

Dlaczego dojrzałe strategie kopii zapasowych zawodzą w 2026 roku

Od lat reguła 3-2-1 stanowi fundament ochrony danych. Fotograf Peter Krogh mówi, że sam ukuł ten termin podczas pisania pierwszego wydania The DAM Book, a jego przewodnik po kopiach zapasowych dla projektu dpBestflow organizacji ASMP formułuje ją następująco: trzy kopie każdego ważnego pliku, na dwóch różnych typach nośników, z jedną kopią poza siedzibą. Formuła wyszła daleko poza fotografię. Dokument CISA o opcjach tworzenia kopii zapasowych powtarza ją w odniesieniu do danych prywatnych i firmowych.

Działała. Dopóki nie przestała.

Raport Verizon 2025 Data Breach Investigations Report wykazał obecność ransomware w 44% analizowanych naruszeń, wobec 32% w poprzedniej edycji. Ta edycja obejmuje incydenty od listopada 2023 do października 2024 roku. Edycja 2026, obejmująca okres od listopada 2024 do października 2025 roku, podaje udział na poziomie 48%. Zespół badawczy GuidePoint Security, który śledzi ofiary publikowane przez grupy ransomware, odnotował w 2025 roku wzrost liczby ofiar ransomware o 58% rok do roku, co czyni go najbardziej aktywnym rokiem w jego obserwacjach. Jeszcze istotniejsze dla osób odpowiedzialnych za ryzyko w przedsiębiorstwie: w projektach reagowania na incydenty prowadzonych przez Mandiant w 2025 roku Google Threat Intelligence Group zaobserwowała potwierdzoną lub podejrzewaną kradzież danych w około 77% włamań ransomware, wobec około 57% w 2024 roku. Gdy dane zostały już wykradzione, bezbłędne odtworzenie przywraca systemy, ale nie rozwiązuje problemu naruszenia.

Reguła 3-2-1 powstała z myślą o awariach sprzętu, regionalnych przestojach i przypadkowym usunięciu danych. Nie zaprojektowano jej z myślą o przestępcach, którzy celowo atakują repozytoria kopii zapasowych, ani o osobach z wewnątrz posiadających ważne poświadczenia administracyjne. Atakujący wiedzą, że zniszczenie kopii zapasowych odbiera ofierze alternatywę dla zapłaty. Ten sam raport Google zauważa, że operatorzy ransomware „often disabled or deleted backups to inhibit and/or limit recovery options” (często wyłączali lub usuwali kopie zapasowe, aby uniemożliwić lub ograniczyć możliwości odtworzenia).

Dlatego regułę rozszerzono. Veeam opisuje własne rozszerzenie, 3-2-1-1-0, jako dodanie jednej niezmiennej kopii i zera błędów odtwarzania. W BackupSec proponujemy kolejny krok, który nazywamy Fibonacci Rule of Backup Security (regułą Fibonacciego bezpieczeństwa kopii zapasowych) i zapisujemy jako 5-3-2-1-1-0. To nasze ramy, a nie standard branżowy. Zapis przypomina odwrócony ciąg Fibonacciego i dodaje szósty element: pięć fundamentalnych zasad bezpieczeństwa, na których musi opierać się każda warstwa poniżej.

Organizacjom z dojrzałymi środowiskami kopii zapasowych ten artykuł proponuje nowe spojrzenie na to, co „kompleksowa ochrona danych” powinna oznaczać w 2026 roku.

Od 3-2-1 do 3-2-1-1-0: krótkie przypomnienie

Zanim przedstawimy regułę Fibonacciego, warto przypomnieć, jak tu doszliśmy.

Pierwotna reguła 3-2-1 wymagała trzech kopii danych na dwóch różnych typach nośników, z jedną przechowywaną poza siedzibą. Koncentrowała się na redundancji, zakładając, że żadne pojedyncze zdarzenie fizyczne nie zniszczy wszystkich trzech kopii naraz.

Reguła 3-2-1-1-0, rozszerzenie oryginału autorstwa Veeam, dziś powszechnie stosowane, dodała dwa uzupełnienia:

• Jedna kopia niezmienna lub odizolowana air gapem, której nie da się zmodyfikować ani usunąć, nawet przez atakującego z poświadczeniami administracyjnymi.
• Zero błędów w weryfikacji kopii zapasowych, tak aby o każdej kopii było wiadomo, że da się ją odtworzyć, a nie tylko, że istnieje.

Ta ewolucja zamknęła dwie istotne luki: ransomware atakujący kopie zapasowe oraz ciche awarie kopii, których nikt nie testuje aż do katastrofy. Reguła nie próbuje jednak zdefiniować pełnej architektury bezpieczeństwa wokół tych kopii: separacji tożsamości, dostępu uprzywilejowanego, segmentacji, ciągłego monitorowania i ograniczania zasięgu skutków.

Właśnie tę lukę ma zamknąć reguła Fibonacciego bezpieczeństwa kopii zapasowych.

Dlaczego Fibonacci? Logika stojąca za liczbami

Ciąg Fibonacciego (0, 1, 1, 2, 3, 5, 8, 13...) to jeden z najbardziej eleganckich wzorców w matematyce: każda liczba jest sumą dwóch poprzednich. Gdy czytamy nasze ramy od końca (5, 3, 2, 1, 1, 0), działa ta sama logika narastania: każda warstwa ochrony opiera się na fundamentach pod nią.

• 5 fundamentalnych zasad bezpieczeństwa. Pięć zasad określających, jak projektuje się architekturę kopii zapasowych.
• 3 kopie danych. Co najmniej trzy kopie każdego krytycznego zbioru danych.
• 2 różne typy nośników lub pamięci masowej/platform. Przechowywane na dwóch różnych nośnikach, platformach pamięci masowej lub stosach technologicznych.
• 1 kopia poza siedzibą. Jedna kopia w lokalizacji oddzielonej geograficznie.
• 1 dodatkowa kopia niezmienna, odizolowana lub chroniona w inny sposób. Jeszcze jedna kopia chroniona przed modyfikacją lub zniszczeniem.
• 0 niezweryfikowanych kopii zapasowych i nierozwiązanych błędów odtwarzania. Żadna kopia nie pozostaje niezweryfikowana, żaden błąd odtwarzania nie pozostaje otwarty.

Pierwotna reguła 3-2-1-1-0 odpowiadała na pytanie operacyjne „Ile kopii, gdzie i w jakim stanie?” Dodana przez nas „5” odpowiada na bardziej fundamentalne pytanie architektoniczne: „Co właściwie znaczy, że kopia zapasowa jest bezpieczna?”

Bez tych pięciu zasad reszta łańcucha jest pusta. Kopia zapasowa, która istnieje w trzech egzemplarzach, na dwóch nośnikach, w stanie niezmiennym, ale podlega niewystarczającej kontroli dostępu albo jest osiągalna ze skompromitowanej stacji administratora, nie jest chroniona. Jest dokumentacją podatności.

„5”: pięć fundamentalnych zasad bezpieczeństwa kopii zapasowych

Te pięć zasad powinno kształtować każdą decyzję architektoniczną w środowisku kopii zapasowych, od wyboru platformy, przez politykę retencji, po zarządzanie dostępem.

1. Architektura odporna na cyberataki już na etapie projektu

Bezpieczeństwa kopii zapasowych nie da się dołożyć później. Musi być ograniczeniem projektowym od pierwszego dnia.

Architektura kopii zapasowych odporna na cyberataki traktuje każdy komponent (katalog, warstwę pamięci masowej, płaszczyznę zarządzania, środowisko odtwarzania) jako potencjalny cel. Zakłada naruszenie, planuje na wypadek kompromitacji i zapewnia, że żadna pojedyncza awaria, czy to techniczna, ludzka, czy spowodowana przez przeciwnika, nie przerodzi się kaskadowo w całkowitą utratę możliwości odtworzenia.

W praktyce oznacza to:

• Obronę w głąb: każdą warstwę chroni wiele niezależnych mechanizmów, więc awaria jednego nie odsłania systemu.
• Ograniczanie zasięgu skutków: kompromitacja środowiska produkcyjnego nie może przenieść się na infrastrukturę kopii zapasowych, a kompromitacja jednej warstwy kopii nie może przenieść się na pozostałe.
• Projektowanie z myślą o odtwarzaniu: architektury ocenia się nie tylko po tym, jak dobrze tworzą kopie danych, ale po tym, jak niezawodnie potrafią je przywrócić we wrogich warunkach: gdy DNS nie działa, dostawcy tożsamości są skompromitowani albo główna lokalizacja jest nieosiągalna.
• Szyfrowanie jako element architektury, a nie funkcja: każda kopia zapasowa, w każdym stanie, musi być chroniona silnym, standardowym w branży szyfrowaniem w spoczynku i w tranzycie, a klucze szyfrujące powinny być zarządzane niezależnie od infrastruktury kopii zapasowych wszędzie tam, gdzie to wykonalne, najlepiej w dedykowanym HSM lub usłudze zarządzania kluczami z oddzielną własnością administracyjną. Jeśli klucze leżą obok danych, nie masz szyfrowania, tylko zaciemnianie. Dla przedsiębiorstw z transgranicznymi przepływami danych suwerenność kluczy (kto może wymusić ich ujawnienie, w jakiej jurysdykcji i w jakim terminie) staje się decyzją projektową, a nie problemem reagowania na incydenty.

Bezpieczeństwo doklejone do systemu kopii zapasowych zaprojektowanego dla dawnego krajobrazu zagrożeń zwykle ujawnia swoje luki w trakcie incydentu, gdy okazuje się, że słabym punktem jest sama architektura. Odporność trzeba zaprojektować od początku.

2. Dostęp zero trust i silne uwierzytelnianie

Zasada jest prosta: nigdy nie ufaj, zawsze weryfikuj. Każde żądanie odczytu, zapisu lub modyfikacji kopii zapasowej musi zostać uwierzytelnione i autoryzowane w chwili żądania, niezależnie od tego, z jakiej sieci pochodzi.

W praktyce wymaga to:

• Uwierzytelniania wieloskładnikowego (MFA) dla każdej tożsamości administracyjnej mającej dostęp do infrastruktury kopii zapasowych, najlepiej metodami odpornymi na phishing, takimi jak tokeny sprzętowe.
• Kontroli dostępu opartej na rolach (RBAC) egzekwującej zasadę najmniejszych uprawnień na szczegółowym poziomie.
• Oddzielnych tożsamości administracyjnych dla systemów produkcyjnych i systemów kopii zapasowych. Skompromitowany administrator domeny nie powinien mieć dostępu do Twojej ostatniej linii obrony.
• Zarządzania dostępem uprzywilejowanym (PAM) z podnoszeniem uprawnień just-in-time, nagrywaniem sesji i procesami zatwierdzania dla wrażliwych operacji, takich jak zmiany polityki retencji.

W ankiecie Sophos State of Ransomware 2025, obejmującej 3400 organizacji dotkniętych ransomware, ofiary wskazały skompromitowane poświadczenia jako pierwotną przyczynę 23% ataków, drugą najczęstszą techniczną przyczynę pierwotną po wykorzystanych podatnościach (32%). Jeśli środowisko kopii zapasowych ufa tej samej infrastrukturze tożsamości, która chroni produkcję, masz pojedynczy punkt awarii przebrany za obronę warstwową.

3. Niezmienność i pamięć WORM

Niezmienność, czyli właściwość polegająca na tym, że po zapisaniu danych nie można ich zmienić ani usunąć przez określony okres retencji, przeszła od statusu „dobrej praktyki” do „warunku koniecznego”. Niezależnie od tego, czy jest realizowana przez Object Lock w chmurowej pamięci masowej, nośniki Write Once Read Many (WORM), czy sprzętowe blokady retencji, niezmienność to jedna z najskuteczniejszych architektonicznych metod obrony przed przestępcami, którzy celowo polują na repozytoria kopii zapasowych.

W przedsiębiorstwach podlegających przepisom o przechowywaniu dokumentacji niezmienność może też wspierać zgodność. SEC Rule 17a-4 pozwala brokerom-dealerom przechowywać dokumentację elektroniczną albo z pełną ścieżką audytu opatrzoną znacznikami czasu, albo „in a non-rewriteable, non-erasable format” (w formacie niepozwalającym na nadpisanie ani usunięcie). HIPAA Security Rule wymaga planu tworzenia kopii zapasowych danych, który tworzy i utrzymuje „retrievable exact copies” (możliwe do odzyskania dokładne kopie) elektronicznych chronionych informacji o zdrowiu. Obszar kontroli, który chroni Cię przed ransomware, często jest tym samym, o który pyta audytor.

CISA jest ostrożniejsza niż większość producentów. Jej #StopRansomware Guide zaleca organizacjom „maintain offline, encrypted backups of critical data” (utrzymywanie offline zaszyfrowanych kopii zapasowych krytycznych danych) i regularne testowanie ich dostępności oraz integralności. Niezmienną pamięć masową u dostawców chmury wspomina wyłącznie z ostrzeżeniem: „does not meet compliance criteria for certain regulations” (nie spełnia kryteriów zgodności niektórych regulacji), a błędna konfiguracja może generować znaczne koszty. Niezmienność chroni kopie zapasowe przed atakującym, który ma już poświadczenia administracyjne. Nie zastępuje kopii offline ani przetestowanego przywracania.

4. Ciągła weryfikacja i testowanie odtwarzania

Kopia zapasowa, której nie przetestowano, nie jest kopią zapasową. Jest hipotezą.

„0” w 3-2-1-1-0 wymaga zera błędów, ale jedynym sposobem, by to twierdzenie uzasadnić, jest ciągłe testowanie. Dojrzałe programy wdrażają zautomatyzowane kontrole integralności, okresowe próby pełnego przywracania, izolowane środowiska odtwarzania do walidacji oraz ustrukturyzowane ćwiczenia sztabowe, które testują warstwę ludzką i procesową równie rygorystycznie jak techniczną.

Odtwarzanie przebiega coraz szybciej. W tej samej ankiecie Sophos 53% ofiar ransomware w pełni odzyskało sprawność w ciągu tygodnia, wobec 35% w 2024 roku, a 97% w pełni odzyskało sprawność w ciągu trzech miesięcy. Sophos sugeruje, że poprawa może odzwierciedlać inwestycje w przygotowanie na incydenty i gotowość do odtwarzania. Ankieta nie wyodrębnia wpływu przetestowanych planów, ale sam Sophos radzi tworzyć wysokiej jakości kopie zapasowe i regularnie ćwiczyć przywracanie z nich.

Wniosek dla osób odpowiedzialnych za ryzyko: to testowanie odróżnia organizacje, które mają kopie zapasowe, od organizacji, które potrafią się odtworzyć.

5. Izolacja i segmentacja sieci

Infrastruktura kopii zapasowych powinna być silnie odseparowana od produkcji i, wszędzie tam, gdzie to praktyczne, nie powinna zależeć od tych samych granic zaufania administracyjnego, które chronią systemy produkcyjne.

Współczesne dobre praktyki łączą segmentację logiczną (oddzielne sieci VLAN, dedykowane podsieci, restrykcyjne reguły zapory, mikrosegmentację) z architekturami z air gapem lub quasi-air gapem dla co najmniej jednego egzemplarza każdej kopii zapasowej. Niezmienność w chmurze z oddzielnymi dostawcami tożsamości, rotacja taśm offline, dedykowane środowiska odtwarzania i izolacja najemców we współdzielonej infrastrukturze służą temu samemu celowi architektonicznemu: zapewnieniu, że zasięg skutków pojedynczej kompromitacji nie obejmie warstwy odtwarzania.

Jeśli przestępca na Twoim kontrolerze domeny może dotrzeć do repozytorium kopii zapasowych tymi samymi poświadczeniami, Twoja kopia zapasowa jest częścią powierzchni ataku, a nie czymś od niej oddzielonym.

„3-2-1”: redundancja, która nadal ma znaczenie

Gdy fundamentem jest pięć zasad, klasyczna warstwa 3-2-1 pozostaje niezbędna.

• 3 kopie każdego krytycznego zbioru danych: dane produkcyjne plus co najmniej dwie kopie zapasowe.
• 2 różne nośniki lub platformy pamięci masowej: dysk lokalny i chmura albo lokalna pamięć obiektowa i oddzielny dostawca chmury. Celem jest zapewnienie, że pojedyncza awaria technologii, przestój dostawcy czy jedna klasa ataku nie zniszczy wszystkich kopii jednocześnie.
• 1 kopia poza siedzibą: oddzielona geograficznie od głównej lokalizacji, najlepiej w innej domenie zagrożeń, a tam, gdzie to stosowne, w innej jurysdykcji regulacyjnej.

Od czasu pierwszego sformułowania reguły zmieniła się jej interpretacja. Dwa regiony chmurowe tego samego dostawcy nie stanowią „dwóch różnych nośników”. Wolumen kopii zapasowych na macierzy SAN stojącej obok macierzy produkcyjnej nie jest w żadnym sensownym znaczeniu „poza siedzibą”. Współczesne modelowanie zagrożeń w przedsiębiorstwie wymaga bardziej rygorystycznego odczytania każdego wymogu.

„1-1”: poza siedzibą oraz niezmienna lub z air gapem

Dwie „jedynki” dotyczą różnych domen awarii.

Pierwsza wymaga, by jedna kopia była przechowywana poza siedzibą, w oddzieleniu geograficznym od środowiska podstawowego, tak aby incydent na poziomie lokalizacji, awaria infrastruktury lub katastrofa fizyczna nie mogły jednocześnie wyeliminować wszystkich możliwości odtworzenia.

Druga wymaga, by co najmniej jedna dodatkowa kopia była chroniona przed modyfikacją lub zniszczeniem przez niezmienność, air gap lub równoważny mechanizm izolacji. Jej cel jest inny: oddzielenie geograficzne chroni przed awarią lokalizacji, a niezmienność lub izolacja chroni przed atakującym, który uzyskał dostęp administracyjny.

Te wymogi mogą się pokrywać w implementacji. Kopia poza siedzibą może być jednocześnie niezmienna, a dojrzałe środowiska mogą utrzymywać zarówno niezmienną warstwę odtwarzania, jak i głębszą kopię offline lub z air gapem. Ważne jest, by samej geografii nie traktować jako izolacji bezpieczeństwa.

To rozróżnienie wyjaśnia też, dlaczego niezmienność pojawia się wśród pięciu zasad bezpieczeństwa reguły Fibonacciego. Liczbowa „1” definiuje minimalny wymóg ochrony dla kopii zapasowej, a zasada bezpieczeństwa wymaga uwzględnienia niezmienności w całej architekturze, w tym w mechanizmach kontroli retencji, dostępie administracyjnym, separacji tożsamości i płaszczyźnie zarządzania.

„0”: zero tolerancji dla niezweryfikowanych kopii zapasowych

Każda kopia zapasowa zweryfikowana. Każde przywracanie przetestowane. Każda luka udokumentowana i zamknięta.

„0” to warstwa dyscypliny operacyjnej w tych ramach. Wymaga rygoru: zautomatyzowanych sum kontrolnych, zaplanowanej walidacji przywracania, wykrywania anomalii w metadanych zadań kopii zapasowych (nagły skok rozmiaru zadania może wskazywać, że przestępca przygotowuje dane przed szyfrowaniem), monitorowania behawioralnego aktywności administracyjnej w systemie kopii zapasowych oraz jasnych ścieżek eskalacji, gdy weryfikacja się nie powiedzie.

Rozumowanie jest proste. Atakujący, który przygotowuje się do zniszczenia kopii zapasowych, musi najpierw dotknąć systemu kopii zapasowych, a te zmiany widać w ustawieniach zadań, wartościach retencji i dziennikach audytu, zanim jakiekolwiek przywracanie się nie powiedzie. Zero błędów to nie metryka na pokaz. To różnica między pewnością a fałszywą pewnością w chwili, gdy to rozróżnienie ma największe znaczenie.

Co to oznacza dla osób odpowiedzialnych za ryzyko w przedsiębiorstwie

Jeśli Twoja organizacja działa w oparciu o strategię kopii zapasowych zaprojektowaną dla innego krajobrazu zagrożeń, luka między tym, co masz, a tym, czego potrzebujesz, nie jest już kwestią akademicką. Spójrzmy na realia finansowe:

• Ankieta Sophos z 2025 roku podaje medianę okupu na poziomie 1 mln USD oraz średni koszt odtworzenia, bez okupu, na poziomie 1,53 mln USD.
• Verizon 2025 DBIR podaje, że 64% organizacji będących ofiarami ransomware nie zapłaciło, wobec 50% dwa lata wcześniej. Sophos, badając inną próbę, ustalił, że 49% ofiar zapłaciło okup, aby odzyskać dane. Tak czy inaczej płacenie nie jest już domyślną opcją, a organizacja, która odmawia, potrzebuje działającej ścieżki przywracania.

Dla przedsiębiorstw z sektorów regulowanych lub zarządzających złożonymi środowiskami hybrydowymi rachunek jest jeszcze bardziej wyraźny. Spółki notowane w USA muszą ujawnić istotny incydent cyberbezpieczeństwa w formularzu 8-K, co do zasady w ciągu czterech dni roboczych od ustalenia, że jest istotny, a wiele innych jurysdykcji i sektorów nakłada własne obowiązki raportowe. Koszt incydentu, po którym nie da się odtworzyć danych, nie jest już wyłącznie operacyjny. Jest też wizerunkowy i regulacyjny.

Wdrożenie reguły Fibonacciego nie wymaga budowania infrastruktury od zera. Wymaga rzetelnej oceny architektury, priorytetyzowanych działań naprawczych według jasnego zestawu zasad oraz zobowiązania na poziomie zarządczym do traktowania bezpieczeństwa kopii zapasowych jako zintegrowanej dyscypliny, a nie pozycji w budżecie zakupowym.

Gdzie pojawia się BackupSec

W BackupSec pomagamy zespołom prowadzić środowiska kopii zapasowych Veeam zgodnie z powyższymi zasadami. Nie zastępujemy platformy kopii zapasowych. Sprawiamy, że jej bezpieczeństwo jest obserwowalne, wsparte doradztwem i przetestowane.

• ZeroMON monitoruje Veeam Backup & Replication: kondycję zadań, zmiany konfiguracji ze ścieżką kto/co/kiedy, listę kontrolną Security Analyzer, raporty i honeypot. Pokazuje status niezmienności tak, jak raportują go ustawienia repozytorium w Veeam, i nie weryfikuje blokad na poziomie obiektów w pamięci masowej. Alerty są wysyłane e-mailem i jako powiadomienia w aplikacji. Wdrażany jest lokalnie jako OVA, łączy się za pomocą konta tylko do odczytu i niczego nie wysyła do BackupSec ani do żadnej strony trzeciej.
• ZeroTAM zapewnia dedykowanego doradcę ds. bezpieczeństwa kopii zapasowych w zakresie architektury, pojemności, planowania odtwarzania po ransomware i priorytetowego wsparcia w kryzysie.
• ZeroPEN to test penetracyjny ukierunkowany na zagrożenia, obejmujący Veeam Backup & Replication, Veeam ONE i Enterprise Manager: osiem etapów łańcucha ataku zmapowanych na MITRE ATT&CK. Usługa obejmuje także weryfikację integralności przywracania i niezmienności. Nigdy nie usuwa prawdziwych kopii zapasowych, nie wykonuje prawdziwego szyfrowania ani nie zatrzymuje usług produkcyjnych czy usług kopii zapasowych. Otrzymujesz dowody gotowe do audytu i ponowny test dla krytycznych ustaleń.
• ZeroVault to zgodna z S3 niezmienna chmurowa pamięć obiektowa z Object Lock, przeznaczona na niezmienną kopię poza siedzibą.

Porozmawiaj z BackupSec o stanie bezpieczeństwa swoich kopii zapasowych →