Co właściwie mówi reguła 3-2-1-1-0
Reguła 3-2-1-1-0 to formuła ochrony danych, która określa, ile kopii danych przechowywać, na jakich nośnikach i jak udowodnić, że rzeczywiście działają:
- 3 kopie danych: kopia produkcyjna plus co najmniej dwie kopie zapasowe.
- 2 różne nośniki lub platformy pamięci masowej, aby pojedyncza awaria technologii lub przestój dostawcy nie mogły zniszczyć wszystkich kopii naraz.
- 1 kopia przechowywana poza siedzibą, w oddzieleniu geograficznym od głównej lokalizacji.
- 1 dodatkowa kopia niezmienna lub odizolowana air gapem, której nie da się zmienić ani do niej dotrzeć nawet atakującemu z poświadczeniami administracyjnymi.
- 0 błędów: każda kopia zapasowa zweryfikowana, a przywracanie przetestowane, a nie tylko założone jako działające.
Pierwsze trzy cyfry to klasyczna reguła 3-2-1. Druga „1” i „0” pojawiły się później. Veeam podaje, że „extended the rule to 3-2-1-1-0” (rozszerzył regułę do 3-2-1-1-0), i wprost uzasadnia dodatkową kopię: „ransomware increasingly targets backups” (ransomware coraz częściej bierze na cel kopie zapasowe). Zrozumienie, dlaczego dodano te dwie cyfry, mówi o współczesnej strategii kopii zapasowych więcej niż sama lista kontrolna.
Skąd wzięła się reguła
Człon „3-2-1” w nazwie jest starszy niż ransomware jako powszechne zagrożenie. Przypisuje się go fotografowi Peterowi Kroghowi i jego książce The DAM Book: Digital Asset Management for Photographers. Krogh nie wymyślił idei redundantnych kopii poza siedzibą. Nadał jej nazwę na tyle prostą, by łatwo ją było zapamiętać.
Zwykłym punktem odniesienia jest dokument Data Backup Options napisany w 2012 roku dla US-CERT. Formułuje on regułę jako „Keep 3 copies of any important file: 1 primary and 2 backups” (przechowuj 3 kopie każdego ważnego pliku: 1 podstawową i 2 zapasowe), „Keep the files on 2 different media types to protect against different types of hazards” (przechowuj pliki na 2 różnych typach nośników, aby chronić je przed różnymi rodzajami zagrożeń) oraz „Store 1 copy offsite” (przechowuj 1 kopię poza siedzibą) i jako źródło podaje drugie wydanie książki Krogha z 2009 roku.
Te same podstawy wciąż są obecne w aktualnych wytycznych. Cybersecurity Framework 2.0 instytutu NIST wymienia rezultat „Backups of data are created, protected, maintained, and tested” (kopie zapasowe danych są tworzone, chronione, utrzymywane i testowane) (PR.DS-11). #StopRansomware Guide agencji CISA zaleca organizacjom „maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario” (utrzymywanie offline zaszyfrowanych kopii zapasowych krytycznych danych i regularne testowanie ich dostępności oraz integralności w scenariuszu odtwarzania po awarii).
Pierwotna reguła 3-2-1 powstała z myślą o zagrożeniach swojej epoki: awariach dysków, pożarach, powodziach, kradzieżach i przypadkowym usunięciu danych. Jej podstawowe założenie było takie, że żadne pojedyncze zdarzenie fizyczne nie mogło realnie zniszczyć trzech kopii danych rozłożonych na dwa typy nośników i dwie lokalizacje.
Dlaczego samo 3-2-1 przestało wystarczać
Założenie upadło, gdy operatorzy ransomware zaczęli traktować infrastrukturę kopii zapasowych jako główny cel, a nie przeszkodę do obejścia. Trzy kopie na dwóch typach nośników, z jedną poza siedzibą, nadal w pełni spełniają regułę 3-2-1, nawet jeśli do wszystkich trzech można dotrzeć tym samym zestawem skompromitowanych poświadczeń. Dokładnie takiego scenariusza szukają współczesne grupy ransomware. Przewodnik CISA mówi to wprost: „most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid” (większość operatorów ransomware próbuje znaleźć dostępne kopie zapasowe, a następnie je usunąć lub zaszyfrować, aby uniemożliwić odtworzenie bez zapłacenia okupu).
Dane z ankiet wskazują ten sam kierunek. Raport Veeam 2025 Ransomware Trends, oparty na ankiecie wśród 1300 organizacji, z których 900 padło ofiarą ransomware w ciągu poprzednich 12 miesięcy, wykazał, że w przypadku 89% zaatakowanych organizacji przestępcy wzięli na cel repozytoria kopii zapasowych, a średnio 34% ich repozytoriów kopii zapasowych zostało zmodyfikowanych lub usuniętych. Raport Sophos State of Ransomware 2025, ankieta wśród 3400 liderów IT i cyberbezpieczeństwa z organizacji dotkniętych ransomware, wykazał, że tylko 54% organizacji, których dane zostały zaszyfrowane, przywróciło je z kopii zapasowych, co Sophos określa jako najniższy wynik od sześciu lat. Spośród 151 organizacji z tej ankiety, które zapłaciły więcej niż wynosiło początkowe żądanie atakującego, 38% stwierdziło, że ich kopie zapasowe zawiodły lub działały nieprawidłowo.
Trzy geograficznie rozdzielone kopie nie powstrzymają atakującego, który ma już poświadczenia pozwalające usunąć wszystkie trzy. Właśnie tę lukę miały zamknąć dwie dodatkowe cyfry.
Dodatkowa „1”: jedna kopia, do której atakujący naprawdę nie dotrą
Dodatkowa „1” wymaga co najmniej jednej kopii, która jest niezmienna lub odizolowana air gapem. Niezmienna oznacza chronioną przed modyfikacją lub usunięciem przez określony okres retencji, zwykle za pomocą Object Lock w chmurowej pamięci obiektowej, sprzętu Write Once Read Many (WORM) lub utwardzonego repozytorium (hardened repository), które egzekwuje retencję na poziomie pamięci masowej. Air gap oznacza, że z produkcji do tej kopii nie prowadzi w ogóle żadna stała ścieżka sieciowa.
To wymóg bardziej rygorystyczny, niż się na pierwszy rzut oka wydaje. Dwa regiony chmurowe tego samego dostawcy, oba osiągalne z tego samego konta administracyjnego, go nie spełniają: rozdzielenie geograficzne bez rozdzielenia poświadczeń nie chroni przed atakującym, który ma już uprawnienia administratora domeny. CISA zwraca uwagę na podobną kwestię w odniesieniu do kopii zapasowych w chmurze, sugerując podejście wielochmurowe „in case all accounts under the same vendor are impacted” (na wypadek, gdyby naruszone zostały wszystkie konta u tego samego dostawcy). Mocniejsze wdrożenia często łączą niezmienną pamięć w chmurze, zapewniającą szybkie odtworzenie, z kopią offline lub odizolowaną air gapem na najgorszy scenariusz, w którym skompromitowana została nawet płaszczyzna zarządzania warstwą niezmienną.
Niezmienność ma też swoje kompromisy. Przewodnik CISA zauważa, że niektórzy dostawcy chmury oferują niezmienną pamięć masową, która chroni dane bez oddzielnego środowiska, i dodaje ostrzeżenie: „Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost” (niezmiennej pamięci masowej należy używać ostrożnie, ponieważ nie spełnia kryteriów zgodności niektórych regulacji, a błędna konfiguracja może generować znaczne koszty).
„0”: dowód, że kopia zapasowa naprawdę działa
„0” to operacyjna połowa reguły i najłatwiej ją pominąć. Wymaga zera niezweryfikowanych kopii zapasowych: każda kopia sprawdzona pod kątem integralności, a każda ścieżka przywracania okresowo testowana od początku do końca, a nie tylko monitorowana pod kątem zielonego powiadomienia „zadanie zakończone powodzeniem”. Veeam opisuje tę cyfrę jako „zero recovery errors” (zero błędów odtwarzania), a w wersji CISA chodzi o to, by „regularly test the availability and integrity of backups” (regularnie testować dostępność i integralność kopii zapasowych).
Udane zadanie kopii zapasowej i czyste przywracanie to różne rzeczy. Raport Veeam 2024 Ransomware Trends wykazał, że tylko 37% zaatakowanych organizacji objętych ankietą korzystało podczas odtwarzania z jakiejkolwiek piaskownicy (sandbox). Bez obszaru przejściowego, w którym odtworzone dane są skanowane, zanim wrócą do produkcji, przywracanie może sprowadzić z powrotem złośliwe oprogramowanie atakującego i zamienić odtwarzanie w drugi incydent.
„0” istnieje, ponieważ kopia zapasowa, której nigdy nie przywrócono, nie jest mechanizmem kontrolnym. Jest założeniem. Weryfikacja wykonywana według harmonogramu i mierzona względem realistycznych docelowych czasów odtworzenia zamienia to założenie w fakt, na którym można polegać podczas prawdziwego incydentu.
Typowe błędy przy wdrażaniu 3-2-1-1-0
- Liczenie dwóch regionów chmurowych jako „dwóch nośników”. Różnorodność nośników oznacza naprawdę różne technologie lub platformy pamięci masowej, a nie dwie instancje tego samego magazynu obiektowego.
- Uznawanie, że dodatkową „1” spełnia dowolna kopia poza siedzibą. Lokalizacja poza siedzibą dotyczy geografii, a niezmienność lub air gap dotyczy kompromitacji poświadczeń. Zgodna z regułą kopia poza siedzibą, która dzieli płaszczyznę tożsamości z produkcją, nie zamyka luki, z powodu której dodano tę cyfrę.
- Pomijanie „0”, bo zadania kopii zapasowych świecą na zielono. Udane zadanie kopii zapasowej potwierdza, że dane zostały zapisane. Nie potwierdza, że dane da się przywrócić, że są spójne aplikacyjnie ani że są wolne od złośliwego oprogramowania, które wymusi przywracanie.
- Stosowanie reguły jednakowo, bez względu na krytyczność danych. Systemy pierwszej kategorii (tier 1) zwykle wymagają częstszej weryfikacji i krótszych RTO niż dane archiwalne. Jedna polityka retencji i testowania dla całego środowiska zazwyczaj za słabo chroni najważniejsze systemy i przepłaca za te, które mają mniejsze znaczenie.
Czy 3-2-1-1-0 wciąż wystarcza w 2026 roku?
Dla większości organizacji poprawne wdrożenie 3-2-1-1-0 zamyka znaczną część luki, przez którą ransomware może zamienić infrastrukturę kopii zapasowych w cel. Poprawne oznacza, że kopia niezmienna lub odizolowana oraz weryfikacja odtwarzania są rzeczywiście egzekwowane, a nie tylko odhaczone.
Reguła pozostaje solidną bazą operacyjną. Veeam wprost promuje model 3-2-1-1-0. NIST i CISA wzmacniają mechanizmy, na których się opiera: chronione kopie zapasowe, kopie offline i regularne testowanie. CISA wspomina też niezmienną pamięć masową jako jedną z opcji, z zastrzeżeniami zacytowanymi wyżej.
Słabością reguły nie jest redundancja, lecz otaczająca ją architektura bezpieczeństwa. Mówi nam, ile kopii utrzymywać, gdzie mają się znajdować i w jakim stanie powinny być. Nie definiuje w pełni zarządzania dostępem, granic zaufania administracyjnego, segmentacji sieci, monitorowania ani architektury odtwarzania, które są potrzebne, by chronić te kopie podczas aktywnej kompromitacji.
Tę lukę ma wypełnić opracowana przez BackupSec reguła Fibonacciego bezpieczeństwa kopii zapasowych (5-3-2-1-1-0). Nie zastępuje ona 3-2-1-1-0, tylko rozszerza ją o pięć fundamentalnych zasad bezpieczeństwa.
Dla organizacji, które wciąż pracują nad w pełni wdrożoną i regularnie weryfikowaną strategią 3-2-1-1-0, ten fundament jest pierwszy. Reguła Fibonacciego to warstwa architektoniczna, która na nim się opiera.
Gdzie pojawia się BackupSec
BackupSec zajmuje się tym problemem po stronie Veeam. Cztery nasze usługi odpowiadają elementom reguły:
- ZeroMON monitoruje Veeam Backup & Replication. Działa lokalnie jako OVA, łączy się za pomocą konta tylko do odczytu i niczego nie wysyła do BackupSec ani do żadnej strony trzeciej. Śledzi kondycję zadań, rejestruje zmiany konfiguracji (kto co zmienił i kiedy), uruchamia listę kontrolną bezpieczeństwa i pokazuje status niezmienności, który Veeam raportuje na podstawie własnych ustawień repozytorium. Alerty przychodzą e-mailem i jako powiadomienia w aplikacji. ZeroMON odczytuje konfigurację Veeam. Nie weryfikuje blokad w samej pamięci masowej i nie wykonuje testów przywracania. Informuje, gdy zmieniają się warunki stojące za Twoją „1” i „0”, a testowanie przywracania to osobne zadanie.
- ZeroVault to zgodna z S3 chmurowa pamięć obiektowa z Object Lock, używana jako niezmienny cel poza siedzibą dla kopii zapasowych Veeam. W odróżnieniu od ZeroMON z założenia przechowuje dane kopii zapasowych poza Twoim środowiskiem, ponieważ na tym właśnie polega kopia poza siedzibą.
- ZeroTAM zapewnia dedykowanego doradcę ds. bezpieczeństwa kopii zapasowych w zakresie architektury, pojemności, planowania odtwarzania po ransomware i priorytetowego wsparcia w kryzysie. To praca doradcza, a nie oprogramowanie: osoba, którą pytasz, czy Twoja dodatkowa „1” jest naprawdę odizolowana, czy tylko daleko.
- ZeroPEN to test penetracyjny ukierunkowany na zagrożenia, obejmujący Veeam Backup & Replication, Veeam ONE i Enterprise Manager. Symuluje łańcuch ataku ransomware w ośmiu etapach zmapowanych na MITRE ATT&CK, od dostępu początkowego, przez dostęp do repozytorium i neutralizację kopii zapasowych, po dowód zdolności do szyfrowania. Jest niedestrukcyjny: ZeroPEN „never deletes real backups, performs real encryption, or stops production or backup services” (nigdy nie usuwa prawdziwych kopii zapasowych, nie wykonuje prawdziwego szyfrowania ani nie zatrzymuje usług produkcyjnych czy usług kopii zapasowych). Usługa obejmuje także weryfikację integralności przywracania i niezmienności, kończy się pakietem raportów gotowych do audytu i obejmuje ponowny test krytycznych ustaleń.
Porozmawiaj z BackupSec o stanie bezpieczeństwa swoich kopii zapasowych →
Chcesz najpierw szybko sprawdzić się samodzielnie? Bezpłatna ocena Backup Security Assessment zawiera 28 pytań z siedmiu obszarów, od strategii kopii zapasowych i kontroli dostępu po testowanie odtwarzania.