Zasada 3-2-1-1-0 wyjaśniona

Co naprawdę mówi zasada 3-2-1-1-0

Zasada 3-2-1-1-0 to formuła ochrony danych określająca, ile kopii danych należy przechowywać, na jakich nośnikach i jak udowodnić, że rzeczywiście działają:

• 3 kopie danych — kopia produkcyjna plus co najmniej dwie kopie zapasowe.
• 2 różne nośniki lub platformy przechowywania, dzięki czemu pojedyncza awaria technologii lub przestój u dostawcy nie zniszczy wszystkich kopii naraz.
• 1 kopia przechowywana poza siedzibą główną, oddzielona geograficznie od lokalizacji podstawowej.
• 1 dodatkowa kopia niezmienna lub w pełni odizolowana (air-gap) — niedostępna lub niemożliwa do zmodyfikowania nawet przez atakującego dysponującego poświadczeniami administracyjnymi.
• 0 błędów: każda kopia zapasowa zweryfikowana, a każdy proces przywracania przetestowany — a nie po prostu zakładany jako działający.

Brzmi to jak naturalna progresja, ale dwie dodatkowe cyfry — druga „1” oraz „0” — nie były częścią pierwotnej formuły. Dołączono je lata później, w bezpośredniej odpowiedzi na to, że ransomware nauczył się celować konkretnie w kopie zapasowe. Zrozumienie, dlaczego je dodano, mówi o współczesnej strategii backupu więcej niż sama lista kontrolna.

Skąd wzięła się ta zasada

Część nazwy „3-2-1” jest starsza niż samo zjawisko ransomware. Ukuł ją fotograf Peter Krogh w swojej książce z 2006 roku The DAM Book: Digital Asset Management for Photographers, zamykając zestaw praktyk zaobserwowanych wśród specjalistów IT w formule na tyle prostej, by mogli się nią realnie kierować pracujący fotografowie — którzy nagle stali się odpowiedzialni za niezastąpione archiwa cyfrowe, choć nie byli administratorami systemów. Krogh nie wymyślił samej idei redundantnych kopii przechowywanych poza siedzibą — nadał jej po prostu zapadającą w pamięć nazwę. Formalnie przypisano mu tę zasadę później, w publikacji US-CERT z 2012 roku dotyczącej opcji tworzenia kopii zapasowych danych, kiedy to stała się już domyślną rekomendacją w całym korporacyjnym IT, i pozostaje punktem odniesienia zalecanym dziś zarówno przez CISA, jak i NIST.

Pierwotna zasada 3-2-1 została zaprojektowana z myślą o zagrożeniach swojej epoki: awarii dysków, pożarze, powodzi, kradzieży i przypadkowym usunięciu danych. Jej podstawowym założeniem było to, że żadne pojedyncze zdarzenie fizyczne nie jest w stanie zniszczyć trzech kopii danych rozłożonych na dwóch typach nośników i w dwóch lokalizacjach. Przez mniej więcej dekadę to założenie się sprawdzało.

Dlaczego samo 3-2-1 przestało wystarczać

Założenie to przestało działać, gdy grupy ransomware zaczęły traktować infrastrukturę backupową jako podstawowy cel, a nie przeszkodę do obejścia. Trzy kopie na dwóch typach nośników z jedną poza siedzibą wciąż w pełni spełniają zasadę 3-2-1, nawet jeśli wszystkie trzy kopie są osiągalne za pomocą tego samego zestawu przejętych poświadczeń produkcyjnych — a dokładnie takiego scenariusza szukają współczesne grupy ransomware.

Skala tej zmiany jest uderzająca. Raport Veeam 2025 Ransomware Trends wykazał, że 89% ofiar ransomware miało bezpośrednio zaatakowane repozytoria kopii zapasowych podczas ataku, na próbie 1300 przebadanych organizacji. Raport Sophos State of Ransomware 2025 odnotował najniższy wskaźnik odzyskiwania z backupu w sześcioletniej historii tego badania: tylko 54% organizacji było w stanie użyć kopii zapasowych do odtworzenia danych, a wśród tych, które ostatecznie zapłaciły więcej niż pierwotnie żądany okup, 38% wskazało niedziałające lub wadliwe kopie zapasowe jako bezpośrednią przyczynę.

Trzy geograficznie oddzielone kopie w niczym nie powstrzymają atakującego, który ma już poświadczenia pozwalające usunąć wszystkie trzy. Dokładnie tę lukę miały domknąć dwie dodatkowe cyfry.

Dodatkowa „1”: kopia, do której atakujący naprawdę nie ma dostępu

Dodatkowa „1” wymaga co najmniej jednej kopii, która jest niezmienna — chroniona przed modyfikacją lub usunięciem przez określony okres retencji, zazwyczaj dzięki object lock w pamięci masowej w chmurze, sprzętowi typu WORM (Write Once Read Many — zapis jednokrotny, odczyt wielokrotny) lub hartowanemu repozytorium z retencją egzekwowaną na poziomie warstwy przechowywania — albo w pełni odizolowana (air-gap), czyli pozbawiona jakiejkolwiek stałej ścieżki sieciowej ze środowiska produkcyjnego.

To wymóg surowszy, niż mogłoby się wydawać na pierwszy rzut oka. Dwa regiony chmurowe u tego samego dostawcy, oba osiągalne za pomocą tego samego konta administracyjnego, go nie spełniają — separacja geograficzna bez separacji poświadczeń nie daje realnej ochrony przed atakującym, który ma już uprawnienia administratora domeny. Prawdziwe wdrożenia zwykle łączą niezmienną pamięć masową w chmurze, zapewniającą szybkie odzyskiwanie, z głębszą kopią offline lub w pełni odizolowaną na wypadek najgorszego scenariusza, w którym przejęta zostaje nawet warstwa zarządzania niezmienną warstwą przechowywania.

Wytyczne CISA dotyczące ransomware wprost mówią, że kopie zapasowe offline i szyfrowane należy traktować jako ostatnią linię obrony właśnie dlatego, że znajdują się poza zasięgiem rażenia przejętej tożsamości.

„0”: dowód, że kopia zapasowa naprawdę działa

„0” to operacyjna połowa zasady i ta, którą organizacje pomijają najczęściej. Wymaga zera niezweryfikowanych kopii zapasowych — każda kopia sprawdzona pod kątem integralności, każda ścieżka przywracania okresowo przetestowana od początku do końca, a nie jedynie monitorowana pod kątem zielonego powiadomienia „zadanie zakończone sukcesem”.

Różnica między zadaniami backupu zgłaszającymi sukces a rzeczywiście działającym przywracaniem jest duża i dobrze udokumentowana. Badanie branżowe z 2025 roku wykazało, że 62% organizacji nie przeprowadza regularnych testów tworzenia i przywracania kopii zapasowych, a 37% nie było w stanie odzyskać danych w wymaganym docelowym czasie przywrócenia właśnie dlatego, że kopie zapasowe były niekompletne albo nigdy nie zostały zweryfikowane. Gdy przywracanie odbywa się bez odpowiedniego skanowania integralności i malware, szacuje się, że 63% organizacji ryzykuje ponowne wprowadzenie tej samej infekcji, która spowodowała awarię — zamieniając próbę odzyskania danych w drugi incydent.

„0” istnieje dlatego, że kopia zapasowa, z której nigdy nie przywracano danych, nie jest zabezpieczeniem — jest założeniem. To weryfikacja, przeprowadzana zgodnie z harmonogramem i mierzona względem realistycznych celów czasowych przywracania, zamienia to założenie w fakt, na którym można polegać podczas rzeczywistego incydentu.

Częste błędy przy wdrażaniu zasady 3-2-1-1-0

• Liczenie dwóch regionów chmurowych jako „dwóch nośników”. Różnorodność typów nośników oznacza naprawdę różne technologie lub platformy przechowywania, a nie dwie instancje tego samego magazynu obiektowego.
• Traktowanie dodatkowej „1” jako spełnionej przez dowolną kopię poza siedzibą. Lokalizacja poza siedzibą odpowiada na problem geografii; niezmienność lub izolacja fizyczna odpowiadają na problem przejęcia poświadczeń. Zgodna z zasadą kopia poza siedzibą, która dzieli warstwę tożsamości ze środowiskiem produkcyjnym, nie domyka luki, z powodu której dodano tę cyfrę.
• Pomijanie „0”, bo zadania backupu raportują sukces. Udane zadanie backupu potwierdza jedynie, że dane zostały zapisane. Nie potwierdza, że da się je odzyskać, że są spójne z perspektywy aplikacji ani że są wolne od złośliwego oprogramowania, które i tak wymusi przywracanie.
• Stosowanie zasady jednolicie, niezależnie od krytyczności danych. Systemy pierwszej kategorii zwykle wymagają częstszej weryfikacji i krótszych RTO niż dane archiwalne; jedna polityka retencji i testowania dla całego środowiska zwykle niedostatecznie chroni systemy, na których najbardziej zależy, i nadmiernie wydaje zasoby na te, na których zależy najmniej.

Czy zasada 3-2-1-1-0 wciąż wystarcza w 2026 roku?

Dla większości organizacji poprawne wdrożenie 3-2-1-1-0 — z dodatkową „1” i „0” rzeczywiście egzekwowanymi, a nie tylko odhaczonymi — domyka większość luki, która w ogóle umożliwiła ransomware atakowanie kopii zapasowych. Pozostaje to solidny punkt odniesienia operacyjny, który CISA i NIST nadal zalecają jako taki.

Tam, gdzie zawodzi, to architektura: 3-2-1-1-0 odpowiada na pytanie „ile kopii, gdzie i w jakim stanie”, ale nic nie mówi o zarządzaniu dostępem, segmentacji sieci ani ciągłym monitorowaniu, które decydują o tym, czy te kopie pozostaną w takim stanie pod atakiem. Właśnie tę lukę ma domykać własna Fibonacci Rule of Backup Security firmy BackupSec (5-3-2-1-1-0), dodając pięć fundamentalnych zasad bezpieczeństwa pod tę samą formułę liczenia kopii. Dla organizacji, która dopiero wdraża 3-2-1-1-0 w pełni i w sposób możliwy do zweryfikowania, jest to jednak kolejny krok — a nie warunek wstępny.

W czym pomaga BackupSec

W BackupSec pomagamy zespołom w dużych organizacjach zweryfikować, że ich wdrożenie zasady 3-2-1-1-0 jest realne — a nie tylko udokumentowane — sprawiając, że bezpieczeństwo backupu staje się obserwowalne, doradzalne i możliwe do udowodnienia.

Nasze podejście łączy trzy warstwy:

• ZeroMON zapewnia ciągłą obserwowalność całego środowiska backupowego — monitoring gotowy pod Veeam, ze śledzeniem zadań w czasie rzeczywistym, automatycznymi kontrolami bezpieczeństwa, śladami audytowymi umożliwiającymi analizę driftu konfiguracji oraz raportami zgodności generowanymi jednym kliknięciem. To ta warstwa, która zmienia wymóg „0 błędów” z zasady z nadziei w dowód.
• ZeroTAM zapewnia dedykowane doradztwo eksperckie w zakresie architektury backupu, konfiguracji niezmienności i planowania odzyskiwania po ransomware — to warstwa ludzka, której potrzebuje większość organizacji, by potwierdzić, że ich dodatkowa „1” jest naprawdę izolowana, a nie tylko geograficznie odległa.
• ZeroPEN przeprowadza testy penetracyjne infrastruktury backupowej dokładnie tak, jak zrobiłby to prawdziwy przeciwnik — atakując warstwy zarządzania, kontrole dostępu i ustawienia niezmienności — a następnie uruchamia rzeczywiste scenariusze przywracania, by udowodnić, że możesz odzyskać dane w sposób czysty, kompletny i w zadeklarowanym RTO.

BackupSec wdrażany jest on-premise, łączy się z aplikacjami backupowymi wyłącznie przez dostęp API w trybie tylko do odczytu i nigdy nie przenosi danych backupowych poza twoje środowisko.

Porozmawiaj z BackupSec o bezpieczeństwie swojego backupu →

Chcesz sprawdzić, jak wypada twoje środowisko? Oceń je za pomocą bezpłatnego Backup Security Assessment.