A regra 3-2-1-1-0, explicada | BackupSec Knowledge Base
28 de junho de 2026·7 min de leitura
A regra 3-2-1-1-0, explicada
A clássica regra 3-2-1 ganhou mais dois dígitos por uma razão. Eis o que o 1 e o 0 extra lhe garantem.
por BackupSec Team
O que a regra 3-2-1-1-0 realmente diz
A regra 3-2-1-1-0 é uma fórmula de proteção de dados que define quantas cópias dos seus dados manter, em que tipo de suporte, e como provar que funcionam de facto:
3 cópias dos seus dados — a cópia de produção mais, pelo menos, dois backups.
2 suportes ou plataformas de armazenamento diferentes, para que uma única falha tecnológica ou uma indisponibilidade de fornecedor não possa destruir todas as cópias de uma só vez.
1 cópia armazenada fora do local (offsite), geograficamente separada do local principal.
1 cópia adicional que seja imutável ou com air gap — inacessível ou inalterável mesmo por um atacante com credenciais administrativas.
0 erros: todos os backups verificados e todos os restauros testados, e não apenas presumidos como funcionais.
Lê-se como uma progressão natural, mas os dois dígitos extra — o segundo "1" e o "0" — não faziam parte da fórmula original. Foram acrescentados anos mais tarde, em resposta direta ao facto de o ransomware ter aprendido a visar especificamente os backups. Perceber porque foram acrescentados explica mais sobre a estratégia de backup moderna do que a própria checklist.
De onde veio a regra
A parte "3-2-1" do nome é completamente anterior ao ransomware. O fotógrafo Peter Krogh cunhou a expressão no seu livro de 2006 The DAM Book: Digital Asset Management for Photographers, condensando um conjunto de práticas que observou entre profissionais de TI numa fórmula suficientemente simples para que fotógrafos em atividade — subitamente responsáveis por arquivos digitais insubstituíveis, mas que não eram administradores de sistemas — a conseguissem efetivamente seguir. Krogh não inventou a ideia subjacente de cópias redundantes e fora do local; deu-lhe um nome memorável. A regra foi mais tarde formalmente atribuída a ele numa publicação da US-CERT de 2012 sobre opções de backup de dados, altura em que já se tinha tornado a recomendação padrão em toda a TI empresarial, e continua hoje a ser uma base recomendada tanto pela CISA como pelo NIST.
A regra 3-2-1 original foi concebida para as ameaças da sua época: falha de disco, incêndio, inundação, roubo e eliminação acidental. O seu pressuposto central era que nenhum evento físico isolado conseguiria plausivelmente destruir três cópias de dados distribuídas por dois tipos de suporte e duas localizações. Durante cerca de uma década, esse pressuposto manteve-se válido.
Porque é que o 3-2-1 sozinho deixou de ser suficiente
O pressuposto quebrou-se quando os operadores de ransomware começaram a tratar a infraestrutura de backup como um alvo primário, em vez de um obstáculo a contornar. Três cópias em dois tipos de suporte com uma delas fora do local continuam a satisfazer plenamente o 3-2-1, mesmo que as três cópias sejam acessíveis a partir do mesmo conjunto de credenciais de produção comprometidas — que é exatamente o cenário que os grupos de ransomware modernos procuram.
A dimensão desta mudança é impressionante. O relatório Ransomware Trends 2025 da Veeam concluiu que 89% das vítimas de ransomware tiveram os seus repositórios de backup diretamente visados durante o ataque, entre 1300 organizações inquiridas. O relatório State of Ransomware 2025 da Sophos registou a taxa de recuperação de backup mais baixa nos seis anos em que o estudo é realizado: apenas 54% das organizações conseguiram usar backups para restaurar os seus dados, e, entre as que acabaram por pagar mais do que a exigência de resgate inicial do atacante, 38% apontaram falhas ou avarias nos backups como causa direta.
Três cópias geograficamente separadas em nada impedem um atacante que já tem as credenciais para eliminar as três. Essa lacuna é precisamente o que os dois dígitos extra foram concebidos para fechar.
O "1" extra: uma cópia que os atacantes genuinamente não conseguem alcançar
O "1" adicional exige pelo menos uma cópia que seja imutável — protegida contra modificação ou eliminação durante um período de retenção definido, normalmente através de object lock em armazenamento cloud, hardware Write Once Read Many (WORM), ou um repositório reforçado com retenção aplicada ao nível do armazenamento — ou com air gap, ou seja, sem qualquer caminho de rede permanente a partir da produção.
Este é um requisito mais rigoroso do que parece à primeira vista. Duas regiões cloud do mesmo fornecedor, ambas acessíveis com a mesma conta administrativa, não o satisfazem — a separação geográfica sem separação de credenciais não é uma proteção real contra um atacante que já tem privilégios de administrador de domínio. As implementações genuínas combinam normalmente armazenamento imutável baseado em cloud, para recuperação rápida, com uma cópia offline ou com air gap mais profunda para o cenário mais grave, em que até o plano de gestão do nível imutável foi comprometido.
As orientações da CISA sobre ransomware são explícitas quanto a que os backups offline e encriptados devem ser tratados como a última linha de defesa, precisamente porque se encontram fora do raio de alcance de uma identidade comprometida.
O "0": provar que o backup funciona de facto
O "0" é a metade operacional da regra, e aquela que as organizações mais vezes negligenciam. Exige zero backups não verificados — todos os backups verificados quanto à integridade, todos os caminhos de restauro testados periodicamente de ponta a ponta, e não apenas monitorizados à espera de uma notificação verde de "tarefa concluída com sucesso".
A diferença entre tarefas de backup que reportam sucesso e restauros que efetivamente funcionam é grande e está bem documentada. Um inquérito ao setor realizado em 2025 concluiu que 62% das organizações não efetuam regularmente exercícios de teste de backup e restauro, e que 37% não conseguiram recuperar dentro do seu recovery time objective exigido, especificamente porque os backups estavam em falta ou nunca tinham sido validados. Quando os restauros são tentados sem a devida verificação de integridade e análise de malware, estima-se que 63% das organizações correm o risco de reintroduzir a mesma infeção que causou a interrupção inicial — transformando uma tentativa de recuperação num segundo incidente.
O "0" existe porque um backup que nunca foi restaurado não é um controlo — é um pressuposto. A verificação, feita de forma agendada e medida face a objetivos de tempo de recuperação realistas, é o que converte esse pressuposto num facto em que se pode confiar durante um incidente real.
Erros comuns na implementação do 3-2-1-1-0
Contar duas regiões cloud como "dois suportes". A diversidade de tipos de suporte significa tecnologias ou plataformas de armazenamento genuinamente diferentes, e não duas instâncias do mesmo armazenamento de objetos.
Considerar o "1" extra satisfeito por qualquer cópia fora do local. O offsite resolve a geografia; o imutável ou com air gap resolve o comprometimento de credenciais. Uma cópia fora do local que cumpra a regra mas partilhe um plano de identidade com a produção não fecha a lacuna que motivou o acrescento do dígito.
Saltar o "0" porque as tarefas de backup reportam verde. Uma tarefa de backup bem-sucedida confirma que os dados foram escritos. Não confirma que os dados são restauráveis, consistentes ao nível da aplicação, ou livres do malware que virá a exigir o restauro.
Aplicar a regra de forma uniforme, independentemente da criticidade dos dados. Os sistemas de nível um justificam geralmente uma verificação mais frequente e RTOs mais curtos do que os dados de arquivo; uma política única de retenção e testes em todo o parque tende a subproteger os sistemas que mais importam e a sobre-investir nos que menos importam.
Será que o 3-2-1-1-0 ainda é suficiente em 2026?
Para a maioria das organizações, implementar corretamente o 3-2-1-1-0 — com o "1" e o "0" extra genuinamente aplicados, e não apenas assinalados como concluídos — fecha a maior parte da lacuna que, em primeiro lugar, permitiu ao ransomware começar a visar os backups. Continua a ser uma base operacional sólida, e tanto a CISA como o NIST continuam a recomendá-la como tal.
Onde fica aquém é na arquitetura: o 3-2-1-1-0 responde a "quantas cópias, onde, e em que estado", mas nada diz sobre a governação de acessos, a segmentação de rede e a monitorização contínua que determinam se essas cópias se mantêm assim sob ataque. É essa a lacuna que a própria Fibonacci Rule of Backup Security da BackupSec (5-3-2-1-1-0) foi concebida para fechar, acrescentando cinco princípios de segurança fundamentais por baixo da mesma fórmula de contagem de cópias. No entanto, para uma organização que está apenas a implementar o 3-2-1-1-0 de forma completa e verificável, esse é um passo seguinte — não um pré-requisito.
Onde entra a BackupSec
Na BackupSec, ajudamos as equipas empresariais a verificar que a sua implementação do 3-2-1-1-0 é real — e não apenas documentada — tornando a segurança do backup observável, aconselhável e demonstrável.
A nossa abordagem combina três camadas:
O ZeroMON proporciona observabilidade contínua sobre todo o parque de backup — monitorização pronta para Veeam, com acompanhamento de tarefas em tempo real, verificações de segurança automatizadas, trilhos de auditoria forense para detetar desvios de configuração, e relatórios de conformidade num só clique. É esta camada que transforma o requisito "0 erros" da regra de uma esperança numa prova.
O ZeroTAM fornece aconselhamento especializado dedicado para a arquitetura de backup, a configuração de imutabilidade e o planeamento de recuperação de ransomware — a camada humana de que a maioria das empresas precisa para confirmar que o seu "1" extra está genuinamente isolado, e não apenas geograficamente distante.
O ZeroPEN testa a sua infraestrutura de backup da forma como um adversário real o faria — visando os planos de gestão, os controlos de acesso e as definições de imutabilidade — e depois executa cenários de restauro reais para provar que consegue recuperar de forma limpa, completa e dentro do RTO declarado.
A BackupSec é implementada on-premise, liga-se às suas aplicações de backup através de acesso API só de leitura, e nunca move dados de backup para fora do seu ambiente.
Quer ver como o seu próprio ambiente se compara? Avalie-o com a Avaliação Gratuita de Segurança de Backup.
Perguntas frequentes
O que é a regra de backup 3-2-1-1-0?
A regra 3-2-1-1-0 significa: 3 cópias dos seus dados, em 2 suportes diferentes, com 1 cópia fora do local, 1 cópia adicional que é imutável ou com air gap, e 0 erros verificados através de testes regulares de recuperação de backup. Estende a clássica regra 3-2-1 para defender especificamente contra o ransomware e a corrupção silenciosa de backups.
Porque é que o 3-2-1 se tornou 3-2-1-1-0?
Porque o ransomware começou a visar diretamente os repositórios de backup — a investigação de 2025 da Veeam concluiu que 89% das vítimas de ransomware tiveram os seus backups visados. O "1" extra acrescenta uma cópia imutável ou com air gap que um atacante com credenciais de produção não consegue tocar, e o "0" transforma a verificação da recuperação num passo obrigatório, para que se descubra que um backup é irrecuperável antes de um desastre, e não durante um.
Quem criou a regra de backup 3-2-1?
O fotógrafo Peter Krogh cunhou a expressão "3-2-1" no seu livro de 2006 The DAM Book: Digital Asset Management for Photographers, condensando numa fórmula simples práticas de backup redundante que observou entre profissionais de TI. Foi mais tarde formalmente atribuída a ele numa publicação da US-CERT de 2012, e continua a ser uma base recomendada pela CISA e pelo NIST.
Uma cópia fora do local é o mesmo que uma cópia imutável?
Não. O offsite resolve a questão geográfica — protegendo contra um incêndio, uma inundação ou uma indisponibilidade ao nível do local. O imutável resolve o comprometimento de credenciais — protegendo contra um atacante que já tem acesso administrativo válido. Uma cópia pode estar fora do local e continuar totalmente acessível e eliminável por uma conta de administrador comprometida, e é exatamente por isso que o 3-2-1-1-0 acrescentou a imutabilidade como um requisito separado e adicional, em vez de a considerar automaticamente satisfeita pela geografia.
A regra 3-2-1-1-0 ainda é suficiente em 2026?
Como base operacional para o número de cópias, a diversidade de suportes e a verificação, sim — tanto a CISA como o NIST continuam a recomendá-la. O que não cobre é a arquitetura envolvente: a governação de acessos, a segmentação de rede e a monitorização contínua que determinam se essas cópias permanecem protegidas sob um ataque ativo, que é a lacuna que frameworks como a Fibonacci Rule of Backup Security da BackupSec foram concebidos para fechar.
