A regra 3-2-1-1-0, explicada

O que a regra 3-2-1-1-0 realmente diz

A regra 3-2-1-1-0 é uma fórmula de proteção de dados que define quantas cópias dos seus dados manter, em que tipo de mídia, e como provar que elas realmente funcionam:

• 3 cópias dos seus dados: a cópia de produção mais pelo menos dois backups.
• 2 mídias ou plataformas de storage diferentes, para que uma única falha tecnológica ou indisponibilidade de fornecedor não consiga destruir todas as cópias de uma vez.
• 1 cópia armazenada fora do local (offsite), geograficamente separada do site principal.
• 1 cópia adicional imutável ou com air gap, para que ela não possa ser alterada nem alcançada, nem mesmo por um atacante com credenciais administrativas.
• 0 erros: todo backup verificado e todo restore testado, e não apenas presumido como funcional.

Os três primeiros dígitos são a regra 3-2-1 clássica. O segundo "1" e o "0" vieram depois. A Veeam diz que "extended the rule to 3-2-1-1-0" (ampliou a regra para 3-2-1-1-0) e explica diretamente o motivo da cópia extra: "ransomware increasingly targets backups" (o ransomware visa cada vez mais os backups). Entender por que os dois dígitos foram acrescentados explica mais sobre a estratégia moderna de backup do que o checklist sozinho.

De onde veio a regra

A parte "3-2-1" do nome é anterior ao ransomware como ameaça comum. Ela é atribuída ao fotógrafo Peter Krogh e ao seu livro The DAM Book: Digital Asset Management for Photographers. Krogh não inventou a ideia de cópias redundantes fora do local; ele deu a ela um nome simples o bastante para ser lembrado.

Um documento de 2012 escrito para o US-CERT, Data Backup Options, é a referência habitual. Ele enuncia a regra como "Keep 3 copies of any important file: 1 primary and 2 backups" (mantenha 3 cópias de todo arquivo importante: 1 principal e 2 backups), "Keep the files on 2 different media types to protect against different types of hazards" (mantenha os arquivos em 2 tipos de mídia diferentes para se proteger contra diferentes tipos de risco) e "Store 1 copy offsite" (guarde 1 cópia fora do local), e cita a segunda edição do livro de Krogh, de 2009, como fonte.

Os mesmos fundamentos continuam presentes nas orientações atuais. O Cybersecurity Framework 2.0 do NIST lista o resultado "Backups of data are created, protected, maintained, and tested" (backups de dados são criados, protegidos, mantidos e testados) (PR.DS-11). O #StopRansomware Guide da CISA orienta as organizações a "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario" (manter backups offline e criptografados dos dados críticos e testar regularmente a disponibilidade e a integridade dos backups em um cenário de recuperação de desastres).

A regra 3-2-1 original foi criada para as ameaças da sua época: falha de disco, incêndio, enchente, furto e exclusão acidental. O seu pressuposto central era que nenhum evento físico isolado poderia, de forma plausível, destruir três cópias de dados distribuídas em dois tipos de mídia e dois locais.

Por que o 3-2-1 sozinho deixou de ser suficiente

O pressuposto caiu quando os operadores de ransomware passaram a tratar a infraestrutura de backup como alvo principal, e não como um obstáculo a contornar. Três cópias em dois tipos de mídia, com uma fora do local, continuam atendendo plenamente ao 3-2-1 mesmo que as três possam ser alcançadas com o mesmo conjunto de credenciais comprometidas. É exatamente esse o cenário que os grupos de ransomware modernos procuram. O guia da CISA diz isso com todas as letras: "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid" (a maioria dos operadores de ransomware tenta encontrar e, em seguida, apagar ou criptografar os backups acessíveis para tornar a restauração impossível, a menos que o resgate seja pago).

Os dados de pesquisa apontam na mesma direção. O 2025 Ransomware Trends report da Veeam, baseado numa pesquisa com 1.300 organizações, 900 das quais foram atingidas por ransomware nos 12 meses anteriores, constatou que 89% das organizações atacadas tiveram seus repositórios de backup visados pelo atacante e que, em média, 34% dos seus repositórios de backup foram modificados ou apagados. O State of Ransomware 2025 da Sophos, uma pesquisa com 3.400 líderes de TI e cibersegurança cujas organizações foram atingidas por ransomware, constatou que apenas 54% das organizações que tiveram dados criptografados os restauraram usando backups, o que a Sophos classifica como a menor taxa em seis anos. Das 151 organizações dessa pesquisa que pagaram mais do que a exigência inicial do atacante, 38% disseram que seus backups tinham falhado ou estavam funcionando mal.

Três cópias geograficamente separadas não fazem nada para deter um atacante que já tem as credenciais para apagar as três. Os dois dígitos extras foram criados para fechar essa lacuna.

O "1" extra: uma cópia que o atacante realmente não consegue alcançar

O "1" adicional exige pelo menos uma cópia imutável ou com air gap. Imutável significa protegida contra modificação ou exclusão durante um período de retenção definido, normalmente por meio de Object Lock em object storage na nuvem, hardware Write Once Read Many (WORM) ou um repositório protegido (hardened repository) que aplica a retenção na camada de storage. Air gap significa que não existe nenhum caminho de rede permanente entre a produção e a cópia.

Esse requisito é mais rigoroso do que parece à primeira vista. Duas regiões de nuvem do mesmo provedor, ambas alcançáveis com a mesma conta administrativa, não o atendem: separação geográfica sem separação de credenciais não protege você de um atacante que já é administrador de domínio. A CISA faz uma observação relacionada sobre backups na nuvem, sugerindo uma abordagem multinuvem "in case all accounts under the same vendor are impacted" (caso todas as contas do mesmo fornecedor sejam afetadas). As implementações mais robustas costumam combinar storage imutável na nuvem, para uma recuperação rápida, com uma cópia offline ou com air gap para o pior cenário, em que até o plano de gerenciamento da camada imutável foi comprometido.

A imutabilidade também tem suas contrapartidas. O guia da CISA observa que alguns provedores de nuvem oferecem storage imutável que protege os dados sem um ambiente separado, e acrescenta um alerta: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost" (use storage imutável com cautela, pois ele não atende aos critérios de conformidade de certas regulamentações, e erros de configuração podem gerar custos significativos).

O "0": provar que o backup realmente funciona

O "0" é a metade operacional da regra, e a mais fácil de pular. Ele exige zero backups não verificados: todo backup com a integridade checada e todo caminho de restore testado periodicamente de ponta a ponta, e não apenas monitorado à espera de uma notificação verde de "job concluído com sucesso". A Veeam descreve o dígito como "zero recovery errors" (zero erros de recuperação); a versão da CISA é "regularly test the availability and integrity of backups" (testar regularmente a disponibilidade e a integridade dos backups).

Um job de backup bem-sucedido e um restore limpo são coisas diferentes. O 2024 Ransomware Trends report da Veeam constatou que apenas 37% das organizações atacadas que ela pesquisou usaram algum tipo de sandbox durante a recuperação. Sem uma área de preparação onde os dados recuperados sejam verificados antes de voltar à produção, um restore pode trazer de volta o malware do atacante e transformar uma recuperação num segundo incidente.

O "0" existe porque um backup que nunca foi restaurado não é um controle. É uma suposição. A verificação, feita de forma programada e medida contra metas realistas de tempo de recuperação, é o que transforma essa suposição num fato em que se pode confiar durante um incidente real.

Erros comuns na implementação do 3-2-1-1-0

• Contar duas regiões de nuvem como "duas mídias". Diversidade de mídia significa tecnologias ou plataformas de storage realmente diferentes, e não duas instâncias do mesmo object store.
• Considerar que qualquer cópia fora do local atende ao "1" extra. Fora do local trata da geografia; imutável ou com air gap trata do comprometimento de credenciais. Uma cópia fora do local que cumpre a regra, mas compartilha um plano de identidade com a produção, não fecha a lacuna que motivou o acréscimo do dígito.
• Pular o "0" porque os jobs de backup aparecem em verde. Um job de backup bem-sucedido confirma que os dados foram gravados. Não confirma que os dados podem ser restaurados, que estão consistentes no nível da aplicação nem que estão livres do malware que vai tornar o restore necessário.
• Aplicar a regra de forma uniforme, sem considerar a criticidade dos dados. Sistemas de nível 1 em geral justificam verificações mais frequentes e RTOs mais curtos do que dados de arquivo; uma única política de retenção e testes para todo o ambiente costuma proteger de menos os sistemas que mais importam e gastar demais com os que não importam tanto.

O 3-2-1-1-0 ainda é suficiente em 2026?

Para a maioria das organizações, implementar o 3-2-1-1-0 corretamente fecha uma parte significativa da lacuna que permite ao ransomware transformar a infraestrutura de backup num alvo. Corretamente significa que a cópia imutável ou isolada e a verificação da recuperação são de fato aplicadas, e não apenas marcadas como feitas.

Ela continua sendo uma base operacional sólida. A Veeam defende explicitamente o modelo 3-2-1-1-0. O NIST e a CISA reforçam os controles subjacentes: backups protegidos, cópias offline e testes regulares. A CISA também menciona o storage imutável como opção, com as ressalvas citadas acima.

Onde a regra fica aquém não é na redundância, e sim na arquitetura de segurança em volta. Ela nos diz quantas cópias manter, onde elas devem existir e em que estado devem estar. Não define por completo a governança de acesso, as fronteiras de confiança administrativa, a segmentação de rede, o monitoramento e a arquitetura de recuperação necessários para manter essas cópias protegidas durante um comprometimento ativo.

É essa a lacuna que a Regra de Fibonacci da Segurança de Backup da BackupSec (5-3-2-1-1-0) foi criada para tratar. Ela não substitui o 3-2-1-1-0; ela o amplia com cinco princípios fundamentais de segurança.

Para as organizações que ainda estão trabalhando rumo a uma estratégia 3-2-1-1-0 totalmente implementada e verificada regularmente, essa base vem primeiro. A Regra de Fibonacci é a camada arquitetural construída sobre ela.

Onde a BackupSec entra

A BackupSec atua no lado Veeam deste problema. Quatro dos nossos serviços se relacionam com a regra:

• O ZeroMON monitora o Veeam Backup & Replication. Roda on-premises como OVA, conecta-se com uma conta somente leitura e não envia nada para a BackupSec nem para terceiros. Acompanha a saúde dos jobs, registra as mudanças de configuração (quem mudou o quê, e quando), executa um checklist de segurança e mostra o status de imutabilidade que o Veeam informa a partir das suas próprias configurações de repositório. Os alertas chegam por e-mail e por notificação no próprio aplicativo. O ZeroMON lê a configuração do Veeam; não verifica os bloqueios no próprio storage e não executa testes de restore. Ele avisa quando mudam as condições por trás do seu "1" e do seu "0"; o teste de restore é uma tarefa à parte.
• O ZeroVault é um object storage na nuvem compatível com S3, com Object Lock, usado como destino imutável fora do local para os backups do Veeam. Ao contrário do ZeroMON, ele mantém dados de backup fora do seu ambiente por definição, porque é isso que uma cópia fora do local é.
• O ZeroTAM oferece um consultor dedicado de segurança de backup para arquitetura, capacidade, planejamento de recuperação contra ransomware e suporte prioritário em crises. É trabalho de consultoria, e não software: a pessoa a quem você pergunta se o seu "1" extra está de fato isolado ou apenas longe.
• O ZeroPEN é um teste de penetração orientado a ameaças do Veeam Backup & Replication, do Veeam ONE e do Enterprise Manager. Simula uma kill chain de ransomware em oito etapas mapeadas no MITRE ATT&CK, do acesso inicial, passando pelo acesso ao repositório e pela neutralização do backup, até a prova de capacidade de criptografia. É não destrutivo: o ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (nunca apaga backups reais, nunca executa criptografia real nem interrompe serviços de produção ou de backup). O trabalho também inclui verificação da integridade de restore e da imutabilidade, termina com um pacote de relatórios pronto para auditoria e inclui um reteste das descobertas críticas.

Fale com a BackupSec sobre a postura de segurança do seu backup →

Quer fazer uma autoavaliação rápida primeiro? O Backup Security Assessment gratuito traz 28 perguntas em sete áreas, da estratégia de backup e controle de acesso aos testes de recuperação.