3-2-1-1-0-regeln förklarad

Vad 3-2-1-1-0-regeln egentligen säger

3-2-1-1-0-regeln är en dataskyddsformel för hur många kopior av er data ni bör hålla, på vilken typ av media, och hur ni bevisar att de faktiskt fungerar:

• 3 kopior av er data – produktionskopian plus minst två backuper.
• 2 olika typer av media eller lagringsplattformar, så att ett enskilt teknikfel eller leverantörsavbrott inte kan förstöra alla kopior på en gång.
• 1 kopia lagrad offsite, geografiskt separerad från den primära platsen.
• 1 ytterligare kopia som är oföränderlig eller air-gapped – onåbar eller omöjlig att ändra även för en angripare med administrativa behörigheter.
• 0 fel: varje backup verifierad och varje återställning testad, inte bara antagen att fungera.

Det läses som en naturlig fortsättning, men de två extra siffrorna – den andra "1:an" och "0:an" – var inte en del av den ursprungliga formeln. De bultades på år senare, som ett direkt svar på att ransomware lärt sig rikta in sig specifikt på backuper. Att förstå varför de lades till säger mer om modern backupstrategi än checklistan i sig.

Var regeln kommer ifrån

Delen "3-2-1" i namnet föregår ransomware helt och hållet. Fotografen Peter Krogh myntade uttrycket i sin bok från 2006, The DAM Book: Digital Asset Management for Photographers, genom att destillera en uppsättning praxis han observerat hos IT-proffs till en formel enkel nog för yrkesverksamma fotografer – som plötsligt ansvarade för oersättliga digitala arkiv men inte var systemadministratörer – att faktiskt följa. Krogh uppfann inte den underliggande idén om redundanta offsite-kopior; han gav den ett minnesvärt namn. Regeln tillskrevs honom senare formellt i en US-CERT-publikation från 2012 om alternativ för databackup, och vid det laget hade den redan blivit standardrekommendationen inom företags-IT. Den förblir en grundnivå som både CISA och NIST rekommenderar än idag.

Den ursprungliga 3-2-1-regeln var utformad för sin tids hot: diskfel, brand, översvämning, stöld och oavsiktlig radering. Dess grundantagande var att ingen enskild fysisk händelse rimligen skulle kunna förstöra tre kopior av data spridda över två medietyper och två platser. I ungefär ett decennium höll det antagandet.

Varför enbart 3-2-1 slutade räcka

Antagandet gick sönder när ransomware-operatörer började behandla backupinfrastruktur som ett primärt mål snarare än ett hinder att kringgå. Tre kopior på två medietyper med en offsite uppfyller fortfarande 3-2-1 fullt ut även om alla tre kopiorna går att nå med samma uppsättning komprometterade produktionsbehörigheter – vilket är precis det scenario moderna ransomware-grupper letar efter.

Omfattningen av förändringen är påtaglig. Veeams Ransomware Trends-rapport från 2025 visade att 89% av ransomware-offren hade sina backup-repositories direkt utsatta för angrepp under attacken, av 1 300 tillfrågade organisationer. Sophos State of Ransomware-rapport från 2025 registrerade den lägsta återställningsgraden för backuper under de sex år undersökningen genomförts: bara 54% av organisationerna kunde använda backuper för att återställa sin data, och bland dem som till slut betalade mer än angriparens ursprungliga lösenkrav uppgav 38% att misslyckade eller felaktiga backuper var en direkt orsak.

Tre geografiskt separerade kopior gör ingenting för att stoppa en angripare som redan har behörigheten att radera alla tre. Det gapet är precis vad de två extra siffrorna designades för att täppa till.

Den extra "1:an": en kopia angripare genuint inte kan nå

Den extra "1:an" kräver minst en kopia som är oföränderlig – skyddad mot ändring eller radering under en definierad retentionsperiod, vanligtvis genom object lock i cloud-lagring, WORM-hårdvara (Write Once Read Many) eller ett hårdat repository där retention verkställs på lagringsnivå – eller air-gapped, vilket innebär att den helt saknar en stående nätverksväg från produktionsmiljön.

Det här är ett strängare krav än det verkar vid första anblicken. Två cloud-regioner från samma leverantör, båda nåbara med samma administratörskonto, uppfyller det inte – geografisk separation utan behörighetsseparation är inget verkligt skydd mot en angripare som redan har domänadministratörsbehörighet. Genuina implementationer kombinerar vanligtvis cloud-baserad oföränderlig lagring, för snabb återställning, med en djupare offline- eller air-gapped kopia för värsta scenariot där även den oföränderliga nivåns managementplan har komprometterats.

CISA:s vägledning om ransomware är tydlig med att offline, krypterade backuper ska behandlas som den sista försvarslinjen just för att de befinner sig utanför den räckvidd en komprometterad identitet kan nå.

"0:an": att bevisa att backupen faktiskt fungerar

"0:an" är den operativa halvan av regeln, och den organisationer hoppar över oftast. Den kräver noll overifierade backuper – varje backup kontrollerad för integritet, varje återställningsväg periodiskt testad från början till slut, inte bara övervakad via en grön notis om att "jobbet lyckades".

Gapet mellan backup-jobb som rapporterar framgång och återställningar som faktiskt fungerar är stort och väldokumenterat. En branschundersökning från 2025 visade att 62% av organisationerna inte genomför regelbundna backup- och återställningstester, och att 37% inte kunde återställa inom sitt krävda recovery time objective specifikt för att backuper saknades eller aldrig hade validerats. När återställningar genomförs utan ordentlig integritets- och skadekodskontroll riskerar uppskattningsvis 63% av organisationerna att återintroducera samma infektion som orsakade avbrottet från början – vilket förvandlar ett återställningsförsök till en andra incident.

"0:an" finns eftersom en backup som aldrig har återställts inte är en kontroll – den är ett antagande. Verifiering, gjord enligt schema och mätt mot realistiska återställningstidsmål, är det som omvandlar det antagandet till ett faktum ni kan lita på under en verklig incident.

Vanliga misstag vid implementering av 3-2-1-1-0

• Att räkna två cloud-regioner som "två media." Mångfald i medietyp betyder genuint olika lagringstekniker eller plattformar, inte två instanser av samma objektlagring.
• Att behandla den extra "1:an" som uppfylld av vilken offsite-kopia som helst. Offsite adresserar geografi; oföränderlig eller air-gapped adresserar behörighetskompromettering. En regelenlig offsite-kopia som delar identitetsplan med produktionsmiljön täpper inte till gapet som motiverade att siffran lades till.
• Att hoppa över "0:an" för att backup-jobben rapporterar grönt. Ett lyckat backup-jobb bekräftar att data skrevs. Det bekräftar inte att datan går att återställa, är applikationskonsistent eller fri från den skadekod som kommer att göra återställningen nödvändig.
• Att tillämpa regeln enhetligt oavsett hur kritisk datan är. Tier-ett-system motiverar generellt tätare verifiering och kortare RTO:er än arkivdata; en och samma retentions- och testpolicy för hela miljön underskyddar oftast de system som betyder mest och överspenderar på de som inte gör det.

Räcker 3-2-1-1-0 fortfarande 2026?

För de flesta organisationer täpper en korrekt implementerad 3-2-1-1-0 – där den extra "1:an" och "0:an" genuint verkställs, inte bara bockas av – till största delen det gap som från början gjorde det möjligt för ransomware att rikta in sig på backuper. Den förblir en sund operativ grundnivå, och både CISA och NIST fortsätter att rekommendera den som en sådan.

Där den brister är på arkitektursidan: 3-2-1-1-0 svarar på "hur många kopior, var och i vilket skick", men säger inget om den åtkomststyrning, nätverkssegmentering och kontinuerliga övervakning som avgör om kopiorna förblir så under en attack. Det är det gapet som BackupSecs egna Fibonacci Rule of Backup Security (5-3-2-1-1-0) är byggd för att täppa till, genom att lägga till fem grundläggande säkerhetsprinciper under samma kopieräkningsformel. För en organisation som bara ska få 3-2-1-1-0 fullt och verifierbart på plats är det dock ett nästa steg – inte en förutsättning.

Var BackupSec kommer in

På BackupSec hjälper vi team i stora organisationer att verifiera att deras 3-2-1-1-0-implementation är verklig – inte bara dokumenterad – genom att göra backupsäkerheten observerbar, rådgivningsbar och bevisbar.

Vårt angreppssätt kombinerar tre lager:

• ZeroMON levererar kontinuerlig observerbarhet över hela backupmiljön – Veeam-redo övervakning med realtidsspårning av jobb, automatiserade säkerhetskontroller, forensiska granskningsspår för konfigurationsavvikelser och compliance-rapporter med ett klick. Det här är lagret som förvandlar regelns krav på "0 fel" från en förhoppning till ett bevis.
• ZeroTAM ger dedikerad expertrådgivning kring backuparkitektur, konfiguration av oföränderlighet och planering för ransomware-återställning – det mänskliga lagret de flesta stora organisationer behöver för att bekräfta att deras extra "1:a" verkligen är isolerad, inte bara geografiskt avlägsen.
• ZeroPEN penetrationstestar er backupinfrastruktur på samma sätt som en verklig angripare skulle göra – med fokus på managementplan, åtkomstkontroller och inställningar för oföränderlighet – och kör därefter faktiska återställningsscenarier för att bevisa att ni kan återhämta er rent, fullständigt och inom ert angivna RTO.

BackupSec driftsätts on-premise, ansluter till era backupapplikationer via skrivskyddad API-åtkomst och flyttar aldrig backupdata utanför er miljö.

Prata med BackupSec om er backupsäkerhet →

Vill ni se hur er egen miljö mäter sig? Poängsätt den med den kostnadsfria Backup Security Assessment.