Regeln 3-2-1-1-0 förklarad

Vad regeln 3-2-1-1-0 faktiskt säger

Regeln 3-2-1-1-0 är en formel för dataskydd som anger hur många kopior av dina data du ska ha, på vilken typ av media, och hur du bevisar att de faktiskt fungerar:

• 3 kopior av dina data: produktionskopian plus minst två backuper.
• 2 olika media eller lagringsplattformar, så att ett enskilt teknikfel eller ett avbrott hos en leverantör inte kan förstöra alla kopior på en gång.
• 1 kopia lagrad offsite, geografiskt separerad från den primära siten.
• 1 ytterligare kopia som är immutable eller air-gappad, så att den inte kan ändras eller nås ens av en angripare med administratörsuppgifter.
• 0 fel: varje backup verifierad och återställningar testade, inte bara antagna att fungera.

De tre första siffrorna är den klassiska regeln 3-2-1. Den andra ettan och nollan kom senare. Veeam säger att företaget "extended the rule to 3-2-1-1-0" (utvidgade regeln till 3-2-1-1-0), och anger skälet till den extra kopian rakt ut: "ransomware increasingly targets backups." (ransomware riktar sig allt oftare mot backuper.) Att förstå varför de två siffrorna lades till säger mer om modern backupstrategi än checklistan ensam.

Var regeln kommer ifrån

Delen "3-2-1" i namnet är äldre än ransomware som ett allmänt förekommande hot. Den tillskrivs fotografen Peter Krogh och hans bok The DAM Book: Digital Asset Management for Photographers. Krogh uppfann inte idén med redundanta kopior offsite; han gav den ett namn som var enkelt nog att komma ihåg.

En rapport från 2012 skriven för US-CERT, Data Backup Options, är den vanliga referenspunkten. Den formulerar regeln som "Keep 3 copies of any important file: 1 primary and 2 backups" (Behåll 3 kopior av varje viktig fil: 1 primär och 2 backuper), "Keep the files on 2 different media types to protect against different types of hazards" (Förvara filerna på 2 olika typer av media för att skydda mot olika typer av risker) och "Store 1 copy offsite" (Förvara 1 kopia offsite), och anger andra upplagan av Kroghs bok från 2009 som källa.

Samma grunder finns kvar i dagens vägledning. NIST:s Cybersecurity Framework 2.0 listar utfallet "Backups of data are created, protected, maintained, and tested" (Backuper av data skapas, skyddas, underhålls och testas) (PR.DS-11). CISA:s #StopRansomware Guide uppmanar organisationer att "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario." (upprätthålla offline, krypterade backuper av kritisk data och regelbundet testa att backuperna är tillgängliga och intakta i ett katastrofåterställningsscenario.)

Den ursprungliga regeln 3-2-1 utformades för sin tids hot: diskfel, brand, översvämning, stöld och oavsiktlig radering. Dess grundantagande var att ingen enskild fysisk händelse rimligen kunde förstöra tre kopior av data spridda över två typer av media och två platser.

Varför 3-2-1 ensamt slutade räcka

Antagandet föll när ransomware-operatörer började behandla backupinfrastrukturen som ett primärt mål i stället för ett hinder att ta sig runt. Tre kopior på två typer av media, varav en offsite, uppfyller fortfarande regeln 3-2-1 fullt ut även om alla tre går att nå med samma uppsättning komprometterade inloggningsuppgifter. Det är exakt det scenario som moderna ransomware-grupper letar efter. CISA:s guide säger det rakt ut: "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid." (de flesta ransomware-aktörer försöker hitta och sedan radera eller kryptera åtkomliga backuper för att göra återställning omöjlig om inte lösensumman betalas.)

Enkätdata pekar åt samma håll. Veeams 2025 Ransomware Trends-rapport, baserad på en enkät med 1 300 organisationer, varav 900 hade drabbats av ransomware under de föregående 12 månaderna, fann att 89 % av de angripna organisationerna fick sina backup-repositories angripna av angriparen, och att i genomsnitt 34 % av deras backup-repositories ändrades eller raderades. Sophos State of Ransomware 2025, en enkät med 3 400 IT- och cybersäkerhetsansvariga vars organisationer drabbats av ransomware, fann att bara 54 % av de organisationer vars data krypterades återställde den med hjälp av backuper, vilket Sophos kallar den lägsta andelen på sex år. Av de 151 organisationer i enkäten som betalade mer än angriparens ursprungliga krav uppgav 38 % att deras backuper hade fallerat eller inte fungerade.

Tre geografiskt separerade kopior gör ingenting för att stoppa en angripare som redan har inloggningsuppgifterna för att radera alla tre. Det är den luckan som de två extra siffrorna utformades för att täppa till.

Den extra ettan: en kopia som angripare verkligen inte kan nå

Den extra ettan kräver minst en kopia som antingen är immutable eller air-gappad. Immutable betyder skyddad mot ändring eller radering under en definierad retention-period, vanligtvis med Object Lock på objektlagring i molnet, Write Once Read Many-hårdvara (WORM) eller ett härdat repository som upprätthåller retention i lagringslagret. Air-gappad betyder att det inte finns någon stående nätverksväg alls från produktionen till kopian.

Det här är ett striktare krav än det först verkar. Två molnregioner hos samma leverantör, som båda går att nå med samma administratörskonto, uppfyller det inte: geografisk separation utan separation av inloggningsuppgifter skyddar dig inte mot en angripare som redan har domänadministratörsbehörighet. CISA gör en närliggande poäng om backuper i molnet och föreslår en multimolnstrategi "in case all accounts under the same vendor are impacted." (ifall alla konton hos samma leverantör drabbas.) Starkare implementationer kombinerar ofta immutable molnlagring för snabb återställning med en offline- eller air-gappad kopia för det värsta scenariot, där även managementplanet för den immutable nivån har komprometterats.

Immutability har sina egna avvägningar. CISA:s guide noterar att vissa molnleverantörer erbjuder immutable lagring som skyddar data utan en separat miljö, och lägger till en varning: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost." (Använd immutable lagring med försiktighet, eftersom den inte uppfyller efterlevnadskraven i vissa regelverk och felkonfiguration kan medföra betydande kostnader.)

Nollan: bevisa att backupen faktiskt fungerar

Nollan är regelns operativa halva, och den som är lättast att hoppa över. Den kräver noll overifierade backuper: varje backup kontrollerad för integritet och varje återställningsväg regelbundet testad från början till slut, inte bara övervakad efter en grön notis om att "jobbet lyckades". Veeam beskriver siffran som "zero recovery errors" (noll återställningsfel); CISA:s version är att "regularly test the availability and integrity of backups." (regelbundet testa att backuperna är tillgängliga och intakta.)

Ett lyckat backupjobb och en ren återställning är olika saker. Veeams 2024 Ransomware Trends-rapport fann att bara 37 % av de angripna organisationer som ingick i undersökningen använde någon form av sandbox under återställningen. Utan en mellanlagringsmiljö där återställd data skannas innan den går tillbaka till produktionen kan en återställning föra med sig angriparens skadekod och förvandla en återställning till en andra incident.

Nollan finns eftersom en backup som aldrig har återställts inte är en kontroll. Den är ett antagande. Verifiering, gjord enligt ett schema och mätt mot realistiska mål för återställningstid, är det som förvandlar antagandet till ett faktum du kan lita på under en verklig incident.

Vanliga misstag när 3-2-1-1-0 införs

• Att räkna två molnregioner som "två media". Mångfald i medietyp betyder verkligt olika lagringstekniker eller plattformar, inte två instanser av samma objektlagring.
• Att anse att den extra ettan uppfylls av vilken kopia offsite som helst. Offsite handlar om geografi; immutable eller air-gappad handlar om komprometterade inloggningsuppgifter. En kopia offsite som följer regeln men delar identitetsplan med produktionen täpper inte till den lucka som var skälet till att siffran lades till.
• Att hoppa över nollan för att backupjobben lyser grönt. Ett lyckat backupjobb bekräftar att data skrevs. Det bekräftar inte att data går att återställa, är applikationskonsistent eller är fri från den skadekod som kommer att göra återställningen nödvändig.
• Att tillämpa regeln likadant oavsett hur kritisk datan är. Tier one-system motiverar i regel tätare verifiering och kortare RTO:er än arkivdata; en enda policy för retention och tester över hela miljön brukar underskydda de system som betyder mest och lägga för mycket pengar på dem som inte gör det.

Räcker 3-2-1-1-0 fortfarande 2026?

För de flesta organisationer täpper en korrekt införd 3-2-1-1-0 till en betydande del av den lucka som låter ransomware förvandla backupinfrastrukturen till ett mål. Korrekt innebär att den immutable eller isolerade kopian och verifieringen av återställning verkligen upprätthålls, inte bara bockas av.

Regeln är fortfarande en sund operativ grundnivå. Veeam förespråkar uttryckligen modellen 3-2-1-1-0. NIST och CISA förstärker de underliggande kontrollerna: skyddade backuper, offline-kopior och regelbundna tester. CISA nämner också immutable lagring som ett alternativ, med de reservationer som citeras ovan.

Där regeln brister är inte redundansen, utan säkerhetsarkitekturen runt omkring. Den säger hur många kopior som ska finnas, var de ska finnas och i vilket skick de ska vara. Den definierar inte fullt ut den åtkomststyrning, de administrativa förtroendegränser, den nätverkssegmentering, den övervakning och den återställningsarkitektur som krävs för att hålla kopiorna skyddade under en pågående kompromettering.

Det är den luckan som BackupSecs Fibonacci-regel för backupsäkerhet (5-3-2-1-1-0) är utformad för att hantera. Den ersätter inte 3-2-1-1-0; den utvidgar den med fem grundläggande säkerhetsprinciper.

För organisationer som fortfarande arbetar mot en fullt införd och regelbundet verifierad 3-2-1-1-0-strategi kommer den grunden först. Fibonacci-regeln är det arkitektoniska lager som bygger ovanpå den.

Här kommer BackupSec in

BackupSec arbetar med Veeam-sidan av det här problemet. Fyra av våra tjänster motsvarar regeln:

• ZeroMON övervakar Veeam Backup & Replication. Den körs on-premises som en OVA, ansluter med ett konto med enbart läsbehörighet och skickar ingenting till BackupSec eller någon tredje part. Den följer jobbhälsa, registrerar konfigurationsändringar (vem som ändrade vad och när), kör en säkerhetschecklista och visar den immutability-status som Veeam rapporterar utifrån sina egna repository-inställningar. Larm kommer via e-post och som notiser i appen. ZeroMON läser Veeams konfiguration; den verifierar inte låsen i själva lagringen och kör inte återställningstester. Den talar om för dig när förutsättningarna bakom din etta och din nolla ändras; återställningstester är en separat uppgift.
• ZeroVault är S3-kompatibel objektlagring i molnet med Object Lock, som används som immutable mål offsite för Veeam-backuper. Till skillnad från ZeroMON lagrar den backupdata utanför din miljö, och det är avsiktligt, eftersom det är vad en kopia offsite är.
• ZeroTAM ger dig en dedikerad rådgivare inom backupsäkerhet för arkitektur, kapacitet, planering av återställning efter ransomware och prioriterad support i kris. Det är rådgivning, inte mjukvara: personen du frågar om din extra etta faktiskt är isolerad eller bara ligger långt bort.
• ZeroPEN är ett hotdrivet penetrationstest av Veeam Backup & Replication, Veeam ONE och Enterprise Manager. Det simulerar en ransomware-kill chain i åtta steg mappade mot MITRE ATT&CK, från initial åtkomst via åtkomst till repositories och neutralisering av backuper till bevis på förmåga att kryptera. Det är icke-destruktivt: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services." (raderar aldrig riktiga backuper, utför aldrig riktig kryptering och stoppar aldrig produktions- eller backuptjänster.) Uppdraget omfattar också verifiering av återställningsintegritet och immutability, avslutas med ett revisionsfärdigt rapportpaket och innefattar ett omtest av kritiska fynd.

Prata med BackupSec om hur det står till med din backupsäkerhet →

Vill du först göra en snabb självkontroll? Den kostnadsfria Backup Security Assessment ställer 28 frågor inom sju områden, från backupstrategi och åtkomstkontroll till återställningstester.