Zasada 3‑2‑1 przez lata była prostym, a zarazem skutecznym sposobem na ochronę danych: należy utrzymywać trzy kopie danych na dwóch różnych nośnikach, z czego jedna kopia jest przechowywana poza siedzibą. Jednak w erze chmur i ransomware to podejście okazuje się niewystarczające. Ataki typu ransomware regularnie celują w infrastrukturę kopii zapasowych i potrafią zaszyfrować lub usunąć wszystkie kopie w sieci. Firmy przechowują dane w usługach SaaS, a backupy tworzone w tym samym środowisku chmurowym nie zapewniają niezależności. Utrzymanie redundancji bez separacji nie zapewnia odporności.
W artykule omawiamy nowy standard tworzenia kopii zapasowych, który rozszerza klasyczną zasadę o kopię niezmienialną (immutable) lub odłączoną (air‑gapped) oraz o regularne testy odzysku. Podajemy przykłady implementacji oparte na najnowszych zaleceniach producentów (Veeam, Datto, Acronis, Keepit) oraz agencji rządowych.
Dlaczego klasyczna zasada 3‑2‑1 już nie wystarcza
- Ransomware atakuje backupy – współczesne złośliwe oprogramowanie nie ogranicza się do danych produkcyjnych. Autorzy ransomware atakują również repozytoria kopii zapasowych, szyfrując lub kasując backupy, aby wynegocjować większy okup. Bez izolacji lub niezmienialności kopia zapasowa jest dla napastników kolejnym celem. W ankiecie Veeam z 2025 r. 89 % organizacji przyznało, że ataki ransomware uderzały w ich repozytoria kopii zapasowych.
- Brak weryfikacji kopii – zasada 3‑2‑1 mówi, gdzie i jak przechowywać kopie, ale nie uwzględnia tego, czy kopie da się odtworzyć. Wiele firm dowiaduje się o uszkodzonych backupach dopiero podczas kryzysu. Nowoczesne podejścia wymagają regularnego testowania odzysku, aby ograniczyć ryzyko „zerowej kopii zapasowej”.
- Środowiska SaaS i chmury – dane produkcyjne coraz częściej znajdują się w usługach SaaS (Microsoft 365, Google Workspace, Salesforce). Tworzenie backupów w tej samej chmurze lub tenant‑cie nie zapewnia separacji administracyjnej; awaria usługi albo kradzież uprawnień może dotknąć zarówno dane produkcyjne, jak i backup. Niektórzy dostawcy (np. Microsoft) w ramach modelu współodpowiedzialności wymagają, aby klienci sami dbali o ochronę swoich danych.
3‑2‑1‑1 – jedna kopia niezmienialna lub offline
Aby załatać luki w klasycznej strategii, branża wprowadziła rozszerzenia:
Kopia niezmienialna (immutable) lub air‑gapped
- Zasada 3‑2‑1‑1 dodaje czwartą część: jedna kopia musi być niezmienialna lub przechowywana w trybie offline (air‑gapped). Według Datto dodatkowa kopia nie może być modyfikowana ani kasowana, nawet gdy atakujący uzyska dostęp do systemu; może to być air‑gapped urządzenie taśmowe lub repozytorium w chmurze z blokadą obiektową. Dzięki temu kopia pozostaje odporna na ransomware i sabotaż.
- Keepit podkreśla, że w świecie SaaS „offsite” oznacza inne konto lub inną chmurę niż ta, w której znajdują się dane produkcyjne. Aby stworzyć logiczny air gap, backup danych z AWS powinien znajdować się poza infrastrukturą AWS. W przeciwnym razie pojedynczy incydent może zniszczyć zarówno dane produkcyjne, jak i kopie zapasowe.
- TrueNAS w przewodniku z okazji World Backup Day 2024 wskazuje, że 3‑2‑1‑1‑0 (zob. następny punkt) wymaga utrzymania jednej kopii offline – historycznie była to kopia odłączona fizycznie (air gap) – lub wersji niezmienialnej. Kopia taka nie jest podłączona do sieci, więc ransomware nie może jej zaszyfrować.
Testowane kopie – zero błędów (3‑2‑1‑1‑0)
- 3‑2‑1‑1‑0 to kolejny krok. Oprócz niezmienialnej/offline kopii wprowadza wymóg zero błędów: wszystkie kopie muszą być regularnie weryfikowane i przywracane w testowym środowisku. Acronis wyjaśnia, że „0” oznacza automatyczne testowanie i monitorowanie kopii, aby upewnić się, że backupy można odzyskać. Datto dodaje, że zera nie da się osiągnąć bez automatycznych testów i walidacji – bez testów backupy mogą być uszkodzone.
- Veeam w swoim przewodniku bezpieczeństwa nazywa to podejście 3‑2‑1‑1‑0 i zaleca, aby przynajmniej jedna kopia była niezmienialna, odłączona lub offline i aby regularnie testować odzyskiwanie (SureBackup). W przypadku krótkiej retencji zaleca się immutability na minimum 1‑2 tygodnie, a dla długiej – co najmniej 4 tygodnie.
Air gap a immutability – podobieństwa i różnice
| Cecha | Kopia air‑gapped (offline) | Kopia niezmienialna (immutable) |
|---|---|---|
| Definicja | Kopia odłączona od sieci (fizycznie lub logicznie), np. taśma, napęd offline lub oddzielna chmura | Kopia umieszczona na nośniku, którego zawartości nie można modyfikować ani usuwać przez określony czas (WORM, obiektowa blokada chmury) |
| Odporność na ransomware | Bardzo wysoka – malware nie ma żadnego połączenia, ale przywrócenie może być wolniejsze | Wysoka – backup jest dostępny on‑line, ale chroniony przed zmianą; szybsze przywracanie |
| Przykłady | Taśmy LTO przechowywane poza siedzibą, odłączone dyski USB, zewnętrzne repozytorium w chmurze z oddzielnym kontem | AWS S3 Object Lock, Microsoft Azure Immutable Blob, Veeam Hardened Repository na Linuksie, snapshoty systemów plików z funkcją WORM |
| Koszt i zarządzanie | Wymaga fizycznego transportu lub konfiguracji oddzielnych kont/chmur; wolniejsze odtworzenie | Zwykle droższe magazynowanie, ale automatyzacja i szybki odczyt; wymaga odpowiedniego okresu retencji |
| Zalecenia | Stosować do kopii długoterminowych, zwłaszcza w środowiskach o wysokich wymaganiach compliance; łączyć z szyfrowaniem i kontrolą dostępu | Stosować do kopii krótkoterminowych jako dodatkową warstwę ochrony; w przypadku SaaS tworzyć kopie w osobnym tenant‑cie lub chmurze |
Jak wdrożyć nowy standard kopii zapasowych
- Utrzymuj trzy kopie na dwóch rodzajach nośników – fundament pozostaje niezmieniony: oryginał plus dwa backupy na różnych nośnikach (np. dysk + obiektowa chmura). Rozważ wykorzystanie różnych technologii, aby uniknąć podatności na jeden protokół; Veeam sugeruje tzw. protocol gap poprzez użycie różnych typów repozytoriów.
- Dodaj kopię niezmienialną lub offline – skonfiguruj repozytorium WORM (np. Hardened Repository Veeam, S3 Object Lock, Azure Immutable Blob) lub skorzystaj z taśm/odłączanych dysków. Upewnij się, że kopia znajduje się w oddzielnej domenie administracyjnej (inny tenant, inna chmura), aby zachować logiczny air gap.
- Zautomatyzuj testy i walidację – wdrażaj mechanizmy automatycznego testowania kopii, takie jak Veeam SureBackup, Datto Screenshot Verification lub odrębne skrypty. Regularne testy pozwalają wykryć uszkodzone lub niekompletne backupy zanim pojawi się potrzeba odzysku.
- Szyfruj i kontroluj dostęp – zarówno kopie on‑line, jak i offline powinny być szyfrowane i chronione wieloskładnikowym uwierzytelnianiem. Barracuda ostrzega, że samo redundancja bez separacji nie zapewnia bezpieczeństwa; potrzebne są niezależne kontrole dostępu oraz testowanie.
- Regularnie przeglądaj polityki retencji – zbyt krótki okres retencji zmniejsza liczbę punktów odzysku, ale zbyt długi generuje koszty. Veeam zaleca minimalnie 1‑2 tygodnie retencji dla kopii niezmienialnych krótkoterminowych i co najmniej 4 tygodnie dla długoterminowych.
- Rozważ nowe strategie 4‑3‑2 lub 3‑2‑2 – Keepit i Datto wspominają, że w środowiskach o szczególnie wysokich wymaganiach zgodności można pójść dalej, tworząc cztery kopie w trzech lokalizacjach (dwie poza siedzibą) lub przechowując dwie kopie off‑site w różnych chmurach.
Podsumowanie
Klasyczna zasada 3‑2‑1 nadal pozostaje fundamentem, lecz ransomware, środowiska SaaS i wymagania dotyczące zgodności spowodowały, że trzeba ją rozszerzyć. Obecne best practices mówią o 3‑2‑1‑1‑0: trzy kopie, dwa nośniki, jedna kopia poza siedzibą, jedna kopia niezmienialna lub offline oraz zero błędów dzięki regularnemu testowaniu. Kluczem jest niezależność – kopie zapasowe muszą być przechowywane w oddzielnych domenach administracyjnych lub offline, aby nawet w razie kompromitacji środowiska produkcyjnego zachować możliwość odzysku. Wdrażając immutable storage, air gaps i automatyczne testy, zwiększamy odporność na ataki i zapewniamy ciągłość działania.
