Przy odzyskiwaniu danych wciąż widzę ten sam schemat: kopia zapasowa istniała – ale leżała na tym samym dysku, miała kilka miesięcy albo została zaszyfrowana przez ransomware razem z resztą. Reguła 3-2-1 to prosty standard, który zapobiega dokładnie tym przypadkom i sprawdza się zarówno w dwuosobowym biurze, jak i w firmie z pięćdziesięcioma pracownikami.
Co mówi reguła 3-2-1
Zasada 3-2-1 rozdziela dane tak, aby żadna pojedyncza awaria – ani uszkodzony dysk, ani pożar, zalanie czy atak ransomware – nie mogła zniszczyć wszystkich kopii naraz.
- 3 kopie danych: dane robocze oraz co najmniej dwie niezależne kopie zapasowe.
- 2 różne typy nośników: np. lokalny serwer NAS w biurze i niezależna chmura – nie dwie partycje na tym samym dysku i nie dwa dyski podpięte na stałe do tego samego komputera.
- 1 kopia poza siedzibą: fizycznie oddzielona od biura i najlepiej odłączona od sieci (offline) lub technicznie niezmienialna (immutable backup).
Chcesz zająć się tym w swojej firmie?
Napisz krótko albo zadzwoń. Odezwę się w dni robocze w ciągu 24 godzin.
Dlaczego jedna kopia musi być offline lub niezmienialna (3-2-1-1-0)
Kiedy powstawała reguła 3-2-1, głównym zagrożeniem były awarie sprzętu i zdarzenia losowe w serwerowni. Dziś największym ryzykiem jest co innego: nowoczesny ransomware aktywnie przeszukuje sieć w poszukiwaniu dostępnych kopii – udziałów sieciowych, otwartych zasobów NAS, podłączonych na stałe dysków USB czy synchronizowanych folderów chmurowych – i szyfruje je lub kasuje, zanim atak w ogóle stanie się widoczny.
Dlatego w praktyce bezpieczeństwa IT klasyczną zasadę coraz częściej rozszerza się do reguły 3-2-1-1-0: co najmniej 1 kopia musi być całkowicie offline (air-gap) albo zapisana z blokadą obiektów jako niezmienialna (immutable storage / WORM), tak aby nawet przejęte konto administratora nie mogło jej usunąć przed upływem okresu przechowywania. A 0 oznacza zero niewyjaśnionych błędów w automatycznej kontroli kopii i testach odtwarzania.
Dlaczego Microsoft 365, OneDrive i RAID to nie kopia zapasowa
W małych firmach niemal co tydzień spotykam dwa te same nieporozumienia. Po pierwsze: macierz RAID w serwerze lub NAS-ie lustrzanie zapisuje dane w czasie rzeczywistym, więc chroni wyłącznie przed awarią pojedynczego dysku. Jeśli ktoś przez pomyłkę usunie folder projektu albo złośliwe oprogramowanie zaszyfruje pliki, zmiana natychmiast trafi na wszystkie dyski w macierzy.
Po drugie: usługi takie jak Microsoft 365, OneDrive, SharePoint czy Google Workspace synchronizują pliki, ale nie zastępują niezależnego backupu. Gdy konto zostanie przejęte, skrzynki wyczyszczone lub pliki nadpisane, a czas przechowywania w koszu minie, dane przepadają. Nawet przy porządnej konfiguracji Microsoft 365 i Entra ID potrzebna jest osobna kopia zapasowa poczty, SharePointa i OneDrive.
Cztery błędy, przez które backup zawodzi w kryzysie
- Dysk USB podłączony na stałe: widoczny na serwerze jako zwykła litera dysku, nigdy nieodłączany i w razie ataku szyfrowany razem z danymi roboczymi.
- Ciche błędy bez powiadomień: zadanie backupu od trzech miesięcy kończy się błędem przez pełny dysk lub wygasłe hasło, ale nikt nie dostaje o tym e-maila.
- Kopia samych plików zamiast całych systemów: dokumenty są bezpieczne, ale po awarii serwera odtworzenie systemu, baz danych i programów branżowych zajmuje całe dni.
- Hasło do kopii na uszkodzonym serwerze: klucz szyfrowania do backupu w chmurze leży wyłącznie w pliku tekstowym na tym samym serwerze, który właśnie przestał się uruchamiać.
Krok, który prawie wszyscy pomijają: test odtwarzania
Kopia zapasowa staje się kopią zapasową dopiero wtedy, gdy odtwarzanie zadziałało w praktyce. To także wymóg prawny: art. 32 RODO wprost wymaga zdolności do szybkiego przywrócenia danych osobowych po incydencie oraz procedury regularnego testowania skuteczności zabezpieczeń (więcej w artykule o bezpieczeństwie IT w kancelarii).
Co najmniej raz na kwartał przywróć wybrane pliki na próbę, a raz w roku przećwicz pełny scenariusz awaryjny: ile trwa przywrócenie księgowości, poczty i oprogramowania branżowego? Czy nie brakuje zrzutu bazy danych albo klucza licencyjnego? I czy ktoś jeszcze w zespole wie, gdzie są awaryjne dane dostępowe? Szybki przegląd wszystkich dziesięciu podstaw daje bezpłatny test bezpieczeństwa IT.
Konkretna konfiguracja dla biura na 5 do 30 stanowisk
W małych firmach bez własnego działu IT najlepiej sprawdza się trzywarstwowy układ, który działa automatycznie w tle:
- Warstwa 1 – Dane robocze: serwery, laptopy i Microsoft 365 (Exchange, SharePoint, OneDrive) na zaszyfrowanych nośnikach.
- Warstwa 2 – Szybkie odtwarzanie lokalne: dedykowany NAS w biurze codziennie pobiera automatyczne kopie i pełne obrazy systemów przez odizolowane konto backupowe, do którego zwykłe komputery nie mają prawa zapisu.
- Warstwa 3 – Niezmienialna kopia poza biurem: szyfrowany backup w chmurze codziennie przesyła punkty przywracania do centrum danych w UE z włączoną blokadą Object Lock (np. na 30 dni) oraz codziennym raportem stanu.
Backup to nie produkt kupowany raz, lecz proces z jasnymi odpowiedzialnościami. Konfiguruję kopie 3-2-1 dla MŚP – wraz z automatyzacją, niezmienialną kopią poza siedzibą i udokumentowanym planem odtwarzania – a w ramach obsługi IT dla małych firm na bieżąco pilnuję, żeby każda kopia faktycznie się wykonała.