Kopia zapasowa w firmie: reguła 3-2-1 i wdrożenie

Reguła 3-2-1 mówi, że firma powinna mieć trzy kopie danych na dwóch różnych rodzajach nośników, z czego jedna jest poza siedzibą firmy. Trzy kopie to oryginał i dwie kopie zapasowe. Dzięki temu pojedyncza awaria dysku, kradzież, pożar biura czy błąd pracownika nie oznaczają utraty danych. Ze względu na ataki ransomware dodaje się do tej reguły jeszcze dwa warunki: jedną kopię, której nie da się zmienić ani usunąć, oraz regularne testy odtwarzania. Taki wariant nazywa się 3-2-1-1-0.

W Conetso Group kopie zapasowe wdrażamy na rozwiązaniach producentów, z którymi mamy status partnera: Veeam, Synology i QNAP. Poniżej wyjaśniam, co oznacza każdy element reguły i jak przekładamy ją na konkretną konfigurację w firmie.

Reguła 3-2-1 w praktyce

Element	Co oznacza	Przykład w małej firmie
3 kopie	dane produkcyjne plus dwie kopie zapasowe	pliki na serwerze, kopia na NAS, kopia poza biurem
2 rodzaje nośników	kopie nie leżą na tym samym urządzeniu ani tym samym typie pamięci	dyski serwera i osobne urządzenie NAS albo chmura
1 kopia poza siedzibą	jedna kopia przetrwa zdarzenie, które dotknie całe biuro	drugi NAS w innej lokalizacji albo repozytorium w chmurze

Częsty błąd to kopia zapasowa na dysku USB podłączonym na stałe do serwera. Formalnie to druga kopia, ale w praktyce ginie razem z serwerem: przy przepięciu, kradzieży albo zaszyfrowaniu przez ransomware.

RAID i synchronizacja w chmurze nie zastępują kopii zapasowej

To dwa częste nieporozumienia.

RAID chroni przed awarią pojedynczego dysku. Jeśli pracownik usunie folder albo ransomware zaszyfruje pliki, RAID wiernie powieli tę zmianę na wszystkich dyskach.

Synchronizacja (np. folder synchronizowany z chmurą) działa tak samo. Usunięty lub zaszyfrowany plik zostaje usunięty lub zaszyfrowany także w chmurze. Kosz i historia wersji pomagają, ale tylko przez ograniczony czas. Nie zastępują niezależnej kopii.

Kopia zapasowa to osobny, wersjonowany zapis danych z określonego momentu. Można z niego odtworzyć stan sprzed awarii.

Czym jest reguła 3-2-1-1-0?

Veeam, producent oprogramowania do kopii zapasowych, rozszerza klasyczną regułę o dwa elementy (opis reguły 3-2-1-1-0 na stronie Veeam, stan na 31.08.2026).

Pierwsza jedynka oznacza kopię niezmienialną lub odizolowaną. Takiej kopii nie da się zmodyfikować ani usunąć przez określony czas, nawet z uprawnieniami administratora. Może to być też kopia fizycznie odłączona od sieci. To odpowiedź na ataki, w których przestępcy najpierw szukają i usuwają kopie zapasowe, a dopiero potem szyfrują dane.

Zero oznacza brak błędów przy odtwarzaniu. Kopie są regularnie sprawdzane, a odtworzenie testowane. Kopia, której nikt nigdy nie próbował odtworzyć, jest tylko założeniem.

Rozwiązania, na których budujemy kopie zapasowe

Dobór zależy od tego, co chronimy:

• Veeam do kopii serwerów, maszyn wirtualnych i Microsoft 365. To nasze podstawowe narzędzie: pozwala odtworzyć cały system albo pojedyncze pliki, wysłać kopię poza siedzibę i zablokować ją przed zmianami.
• Urządzenia NAS Synology i QNAP jako repozytorium kopii w biurze. Drugie takie urządzenie w innej lokalizacji przyjmuje replikowane kopie.
• Chmura jako lokalizacja kopii poza siedzibą, gdy firma nie ma drugiego biura.

Kopię niezmienialną i kopię poza siedzibą konfigurujemy w Veeam. Kopia trafia do repozytorium z blokadą zmian. Miejsce kopii poza siedzibą dobieramy do możliwości firmy: może to być inna lokalizacja, chmura prywatna albo chmura publiczna.

Jak wdrażamy kopię zapasową w firmie

Każde wdrożenie dopasowujemy do firmy, jej danych i budżetu. Poniższy przebieg to przykład, od którego często zaczynamy, a nie jedyny sposób:

1. Inwentaryzacja danych. Spisujemy, gdzie są dane: serwery, bazy programów księgowych i dziedzinowych, udziały sieciowe, poczta i pliki w Microsoft 365, dane na laptopach.
2. Ustalenie dwóch parametrów. Pierwszy to RPO, czyli ile danych możesz stracić (np. pracę z jednego dnia). Drugi to RTO, czyli jak szybko system musi wrócić do działania. Od nich zależy częstotliwość kopii i sposób odtwarzania.
3. Dobór sprzętu i licencji. Ustalamy pojemność repozytorium, liczbę urządzeń i lokalizację kopii poza siedzibą.
4. Konfiguracja. Ustawiamy harmonogramy, okres przechowywania, szyfrowanie kopii, powiadomienia o błędach i oddzielne konta do zarządzania kopiami.
5. Test odtworzenia. Odtwarzamy wybrane pliki i system, zanim uznamy wdrożenie za zakończone.
6. Dokumentacja. Opisujemy, co jest kopiowane, gdzie i jak często oraz jak wygląda procedura odtworzenia.

Czas wdrożenia zależy od stanu infrastruktury, więc podajemy go po inwentaryzacji. U klientów w abonamencie testy odtworzenia powtarzamy regularnie, a ich częstotliwość zależy od pakietu i ustalamy ją w umowie.

Czy dane w Microsoft 365 też potrzebują kopii zapasowej?

Warto je nią objąć. Kosz, przechowywanie usuniętych elementów i historia wersji w Microsoft 365 działają przez ograniczony czas. Nie chronią przed każdą sytuacją, np. przed usunięciem skrzynki po odejściu pracownika, które ktoś zauważy po kilku miesiącach. Do kopii poczty, OneDrive, SharePoint i Teams proponujemy Veeam Backup for Microsoft 365. Zakres kopii Microsoft 365 ustalamy razem z kopiami serwerów, żeby wszystkie dane firmy były objęte tymi samymi zasadami.

Ile kosztuje wdrożenie kopii zapasowej?

Wdrożenie kopii zapasowej wyceniamy indywidualnie. Cena zależy od:

• ilości danych i liczby serwerów,
• tego, czy kopia ma obejmować maszyny wirtualne, stanowiska i Microsoft 365,
• sposobu przechowywania kopii poza siedzibą (drugie urządzenie albo chmura).

Sprzęt (NAS, dyski) i licencje oprogramowania wyceniamy osobno, według aktualnych cen producentów. Zakres naszych wdrożeń kopii zapasowych i wirtualizacji opisujemy na stronie oprogramowanie dla firm.

Jak sprawdzić, czy Twoja kopia zapasowa działa

Odpowiedz na pięć pytań:

• Kiedy ostatnio ktoś odtworzył z kopii pojedynczy plik i cały serwer?
• Czy ktoś dostaje powiadomienie, gdy kopia się nie wykona, i czy je czyta?
• Czy kopia poza siedzibą jest aktualna?
• Czy konto, którym można usunąć kopie, jest inne niż konto administratora domeny?
• Czy wiesz, ile godzin zajmie odtworzenie najważniejszego systemu?

Jeśli na któreś pytanie nie znasz odpowiedzi, kopia zapasowa jest do sprawdzenia. Kopie to też ostatnia linia obrony przed atakiem. Więcej o wykrywaniu zagrożeń piszemy w tekście o monitorowaniu zagrożeń i reagowaniu na incydenty.

Jeśli chcesz sprawdzić swoje kopie albo zaplanować nowe, skontaktuj się z nami.