Zasada 3-2-1: jak zaplanować backup w firmie od 5 do 50 osób

Przy przeglądach kopii w małych firmach często trafiamy na układ, który na pierwszy rzut oka spełnia zasadę 3-2-1. Dane leżą na serwerze, obok stoi dysk USB z kopią, a folder firmowy synchronizuje się do chmury. Wystarczy jednak jeden zainfekowany komputer z uprawnieniami do wszystkich trzech miejsc, żeby wszystkie trzy wersje danych zostały zaszyfrowane tego samego popołudnia.

Liczby w nazwie zasady są proste. Trudniejsze jest to, czego nazwa nie mówi: kopie muszą być od siebie niezależne, mieć historię wersji i dać się odtworzyć. Poniżej opisujemy, jak backup 3-2-1 wygląda w praktyce w firmie zatrudniającej od 5 do 50 osób.

Co oznacza zasada 3-2-1

CERT Polska w poradniku dotyczącym ransomware opisuje regułę 3-2-1 tak: należy przechowywać co najmniej trzy kopie danych, co najmniej dwie z nich powinny znajdować się na różnych nośnikach, a co najmniej jedna powinna być odizolowana, żeby nie dało się jej zaszyfrować razem z resztą. W wersji spotykanej u producentów sprzętu, na przykład w materiałach Synology, „jedynka” oznacza kopię poza siedzibą firmy, w chmurze albo na zdalnym serwerze.

W praktyce te liczby czyta się następująco:

• 3 kopie to dane produkcyjne i dwie niezależne kopie zapasowe. Oryginał też się liczy.
• 2 rodzaje nośników oznaczają, że jedna awaria sprzętu lub jedna wada oprogramowania nie niszczy wszystkiego naraz. Serwer i NAS w tej samej szafie, na tych samych dyskach z jednej partii, to słaba realizacja tej dwójki.
• 1 kopia poza biurem albo w izolacji chroni przed pożarem, zalaniem, kradzieżą i przejęciem sieci biurowej.

Czego nie liczyć jako kopii zapasowej

Trzy mechanizmy regularnie trafiają do spisu kopii, choć nimi nie są.

RAID (łączenie kilku dysków w jedną macierz) chroni przed awarią pojedynczego dysku. Usunięty plik albo zaszyfrowany folder znika z macierzy natychmiast, na wszystkich dyskach jednocześnie.

Synchronizacja do chmury przenosi zmiany w obie strony. To jej zaleta przy pracy i wada przy awarii: przypadkowe usunięcie albo zaszyfrowanie plików trafia na wszystkie urządzenia w ciągu minut.

Kosz w usłudze chmurowej ma ograniczony czas. Microsoft podaje, że w SharePoint i OneDrive usunięte elementy są przechowywane przez 93 dni od usunięcia z pierwotnej lokalizacji, po czym znikają trwale. To wygodny mechanizm cofania pomyłek, ale niezależną kopią nie jest, bo zarządza nim to samo konto, które mogło zostać przejęte.

Wariant 3-2-1-1-0 przy zagrożeniu ransomware

Klasyczną regułę producenci rozwiązań do kopii rozszerzają o dwie cyfry. Synology opisuje wariant 3-2-1-1-0 jako trzy kopie na dwóch rodzajach nośników, z czego jedna poza siedzibą, jedna niezmienna albo offline, a test odtworzenia potwierdza zero błędów.

Dodatkowa „jedynka” odpowiada na konkretny problem. Amerykańska CISA w przewodniku #StopRansomware zaleca przechowywanie zaszyfrowanych kopii offline i wyjaśnia, że wiele odmian ransomware próbuje odnaleźć dostępne kopie, a następnie je usunąć albo zaszyfrować. Kopia, do której da się dojść z przejętego konta administratora, jest dla atakującego kolejnym celem.

Tę dodatkową kopię da się zrealizować na dwa sposoby:

• Offline: nośnik fizycznie odłączany od sieci, na przykład dysk wymieniany co tydzień i przechowywany poza biurem.
• Niezmienna (ang. immutable): kopia, której nie można zmienić ani usunąć przez ustalony czas. Synology realizuje to przez migawki w trybie WORM (zapis raz, wielokrotny odczyt) na wolumenach Btrfs. Producent zaznacza, że wymaga to modelu obsługującego WORM, a po ustawieniu okresu ochrony nikt, łącznie z administratorem, nie usunie takiej migawki przed jego upływem.

„Zero” oznacza, że kopia przeszła test odtworzenia bez błędów. CISA w tym samym przewodniku zaleca regularne testowanie dostępności i integralności kopii w scenariuszu odtwarzania po awarii.

Backup 3-2-1 w firmie od 5 do 50 osób

Typowy układ, który projektujemy dla firmy tej skali, opiera się na serwerze NAS jako centralnym repozytorium kopii. Pracujemy na tym sprzęcie jako Partner Synology, ale ta sama architektura da się zbudować na innych narzędziach.

Warstwa	Gdzie	Po co	Uwagi
Dane produkcyjne	Serwer, NAS z plikami, usługi w chmurze	Codzienna praca	To jest kopia numer jeden
Kopia lokalna	Drugi NAS albo osobne repozytorium w biurze	Szybkie odtworzenie, krótki czas przestoju	Migawki niezmienne, osobne konto administratora
Kopia poza biurem	NAS w innej lokalizacji albo przestrzeń w chmurze	Pożar, kradzież, zalanie biura	Szyfrowana, z osobnymi danymi logowania
Kopia offline	Dysk wymieniany i przechowywany poza siecią	Przejęcie wszystkich systemów online	Wymiana według harmonogramu, z rejestrem

W firmie zatrudniającej kilka osób zwykle wystarcza jeden NAS z migawkami, kopia do chmury i dysk offline wymieniany co tydzień. Przy kilkudziesięciu osobach, serwerze ERP i maszynach wirtualnych dochodzi zwykle drugie urządzenie poza biurem i kopie całych maszyn wirtualnych razem z plikami. O tym, jak często robić kopie i jak szybko trzeba je odtworzyć, decydują cele opisane we wpisie RPO i RTO dla zarządu.

Kopie danych z Microsoft 365 i Google Workspace

Przeniesienie poczty i plików do chmury nie zwalnia z kopii. Usługa dba o dostępność, a usunięte elementy przez pewien czas leżą w koszu. Jeśli jednak pracownik usunie folder, którego brak ktoś zauważy po czterech miesiącach, albo przejęte konto wyczyści skrzynkę i kosz, potrzebna jest kopia trzymana poza tym samym kontem.

Na serwerze NAS można to zrobić bez dodatkowych licencji. Synology podaje, że pakiet Active Backup for Microsoft 365 chroni dane z OneDrive for Business, SharePoint Online, Exchange Online i Teams, nie wymaga licencji i pozwala kopiować nieograniczoną liczbę kont w granicach dostępnej przestrzeni. Dla Google Workspace producent udostępnia analogiczny pakiet Active Backup for Google Workspace.

Taka kopia staje się wtedy jedną z warstw zasady 3-2-1, a NAS, na którym leży, sam musi mieć kopię poza biurem. Szerzej o tym, kiedy pliki trzymać we własnej infrastrukturze, a kiedy w pakiecie biurowym, piszemy w porównaniu własnej chmury plików z Microsoft 365 i Google Workspace.

Separacja uprawnień decyduje o odporności kopii

Kopia w innym miejscu nie pomoże, jeśli to samo konto zarządza produkcją i kopiami. Przy projektowaniu backupu w firmie pilnujemy kilku zasad:

• repozytorium kopii nie jest podłączone jako dysk sieciowy na komputerach ani serwerach, zgodnie z zaleceniem CERT Polska, by kopia nie była podłączona jako zasób sieciowy w sieci roboczej,
• konto administratora domeny albo serwera plików nie ma uprawnień do usuwania kopii,
• panel kopii i panel chmury są chronione uwierzytelnianiem dwuskładnikowym i osobnymi hasłami,
• klucz szyfrowania kopii jest zapisany w dwóch kontrolowanych miejscach i znany więcej niż jednej osobie.

Retencja, czyli do jakiego dnia możecie wrócić

Część problemów wychodzi na jaw po dniach albo tygodniach. Uszkodzona baza, nadpisany cennik, szyfrowanie, które zaczęło się w rzadko otwieranym folderze. Jeśli kopia trzyma tylko stan z poprzedniej nocy, skopiuje również błąd.

Rozsądna retencja dla małej firmy łączy kilka poziomów: wersje z ostatnich dni, wersje tygodniowe z ostatniego miesiąca i wersje miesięczne z dłuższego okresu. Konkretne wartości zależą od tempa zmian w danych, wymogów przechowywania dokumentów i pojemności nośników. Ważne, żeby ktoś podjął tę decyzję świadomie i zapisał ją w dokumentacji.

Test odtworzenia jako część zasady

Kopia, której nikt nie odtworzył, jest hipotezą. CERT Polska zwraca uwagę, że regularne testy chronią przed sytuacją, w której mimo istniejących kopii nie da się przywrócić stanu sprzed infekcji przez błąd w samej kopii.

Test nie musi być skomplikowany, ale powinien wyjść poza pobranie jednego pliku. W zależności od wagi systemu odtwarzamy folder, bazę danych albo całą maszynę wirtualną w izolowanym środowisku. W protokole zapisujemy czas odtworzenia, datę ostatnich danych w kopii, błędy i działania naprawcze. Więcej o samym procesie piszemy we wpisie o backupie danych w firmie.

Najczęstsze błędy przy wdrażaniu backupu 3-2-1

Przy przejmowaniu kopii po poprzednim wykonawcy najczęściej powtarzają się te same problemy, niezależnie od branży.

• Dysk USB podłączony na stałe. Formalnie drugi nośnik, w praktyce kolejny dysk dostępny dla każdego procesu na serwerze, łącznie z oprogramowaniem szyfrującym.
• Serwer kopiowany do OneDrive albo Google Drive z tego samego konta. Przejęcie jednego konta daje dostęp i do danych, i do kopii.
• Alerty bez adresata. Zadanie kopii od tygodni kończy się błędem, a powiadomienie trafia do skrzynki, której nikt nie czyta.
• Brak kopii konfiguracji. Dane są, ale ustawienia serwera NAS, routera i przełączników trzeba odtwarzać z pamięci.
• Kopia offline, której nikt już nie wymienia. Dysk „do wymiany co tydzień” leży w szufladzie od kilku miesięcy.

Każdy z tych błędów da się wykryć w ciągu jednego popołudnia, przeglądając konfigurację i logi zadań.

Pytania kontrolne dla zarządu

• Które dane i systemy są objęte kopią, a które zostały poza zakresem?
• Czy konto administratora produkcji może usunąć wszystkie kopie?
• Która kopia jest offline albo niezmienna i kto to sprawdza?
• Do jakiego najstarszego dnia możemy wrócić?
• Kiedy wykonano ostatni test odtworzenia i ile trwał?
• Kto dostaje alert o nieudanej kopii i co robi, gdy alert przyjdzie w piątek wieczorem?

Jeśli na któreś z tych pytań nikt w firmie nie zna odpowiedzi, od tego warto zacząć. Projekt kopii razem z serwerami i wirtualizacją prowadzimy w ramach usługi serwery, selfhosting i backup.

Źródła

• CERT Polska, Poradnik ransomware, https://cert.pl/uploads/docs/CERT_Polska_Poradnik_ransomware.pdf (dostęp 2.10.2026)
• CISA, #StopRansomware Guide, wrzesień 2023, https://www.cisa.gov/stopransomware/ransomware-guide (dostęp 2.10.2026)
• Synology, When Only Immutable Backups Survive, 7.07.2026, https://blog.synology.com/immutable-backup/ (dostęp 2.10.2026)
• Synology, Active Backup for Microsoft 365, https://www.synology.com/en-global/dsm/feature/active_backup_office365 (dostęp 2.10.2026)
• Microsoft Support, Restore deleted items from the site collection recycle bin, https://support.microsoft.com/en-us/office/restore-deleted-items-from-the-site-collection-recycle-bin-5fa924ee-16d7-487b-9a0a-021b9062d14b (dostęp 2.10.2026)

Stan na 2 października 2026 r.