Правило «3-2-1»: достаточно ли его сегодня для защиты от реальных угроз?

Раньше для повышения надежности хранения резервных копий мы следовали правилу «3-2-1». Эта стратегия считалась золотым стандартом защиты данных. Но времена изменились. Сегодня кибератаки стали изощреннее, а требования к доступности данных – строже. Классическая схема «3-2-1» все еще актуальна, но ее уже недостаточно для полной уверенности в сохранности информации. Давайте разберемся, почему так произошло и как теперь выглядит современный подход к резервному копированию.

С чего все начиналось: правило «3-2-1»

Правило «3-2-1» было сформулировано около 20 лет назад и долгое время считалось фундаментальным принципом надежного хранения резервных копий. Оно гласит:

• Создавайте не менее трех копий данных – рабочая версия и два бэкапа
• Храните копии как минимум на двух физических носителях разного типа – например, дисковый массив и ленточная библиотека
• Одну копию храните удаленно – например, на другой площадке или в облаке

Эта схема отлично работала в мире, где главной угрозой был выход из строя оборудования. Она предполагала, что угроза носит случайный и немотивированный характер. Однако с ростом ценности данных и геополитической напряженностью появились новые риски. Речь уже идет не только об атаках с целью вымогательства, но и о целенаправленном разрушении ИТ-инфраструктуры как инструменте конкурентной борьбы или кибервойны.

Современные шифровальщики действуют в несколько этапов: сначала проникают в инфраструктуру через уязвимость или фишинг, затем получают привилегии администратора и шифруют не только рабочие данные, но и резервные копии. Часто злоумышленники ищут и уничтожают резервные копии в первую очередь, понимая, что это лишает организацию шанса на быстрое и полноценное восстановление.

Эволюция правила: переход к «3-2-1-1-0»

С появлением вирусов-шифровальщиков стало очевидно, что хранить все копии в одной сети опасно. Так появилось первое дополнение к классическому правилу.

Правило «3-2-1-1»

Новая «единичка» в конце означает, что одна из копий должна быть изолирована от основной сети (air-gapped). Это может быть:

• Ленточная библиотека, которая физически отключается от сети
• Внешний жесткий диск, который вы подключаете только на время создания бэкапа
• Неизменяемое хранилище (immutable storage), например, облачное с функцией WORM (write-once-read-many), где данные нельзя изменить или удалить в течение заданного срока
• Хранилище «черного дня» — специализированный программно-аппаратный комплекс, где данные физически изолированы с помощью однонаправленных каналов передачи.

Выбор решения зависит от бюджета и требований к скорости восстановления: ленточные библиотеки отличаются низкой стоимостью хранения, но медленнее, тогда как облачные хранилища обеспечивают оперативный доступ к данным, но могут не соответствовать отдельным отраслевым стандартам или нормативным требованиям.

Правило «3-2-1-1-0»

Но что, если изолированная копия окажется поврежденной? Или вы не сможете с нее восстановиться из-за какой-то ошибки? Такое, к сожалению, тоже случается. Именно поэтому появилось еще одно дополнение к классическому правилу. 

Последняя цифра означает полное отсутствие ошибок при восстановлении. То есть вы должны не просто создавать резервные копии и обеспечивать их надежное хранение, но и регулярно проверять их на целостность и возможность восстановления. Например, в Кибер Бэкапе используется два метода проверки резервных копий: проверка контрольных сумм для каждого блока восстанавливаемых данных и запуск резервной копии как виртуальной машины.

«Ноль ошибок» еще и про отлаженный процесс восстановления. Даже идеальный бэкап бесполезен, если в момент кризиса команда не знает, что делать. Поэтому любая стратегия бэкапа должна сопровождаться планом восстановления. Проведение регулярных проверок позволяет убедиться в работоспособности резервных копий и исключить ситуации, когда восстановление оказывается невозможным в момент реальной необходимости.

Современный подход к защите данных

Современная стратегия резервного копирования следует расширенному правилу «3-2-1-1-0», которое включает пять ключевых принципов:

Такой подход требует более сложной организации по сравнению с классической схемой, но именно он обеспечивает защиту от всего спектра современных угроз. Реализация правила «3-2-1-1-0» позволяет создать отказоустойчивую систему, соответствующую актуальным требованиям к доступности и сохранности данных.