Pravidlo 3-2-1 při zálohování dat: klíč k bezpečné obnově

Proč pravidlo 3-2-1 stále platí

Pravidlo 3-2-1 patří k nejdůležitějším zásadám v oblasti zálohování a obnovy dat (Backup & Disaster Recovery, BCDR). Navzdory moderním cloudovým službám, snapshotům a pokročilým technologiím zůstává pravidlo 3-2-1 nejpraktičtějším rámcem pro minimalizaci rizika ztráty dat způsobené selháním hardwaru, lidskou chybou, útoky ransomwaru či živelními pohromami. Tento článek vysvětluje jeho principy, rozšíření (3-2-1-1-0) i implementaci v různých prostředích a nabízí praktické postupy, metriky a kontrolní seznam.

Definice pravidla 3-2-1

3 kopie dat: 1 produkční (primární) a 2 nezávislé zálohy.
2 různá média: zálohy musí existovat alespoň na dvou odlišných typech médií (např. disk + páska, NAS + objektové úložiště).
1 kopie mimo lokalitu (offsite): geograficky oddělené umístění chrání před lokální katastrofou (požár, záplava, krádež).

Cílem je eliminovat jediné místo selhání a zároveň zajistit, aby alespoň jedna kopie zůstala dostupná i v kritických situacích.

Rozšíření: 3-2-1-1-0

+1: Neměnná nebo offline kopie (immutable/air-gapped) – chrání před ransomwarem a hromadným mazáním.
+0: Nulová chybovost testů obnovy – pravidelně se ověřuje, že obnovy probíhají bez chyb a v požadovaných časech.

Tato rozšířená formulace reflektuje moderní hrozby a zdůrazňuje testování obnovy jako nedílnou součást strategie.

Vztah k RPO a RTO

RPO (Recovery Point Objective): maximální přijatelná ztráta dat vyjádřená v čase (např. 15 minut, 4 hodiny, 24 hodin). Určuje frekvenci zálohování či replikace.
RTO (Recovery Time Objective): maximální přijatelná doba obnovy. Ovlivňuje výběr technologií (snapshoty, replikace, pásky) i procesů.

Pravidlo 3-2-1 zajišťuje odolnost, zatímco RPO/RTO určují granularitu a rychlost. Návrh musí zohledňovat oba pohledy i náklady.

Volba médií a úložišť

Médium	Výhody	Nevýhody	Typické použití
Disk (DAS/SAN/NAS)	Rychlé zálohování a obnova, deduplikace, přírůstkové zálohy	Citlivost na ransomware, spotřeba energie	Primární „rychlá“ kopie, lokální úložiště záloh
Páska (LTO)	Nízké náklady na kapacitu, dlouhá retence, ve výchozím stavu offline	Pomalejší přístup, logistika, správa kazet	Dlouhodobá archivace, kopie oddělená od sítě (air-gap)
Objektové úložiště (S3/kompat.)	Škálovatelnost, pravidla životního cyklu, verzování	Poplatky za provoz a přenos dat, latence	Kopie mimo lokalitu, geografická redundance
Cloudové zálohování (BaaS)	Rychlé nasazení, spravovaná služba	Závislost na dodavateli, náklady na odchod	Offsite zálohování pro SMB/enterprise, obnova po havárii bez vlastního datového centra
Neměnné úložiště (WORM, S3 Object Lock)	Ochrana proti smazání či změně, soulad s předpisy	Nutnost správně nastavit zámky retence	„+1“ neměnná kopie chránící před ransomwarem

Architektury: on-prem, cloud a hybridní prostředí

On-prem: lokální zálohovací server s diskovým úložištěm (kopie č. 2), pásky uložené mimo lokalitu (kopie č. 3) → splnění pravidla 3-2-1 s oddělením od sítě (air-gap).
Cloud-first: snapshoty a zálohy do objektového úložiště (S3/Azure Blob) + druhá kopie v jiné lokalitě či účtu.
Hybridní prostředí: rychlé lokální obnovy z NAS/deduplikačního zařízení + dlouhodobá kopie mimo lokalitu v cloudu nebo na páskách uložených v trezoru.

„2 různá média“ v praxi

Za odlišné médium se považuje jiná technologická třída (disk vs. páska, lokální NAS vs. cloudové objektové úložiště). Dva různé disky ve stejném NAS obvykle požadavek „2“ nesplňují, pokud spadají do stejných rizikových domén (ransomware, fyzická havárie). Vhodnější je kombinace: disk + objektové úložiště nebo disk + páska.

„1 kopie mimo lokalitu“: geografické a účtové oddělení

Geografické oddělení: jiná lokalita, jiný cloudový region.
Oddělení účtů/tenantů: samostatný účet/tenant s principem nejmenších oprávnění, samostatným MFA a oddělenými identitami.
Síťová izolace: omezení přístupu z produkční sítě, jednosměrná replikace, privátní linky s ACL.

Neměnnost a oddělení od sítě (air-gap)

Neměnná záloha (WORM) brání přepsání a smazání během retenční doby. Lze ji realizovat softwarově (S3 Object Lock, Azure Immutable Blob) i hardwarově (WORM pásky). Air-gap znamená fyzické nebo logické odpojení – typicky pásky vyjmuté z knihovny nebo uložené v trezoru, případně „virtuální air-gap“ prostřednictvím oddělených účtů a zásad write-once.

Retence a schéma GFS

Grandfather–Father–Son (GFS) kombinuje denní, týdenní a měsíční kopie, aby vyvážilo RPO, RTO a náklady:

Son: denní přírůstkové zálohy (uchovávat 30 dní)
Father: týdenní úplné zálohy (uchovávat 8 týdnů)
Grandfather: měsíční úplné zálohy (uchovávat 12–84 měsíců podle požadavků na soulad s předpisy)

Část „Grandfather“ se často uchovává na páskách nebo v neměnném objektovém úložišti.

Zálohování specifických pracovních zátěží

Databáze (SQL/NoSQL): kombinace průběžného odesílání transakčních protokolů (log shipping), snapshotů a konzistentních výpisů; testy obnovy k určitému bodu v čase (PITR).
VM/Kubernetes: konzistentní snapshoty, zálohy jednotlivých jmenných prostorů, export metadat (manifesty, Helm chart), zálohování perzistentních svazků.
SaaS (Microsoft 365, Google Workspace): nezávislá služba BaaS – nespoléhejte se na vestavěný „koš“, nastavte vlastní retenci a neměnnou vrstvu.
Koncová zařízení: zálohování dokumentů se zásadami DLP, šifrováním a geograficky odděleným uložením v cloudu.

Šifrování, klíče a soulad s předpisy

Šifrování uložených i přenášených dat (AES-256, TLS) pro všechna místa přenosu i uložení.
KMS/HSM: správa klíčů, jejich rotace, oddělení rolí (segregace povinností) a audit.
Regulace: stanovte retenční lhůty podle GDPR a účetních či oborových norem; zmapujte, kde se data fyzicky nacházejí.

Automatizace a provoz

Orchestrace: plánovače, webhooky, infrastruktura jako kód (Infrastructure as Code; zásady zálohování v repozitáři, kontrola kolegy).
Monitoring: metriky úspěšnosti úloh, latence, rychlosti obnovy, velikosti úložišť záloh a vytížení sítě/IOPS.
Upozornění: notifikace při selhání, anomálie v objemu změn (indikátor ransomwaru), vypršení platnosti klíčů a zaplnění kapacity.

Testování obnovy a „0 chyb“

Pravidelné testy obnovy po havárii: čtvrtletně u klíčových systémů; jednou ročně komplexní cvičný scénář.
Automatizované ověřování: kontrolní součty, testy připojení svazků, testy spouštění VM, obnova malých vzorků databází.
Dokumentace: provozní postupy (runbooky), seznamy kontaktů, návaznost na krizové řízení a SLA s třetími stranami.

Ekonomika: náklady a metriky

TCO: média, software, cloudové poplatky (úložiště, odchozí přenos dat), pracovní čas, kurýrní a trezorové služby, energie.
KPI zálohování: úspěšnost úloh (%), průměrná doba obnovy a její 95. percentil, dosažené RPO, poměr deduplikace, podíl neměnných kopií.

Časté chyby a jak se jim vyhnout

Vše v jedné doméně či účtu: útočník s administrátorskými právy smaže i zálohy. Oddělte identity a oprávnění.
Žádná neměnná kopie: ransomware zasáhne i online zálohy. Zaveďte WORM/neměnné úložiště a oddělení od sítě (air-gap).
Nerealistické RTO: bez testů jde jen o přání. Měřte a upravujte architekturu.
Jednotné médium: dva NASy v jedné místnosti ≠ 2 média. Kombinujte technologie a lokality.
Chybějící dokumentace: při incidentu rozhodují minuty. Udržujte aktuální provozní postupy.

Modelové scénáře implementace

Malá firma (SMB): lokální NAS (rychlá obnova), replikace do objektového úložiště kompatibilního se S3 v jiném regionu (offsite), měsíční export na pásky uložené v trezoru (neměnné). Retence GFS 30/8/12.
Podnik: deduplikační zařízení on-prem + aktivní/aktivní datová centra; kopie mimo lokalitu v cloudu s Object Lock; čtvrtletní uložení pásek do trezoru pro dlouhodobou retenci a soulad s předpisy.
Domácí uživatel / prosumer: lokální externí disk (1× denně), šifrovaná záloha do cloudu (offsite), měsíční offline disk odpojený od sítě a uložený mimo domov.

Kontrolní seznam 3-2-1-1-0

Máte alespoň 3 kopie? (produkční + 2 zálohy)
Jsou uloženy na 2 různých médiích/technologiích?
Je alespoň 1 kopie uložena mimo lokalitu, v jiném účtu?
Existuje 1 neměnná kopie nebo kopie oddělená od sítě (air-gapped) s vynucenou retencí?
Dosahujete „0“ chyb při pravidelných testech obnovy kritických systémů?
Jsou definovány a měřeny RPO/RTO? Probíhá audit přístupů a klíčů?

Doporučení pro zavedení a model vyspělosti

Začátek: zmapujte systémy a klasifikujte data (kritická, důležitá, běžná). Stanovte RPO/RTO.
Implementace: nastavte první cyklus „3-2-1“ s různými médii a kopií mimo lokalitu; zaveďte šifrování a monitoring.
Posílení: přidejte neměnnost či oddělení od sítě (air-gap), oddělte identity a zaveďte retenci GFS.
Optimalizace: automatizace (IaC), pravidelné testy obnovy po havárii, metriky a průběžné zlepšování na základě zjištění.

Závěr

Pravidlo 3-2-1 je nadčasovým a pragmatickým rámcem pro odolné zálohování. V kombinaci s neměnností, oddělením od sítě (air-gap) a pravidelným testováním obnovy (3-2-1-1-0) poskytuje účinnou ochranu před technickými poruchami, lidskými chybami i sofistikovanými útoky. Úspěch závisí na správné volbě médií, architektury a procesů, především však na důslednosti: měřit, testovat a průběžně zlepšovat.