3-2-1 princips: kā veidot drošas rezerves kopijas

Ko nozīmē 3-2-1

3-2-1 princips nosaka minimumu drošām rezerves kopijām: 3 datu kopijas, uz 2 dažādiem nesēju veidiem, no kurām 1 glabājas ārpus telpām. Formulējums nav mārketinga izgudrojums – tieši šādā redakcijā to publicējusi arī ASV kiberdrošības aģentūra CISA savā datu dublēšanas materiālā: trīs svarīgā faila kopijas (viena pamata un divas rezerves), divi dažādi nesēju veidi un viena kopija ārpus mājas vai uzņēmuma telpām.

Aiz katra cipara stāv konkrēts drauds. Trīs kopijas aizsargā pret nesēja bojājumu, divi nesēju veidi – pret vienam nesējam raksturīgu sistemātisku kļūmi, un viena kopija citā vietā – pret notikumu, kas iznīcina visu vienuviet.

Pret ko aizsargā katra daļa

Draudi un tas, kura 3-2-1 daļa pret tiem palīdz

Notikums	3 kopijas	2 nesēji	1 ārpus telpām	Bezsaistes kopija
Diska bojājums	Jā	Jā	Jā	Jā
Kļūdaina dzēšana	Daļēji	Nē	Daļēji	Jā
Ugunsgrēks vai zādzība	Nē	Nē	Jā	Jā
Programmatūras kļūda kopēšanā	Nē	Jā	Nē	Daļēji
Izspiedējvīruss	Nē	Nē	Daļēji	Jā

Tieši tāpēc pēdējos gados princips ir papildināts. Populārākā redakcija ir 3-2-1-1-0: papildus klasiskajām trim daļām vēl viena bezsaistes vai nemaināma (immutable) kopija un nulle kļūdu atjaunošanas pārbaudē. Otrais papildinājums ir tikpat svarīgs kā pirmais – kopija, kuru neviens nekad nav atjaunojis, ir nepārbaudīts pieņēmums.

Kā to izpildīt praksē

1. Nosaki, kas jāglabā. Ne tikai dokumenti: arī datubāzes, konfigurācijas, e-pasts, pirmkods un licences atslēgas.
2. Nosaki, cik daudz drīksti zaudēt. No tā izriet kopēšanas biežums – tas ir tavs atjaunošanas punkta mērķis (RPO).
3. Izveido lokālu kopiju ātrai atjaunošanai: ārējais disks vai NAS, no kura atgūt failu aizņem minūtes.
4. Pievieno kopiju citā vietā – mākoņa krātuvē vai citā fiziskā adresē; tā ir “1 ārpus telpām”.
5. Nodrošini vienu bezsaistes vai nemaināmu kopiju ar atsevišķiem pieejas datiem, kas darba vidē nedarbojas.
6. Šifrē kopijas un uzglabā atšifrēšanas atslēgas atsevišķi no pašām kopijām.
7. Automatizē un ieslēdz brīdinājumus par kļūdām – nesekmīga kopēšana ir incidents, ne blakusparādība.
8. Ieplāno atjaunošanas testu kalendārā, nevis “kad būs laiks”.

Ko par to nosaka Latvijas regulējums

Regulētajiem subjektiem prasības ir daudz konkrētākas nekā “veidojiet kopijas”. Ministru kabineta noteikumu “Minimālās kiberdrošības prasības” 68. punkts nosaka, ka rezerves kopijai jāsatur visi dati, kas nepieciešami sistēmas darbības atjaunošanai pilnā apjomā – ne tikai glabātie dati, bet arī izpildāmais kods, atbalsta programmatūra un automatizēto darbību skripti.

Noteikumu 70. punkts nosaka arī kopēšanas periodiskumu pēc sistēmas klases. A klases informācijas sistēmai jābūt iespējai atjaunot stāvokli iepriekšējā dienā, pirms nedēļas (7–31 diena), pirms mēneša (30–365 dienas) un iepriekšējā gadā; B klases sistēmai – pēdējās nedēļas laikā, pirms nedēļas, pirms mēneša un iepriekšējā gadā; C klases sistēmai – vismaz stāvokli pirms pēdējām nozīmīgajām izmaiņām, bet ne senāku par sešiem mēnešiem.

Attiecībā uz glabāšanu 72. punkts A klases sistēmai prasa vismaz vienu pilnu rezerves kopiju no informācijas sistēmas atdalītos tehniskajos resursos, ģeogrāfiski attālinātā vietā, telpās, kas aizsargātas pret nesankcionētu piekļuvi un aprīkotas ar automātisko ugunsgrēka atklāšanas un trauksmes signalizācijas sistēmu. Tā pēc būtības ir 3-2-1 “ārpus telpām” daļa, uzrakstīta juridiskā valodā.

Trīs detaļas, kas izšķir rezultātu

• Atsevišķas tiesības. Ja domēna administratora konts atver arī rezerves kopiju sistēmu, tā nav atdalīta kopija. Noteikumu 72.1. apakšpunkts tāpēc piekļuvi ierobežo līdz pilnvarotām personām un atbildīgajam par kopijām.
• Brīdinājums par kļūmi. Noteikumu 71. punkts prasa, lai par nesekmīgu kopēšanu nekavējoties tiktu brīdināts atbildīgais un kiberdrošības pārvaldnieks. Nepamanīta kļūme var atstāt sistēmu bez aktuālas kopijas, tāpēc brīdinājumam jāseko atbildīgā rīcībai.
• Integritātes pārbaude. Kontrolsumma pēc kopijas izveides un pēc tās pārvietošanas uz citu nesēju atklāj bojājumus, pirms tie kļūst par problēmu atjaunošanas brīdī.

Mājas lietotājam un vienpersoniskam uzņēmumam

Princips nemainās, mainās mērogs. Trīs kopijas mājās nozīmē: dati datorā, automātiska kopija uz ārējā diska un kopija mākoņa pakalpojumā ar versiju vēsturi. Ārējo disku pēc kopēšanas atvieno – tieši atvienošana padara to par bezsaistes kopiju.

• Sāc ar to, ko nevarēsi atjaunot no citurienes: fotogrāfijas, personiskos dokumentus un grāmatvedību. Lejupielādētas filmas, spēles un programmas dublēt nav vērts.
• Ieslēdz automātisku kopēšanu pēc grafika – tas mazina risku aizmirst kopiju, bet joprojām jāpārbauda izpilde un kļūdu paziņojumi.
• Pārbaudi mākoņa pakalpojumā, cik ilgi glabājas iepriekšējās versijas un dzēstie faili. Ja tikai 30 dienas, tas ir tavs reālais aizsardzības logs.
• Vienu reizi ceturksnī atver dažus failus no kopijas. Pārbaudi arī pilnīgumu un izmēri atjaunošanas laiku; dažu failu atvēršana vēl nepierāda visas sistēmas atjaunojamību.
• Ja izmanto šifrēšanu, uzglabā atkopšanas atslēgu ārpus datora – izdrukātu vai paroļu pārvaldniekā citā ierīcē.

Šāds komplekts palīdz atjaunot datus pēc klēpjdatora nozagšanas vai pazaudēšanas, cietā diska atteices, kļūdainas mapes dzēšanas vai izspiedējvīrusa veiktas datu šifrēšanas.

Kopijas kā aizsardzība pret izspiedējvīrusu

Sophos 2026. gada izspiedējvīrusu pētījumā 66 % organizāciju, kurām dati tika nošifrēti, tos atguva no rezerves kopijām – salīdzinājumā ar 54 % gadu iepriekš. Tajā pašā laikā izpirkumu samaksāja 48 %, kas ir zemākais rādītājs pēdējos trīs gados. Pārbaudītas kopijas palīdz plānot atjaunošanu, taču neatrisina nozagtu datu publicēšanas risku. Aptaujas procenti paši par sevi nepierāda cēloņsakarību.

CISA #StopRansomware vadlīnijas šo pašu domu formulē kā konkrētu pasākumu: uzturēt bezsaistes, šifrētas rezerves kopijas un regulāri pārbaudīt to pieejamību un integritāti atjaunošanas scenārijā. Kā šādu pārbaudi organizēt, aprakstīts ceļvedī kā pārbaudīt rezerves kopijas.

Biežākās kļūdas

• Divas kopijas vienā telpā. Serveris un NAS blakus skapī ir viena vieta, ne divas.
• Mākoņa sinhronizācija kā “ārpus telpām”. Bez versijām un aizsargātas dzēšanas tā atspoguļo arī šifrēšanu.
• Kopijas ar tām pašām parolēm. Viens uzlauzts administratora konts atver visu.
• Aizmirstas datubāzes. Failu kopija bez saskaņotas datubāzes rezerves kopijas var neļaut atjaunot darbspējīgu sistēmu.
• Nezināma atslēgu atrašanās vieta. Šifrēta kopija bez atslēgas ir tikpat nederīga kā šifrēts oriģināls.