Правило 3-2-1: рабочая схема резервного копирования для малого бизнеса

Компании, которые теряют данные, почти никогда не теряют их потому, что бэкапа не было. Бэкап был. Он лежал на той же машине, или на соседнем сетевом диске, который шифровальщик увидел вместе с рабочими папками, или последний раз проверялся при внедрении три года назад.

Правило 3-2-1 существует ровно против этих трёх сценариев. Формулировка короткая, применяется за выходные и не требует бюджета крупной компании.

Что означает каждая цифра

Про вторую цифру спотыкаются чаще всего. Два одинаковых хранилища в одной серверной формально дают два носителя, а фактически - одну точку отказа: их сожжёт один пожар, зальёт одна протечка и выбьет один скачок напряжения.

Почему RAID и второй NAS - это не резервная копия

Самая частая подмена понятий в малом бизнесе: «у нас RAID, данные защищены».

RAID защищает от отказа диска. От удалённого файла, от шифровальщика, от кривого обновления базы и от сотрудника, который «почистил папку», он не защищает вообще никак - все эти изменения массив честно и мгновенно продублирует на все диски.

То же самое с синхронизацией между двумя хранилищами. Если второй NAS синхронно повторяет первый, то зашифрованные файлы приедут на него за минуты. Синхронизация - это доступность, а не история. Резервная копия отличается тем, что у неё есть версии и точка, к которой можно откатиться.

Разница между «не потерять данные» и «не остановить работу» считается через два показателя - сколько данных допустимо потерять и за сколько надо подняться. Мы разбирали их отдельно в материале про RPO и RTO простыми словами; без этих двух чисел схема копирования строится наугад.

Два разных носителя: из чего собирать

Про ленту стоит сказать отдельно, потому что её регулярно записывают в покойники. В августе 2025 года были объявлены спецификации LTO-10: картриджи на 30 и 40 ТБ, поставки версии на 40 ТБ начались в первом квартале 2026 года. Для сравнения, LTO-9 держит 18 ТБ. Технология не уходит - она заняла нишу, где важны цена за терабайт и физическая изоляция от сети. Подробнее про то, как это устроено, - в разборе ленточных накопителей.

Копия вне площадки: что это значит в российских реалиях

Здесь старые статьи обычно советуют Dropbox и Amazon S3. В 2026 году для российской компании это не совет.

Персональные данные должны обрабатываться и храниться в базах на территории России - это требование 152-ФЗ, и оно распространяется на резервные копии тоже. Подробности про локализацию персональных данных мы разбирали отдельно.

Рабочих вариантов для внешней копии три.

Чаще всего берут объектное хранилище российского провайдера: платите за объём, храните версии, поддерживается протокол S3, с которым умеют работать почти все системы резервного копирования. Как оно устроено, разбирали в статье про объектное хранилище S3.

Второй путь - своё железо в другом здании. У компании два офиса или есть площадка у партнёра, там ставится второй NAS, абонентской платы нет. Канал между точками и шифрование трафика обязательны, иначе внешняя копия становится внешней утечкой.

Третий вариант недооценивают зря: картридж или внешний диск в сейфе. Носитель, физически не подключённый к сети, невозможно зашифровать удалённо - никаким способом. Плата за это - ручная операция, которую кто-то должен делать по расписанию и не забывать.

3-2-1-1-0: что добавилось из-за шифровальщиков

Базовое правило придумали, когда главной угрозой был отказ железа. Сегодня копии атакуют целенаправленно: злоумышленник сначала находит и уничтожает бэкапы, а потом шифрует продуктив, чтобы восстанавливать было неоткуда.

Отсюда расширенная формула - 3-2-1-1-0. Две новые позиции:

Ещё одна единица - это копия неизменяемая или офлайн. Неизменяемость на уровне хранилища означает, что записанный объект нельзя ни переписать, ни удалить до истечения срока блокировки - ни пользователю, ни администратору, ни тому, кто угнал учётную запись. В объектных хранилищах это механизм блокировки объектов, реализующий модель «записал один раз - читаешь много» с двумя режимами строгости. У российских провайдеров он есть. Офлайн-вариант того же принципа - картридж в сейфе.

Ноль в формуле - это ноль ошибок при проверке. Резервная копия, из которой ни разу не восстанавливались, это не копия, а предположение. Системы резервного копирования умеют поднимать копию в изолированной среде сами и проверять, что она загружается. Если автоматики нет, проверка делается руками - раз в квартал, с записью результата.

Что копировать в первую очередь

Схема на всё сразу обычно не взлетает: объём пугает, бюджет не резиновый, а начинать надо сегодня. Поэтому системы делят по тому, что происходит с компанией без них.

• Останавливает работу немедленно. База 1С, почта, файловый архив с рабочими документами, контроллер домена. Эти системы копируются по правилу целиком, с полными образами и короткой глубиной точек.
• Останавливает через несколько дней. Внутренние сервисы, вспомогательные базы, системы учёта, которыми пользуется один отдел. Здесь достаточно ежедневной копии и месячной глубины.
• Не останавливает, но восстановить дорого. Архивы, проектная документация, записи видеонаблюдения за прошлые периоды. Их место - в холодном хранении или на ленте, где терабайт стоит дёшево, а скорость доступа не важна.

Если денег и времени хватает только на первую категорию - начинайте с неё. Полностью выполненное правило для базы 1С полезнее, чем наполовину выполненное для всего парка.

Три сценария под размер компании

Отдельный сервер резервного копирования во втором сценарии нужен ради скорости восстановления: поднимать десятки терабайт через интернет-канал можно сутками. Лента приходит в третьем, когда архивы живут годами - держать их на картриджах дешевле, чем оплачивать тот же объём в облаке каждый месяц. Там же обычно появляется разделение на горячие и холодные данные, об организации холодного хранения есть отдельный материал.

Выбор самой системы копирования - разговор отдельный, мы разбирали программы для резервного копирования под разные бюджеты.

Ошибки, из-за которых правило не работает

• Все копии доступны из одной учётной записи. Если администратор домена может дотянуться и до продуктива, и до NAS, и до облака - злоумышленник, получивший его пароль, тоже может. Учётная запись для резервного копирования должна быть отдельной, и в домен её включать не надо.
• Обе копии в одной серверной. Формально носителя два, фактически причина отказа общая. Пожар и затопление не разбирают, какой шкаф чей.
• Копируются файлы, но не система. Восстановить документы из папки - полдела. Если при этом заново собирать сервер, настраивать роли и поднимать базу, простой растянется на дни. Что именно копировать - полные образы, приращения или и то и другое, - зависит от задачи; виды резервного копирования мы разбирали отдельно.
• Срок хранения короче, чем время скрытого присутствия. Злоумышленники сидят в сети неделями, прежде чем шифровать. Если глубина архива семь дней, все копии уже могут быть заражены. Для малого бизнеса разумный минимум - месяц, и отдельно несколько точек за прошлые месяцы.
• Никто не следит за отчётами. Задание, которое молча падает третий месяц, встречается чаще, чем хочется. Уведомление об ошибке должно приходить человеку, а не в общий ящик, который никто не открывает.

Что проверить в этом квартале

1. Сколько у вас копий каждой критичной системы и где они физически лежат.
2. Есть ли среди них хотя бы одна вне площадки и хотя бы одна, которую нельзя удалить из-под администратора.
3. Какая глубина архива и хватит ли её, если заражение обнаружится через три недели.
4. Из какой учётной записи работает система копирования и что она может ещё, кроме копирования.
5. Когда из копии в последний раз действительно поднимали систему. Зелёная галочка в отчёте не считается.
6. Сколько времени заняло бы восстановление сервера целиком, если считать честно, с установкой и настройкой.

Частые вопросы

Что такое правило 3-2-1 простыми словами?

Три копии данных, на двух разных типах носителей, одна из копий - вне площадки. Схема придумана так, чтобы ни один отказ, ни одна ошибка и ни один пожар не убрали все копии сразу.

Чем 3-2-1-1-0 отличается от 3-2-1?

Добавлены две позиции: одна копия должна быть неизменяемой или офлайн, и проверка восстановления должна проходить без ошибок. Первое - против шифровальщиков, которые целенаправленно ищут бэкапы, второе - против копий, которые не разворачиваются в нужный момент.

Достаточно ли RAID вместо резервного копирования?

Нет. RAID закрывает отказ диска и ничего не делает с удалением, шифрованием и логическими ошибками - все они честно продублируются на все диски массива.

Можно ли хранить резервные копии в зарубежном облаке?

Для персональных данных это прямо конфликтует с требованием их локализации в России. Плюс вопрос доступности сервиса. Практический выбор - объектное хранилище российского провайдера или своё железо на второй площадке.

Ленты ещё живы?

Да. Спецификации LTO-10 объявлены в августе 2025, картриджи на 30 и 40 ТБ, поставки версии на 40 ТБ идут с начала 2026 года. Ленту берут за цену за терабайт и за то, что картридж в сейфе физически недоступен по сети. Скорость тут ни при чём.

Как часто проверять восстановление?

Минимум раз в квартал и обязательно после любого изменения в инфраструктуре. Проверять надо не наличие файла копии, а то, что из неё поднимается работающая система.

По теме

• Как выбрать сервер для бэкапов и не потерять 8 лет работы
• Технологии резервного копирования