De 3-2-1-regel voor backups, uitgelegd voor 2026

Wat de regel zegt

De 3-2-1-regel is de oudste vuistregel in backup, en nog altijd de beste om mee te beginnen:

• 3 kopieën van uw data: het origineel plus twee backups.
• 2 verschillende soorten opslag: bijvoorbeeld een lokale schijf of NAS én objectopslag bij een externe partij.
• 1 kopie buitenshuis, op een andere fysieke locatie dan uw servers.

De logica is eenvoudig: één kopie kan kapotgaan, één soort opslag kan een gemeenschappelijk defect hebben (dezelfde firmware, dezelfde stroompiek), en één gebouw kan afbranden of onder water lopen. Drie onafhankelijke manieren om te falen, drie onafhankelijke beschermingen.

Wat er sinds 2010 veranderd is

De regel stamt uit een tijd waarin de grootste bedreiging een kapotte schijf was. Vandaag is het ransomware, en ransomware heeft iets geleerd: hij zoekt eerst uw backups. Een NAS die als netwerkschijf gekoppeld is, een backupserver met domeinrechten, een cloudbucket waarvan de sleutel op de server staat: dat zijn allemaal "kopieën" die mee versleuteld of gewist worden.

Daarom spreekt men nu van 3-2-1-1-0:

• de extra 1: één kopie is onveranderlijk of offline. Niemand kan ze wissen of overschrijven tijdens de bewaartermijn, ook geen beheerder met het juiste wachtwoord.
• de 0: nul fouten bij het testen van de restore. Een backup die nooit teruggezet is, is een hoop.

Wat "onveranderlijk" concreet betekent

Bij objectopslag (S3 en compatibel) heet dat object lock in compliance-modus. Elke versie van elk object krijgt een vervaldatum, en tot die datum is verwijderen onmogelijk: niet voor uw IT'er, niet voor de aanvaller met zijn wachtwoord, niet voor de opslagaanbieder zelf. Een verwijdering tijdens de termijn is alleen een markering; de echte data blijft staan.

Dat is iets anders dan "versiebeheer" of "prullenbak". Die kunnen door een beheerder leeggemaakt worden. Compliance-lock niet.

3-2-1 in een KMO, stap voor stap

1. Inventariseer wat er echt toe doet: databanken (boekhouding, ERP, webshop), bestandsservers, mailboxen, configuratie van servers. Vergeet Microsoft 365 of Google Workspace niet; dat is uw data, niet die van Microsoft.
2. Kies de offsite kopie eerst. Objectopslag in Europa, met object lock, bij een partij die geen kosten rekent voor uitgaand verkeer, zodat terugzetten geen factuur oplevert. Zekura gebruikt daarvoor standaard Cubixion in Antwerpen.
3. Scheid de rechten. De software die backups maakt, mag alleen toevoegen. Opruimen gebeurt elders, met een andere sleutel. Als dat niet kan met uw huidige tool, is dat een reden om te wisselen.
4. Versleutel voordat het vertrekt. De sleutel blijft bij u. Zo is de tweede en derde kopie ook geen datalek als de opslag ooit gecompromitteerd raakt.
5. Bepaal de bewaartermijn. Dertig dagen onwisbaar is een goede basis; wie DORA of strikte NIS2-eisen heeft, kiest langer en een tweede locatie.
6. Test de restore, en meet. Niet één keer, maar automatisch en regelmatig. Noteer hoe lang het duurt: dat is uw echte hersteltijd.

Wat Zekura hiervan automatiseert

Zekura is gebouwd rond 3-2-1-1-0. De agent op uw server versleutelt en verstuurt naar onveranderlijke objectopslag in België, met optioneel een tweede EU-locatie. De agent kan niets wissen; opruimen doet een aparte worker, en ook die kan niet onder de locktermijn. En de nul fouten: elke nacht wordt elke backup op een aparte machine teruggelezen, elke dag een steekproef vergeleken met de bron, elke week een databank volledig teruggezet en nageteld. Het resultaat staat in een bewijsketen die uw auditor zelf kan narekenen.

Veelgestelde vragen

Telt een tweede harde schijf in dezelfde server als tweede kopie?

Nee. Dezelfde server, dezelfde stroom, dezelfde inbreker. Een kopie die hetzelfde lot deelt als het origineel is geen kopie.

Is de cloud mijn offsite kopie?

Alleen als het een backup is, geen synchronisatie. OneDrive of Dropbox synchroniseert een versleuteld bestand net zo trouw als een gezond bestand. Een offsite kopie is een aparte, onveranderlijke snapshot van een eerder moment.

Hoe vaak moet ik testen?

Vaker dan u denkt haalbaar is, en daarom automatisch. Een jaarlijkse hersteloefening is het minimum voor de auditor; een dagelijkse automatische proefrestore is wat u gerust laat slapen.

Is 3-2-1 genoeg voor NIS2?

3-2-1 is de techniek; NIS2 vraagt daarnaast beleid, testen en bewijs. Lees de gids over NIS2 en backup.