A regra 3-2-1 define que você deve ter 3 cópias dos dados, em 2 mídias diferentes, com pelo menos 1 cópia offsite. É o padrão mínimo aceito pela indústria de segurança há décadas — mas com ransomware moderno, ela evoluiu para 3-2-1-1-0.
O que significa cada número da regra
Imagine que você tem um documento crítico. Se só existe em um lugar, um único evento — falha de hardware, incêndio, roubo — apaga tudo. A regra 3-2-1 existe para garantir que nenhum evento isolado consiga destruir todos os seus dados de uma vez.
3 cópias dos dados. Significa o original mais duas cópias de backup. Não porque você vai precisar das três ao mesmo tempo, mas porque redundância é proteção contra falhas simultâneas ou encadeadas. Dois backups podem falhar por razões diferentes: um corrompido, outro em mídia defeituosa.
2 mídias diferentes. As cópias precisam estar em tipos de armazenamento distintos. Não adianta ter dois backups no mesmo servidor, nem dois HDs externos do mesmo fabricante comprados na mesma caixa. A lógica aqui é que falhas de um tipo de mídia (defeito de fabricação em lote, corrupção de sistema de arquivos, ataque a um array específico) não comprometam simultaneamente as duas cópias. Combinações típicas: disco local + fita LTO, disco local + storage em nuvem, NAS + repositório remoto.
1 cópia offsite. Pelo menos uma das cópias precisa estar fisicamente em local diferente do ambiente principal. Esse requisito existe para proteger contra desastres físicos: incêndio, alagamento, queda de energia prolongada, furto do servidor. Offsite pode ser um datacenter remoto, um serviço de backup em nuvem ou até uma fita levada periodicamente para outro endereço — embora as duas primeiras opções sejam muito mais práticas e confiáveis.
Como aplicar por porte de empresa
Na prática, a implementação da regra 3-2-1 varia bastante dependendo do tamanho do ambiente.
Empresas pequenas (até 20 colaboradores, menos de 5 TB). O stack mais simples e eficaz combina backup local em NAS (Network Attached Storage) com replicação automática para um serviço de backup em nuvem — a Adentro oferece exatamente esse modelo com storage S3 no Brasil. Essa configuração atende os três critérios: original nos servidores, cópia no NAS local, cópia no storage remoto em nuvem. O custo mensal é acessível e a gestão é mínima.
Empresas médias (50–500 colaboradores, 5–100 TB). Aqui o ambiente geralmente inclui virtualização, banco de dados e múltiplos sistemas críticos. A arquitetura típica usa software dedicado como Veeam Backup, com repositório local de alta velocidade para restore rápido, repositório secundário em outro datacenter ou zona do mesmo provedor, e replicação para cloud como terceira cópia. Essa estrutura permite restaurar uma VM em minutos a partir do repositório local, enquanto mantém proteção contra desastre total no site.
Empresas grandes (mais de 500 colaboradores ou mais de 100 TB). O foco muda para automação, compliance e auditabilidade. A regra 3-2-1 é o mínimo; o real da discussão é política de retenção por categoria de dado, backup imutável para resistência a ransomware, e integração com plano de Disaster Recovery com RTO definido. Soluções como Commvault, Rubrik ou Cohesity assumem o gerenciamento centralizado.
A evolução: por que a regra 3-2-1 clássica não basta mais
O problema real aqui é que ransomware moderno não é mais um malware ingênuo que criptografa o que encontra no desktop. As variantes atuais — REvil, LockBit, BlackCat — passam semanas dentro do ambiente antes de ativar a criptografia, mapeando exatamente onde estão os backups e como destruí-los ou criptografá-los primeiro.
Se seus backups estão acessíveis na rede — mesmo em pasta de backup separada — o ransomware encontra e criptografa. A cópia offsite em nuvem com credenciais armazenadas no servidor também é vulnerável: o malware roubo as credenciais e apaga ou criptografa os backups antes de detonar.
Isso gerou a evolução para a regra 3-2-1-1-0:
+1: uma cópia offline ou imutável. Seja uma fita air-gapped (fisicamente desconectada da rede), seja um repositório de backup com imutabilidade habilitada — configuração que impede qualquer modificação ou exclusão dos dados por um período definido, mesmo que alguém tenha as credenciais de administrador. Object Lock S3 e Hardened Repository do Veeam são implementações desta camada.
+0: zero erros verificados. Toda cópia de backup deve ser verificada automaticamente após a criação. Não apenas “o job completou”, mas “os dados foram lidos de volta e são íntegros”. Sem essa verificação, você pode ter terabytes de backups corrompidos sem saber — exatamente o cenário que mencionamos no artigo sobre backup corporativo.
Quando a variante 3-2-1-1-0 é aplicada corretamente, mesmo um atacante com acesso de administrador ao ambiente não consegue destruir todos os backups, porque pelo menos uma cópia está imutável ou fisicamente desconectada.
Erros comuns na aplicação da regra
Muitas empresas acham que seguem a regra 3-2-1, mas na prática têm variações que não funcionam. As mais comuns:
Duas cópias no mesmo datacenter, em racks diferentes — isso não é offsite, é redundância local. Um incêndio no datacenter elimina ambas.
Cópia offsite em fita que nunca é testada — fita LTO tem vida útil e pode falhar. Sem teste de leitura periódico, você não sabe se a cópia é recuperável.
“Cópia em nuvem” que na verdade é sincronização bidirecional — se o ransoware criptografa os arquivos locais e a sincronização propaga a versão criptografada para a nuvem antes que você perceba, a cópia em nuvem agora também está criptografada.
A Adentro implementa a regra 3-2-1-1-0 com backups imutáveis e armazenamento em três datacenters Tier III no Brasil. Fale com um especialista para estruturar sua estratégia.