3-2-1-1-0 betyder tre kopier af data, på to forskellige medier, én kopi et andet sted, én kopi, der ikke kan ændres eller er afkoblet, og nul fejl, når gendannelsen testes. Reglen er let at sige og sværere at opfylde, når miljøet består af cloud, egne servere og programmer leveret som abonnement.
Reglen er en udvidelse af den ældre 3-2-1-regel, som Veeam formulerer den. Ifølge Veeam blev den oprindelige regel lavet, mens bånd var det almindelige backupmedie, og de to sidste tal er føjet til senere. Det er altså en producents formulering og ikke en standard. Den bruges her, fordi den giver driften fem spørgsmål, der kan besvares ét ad gangen. Denne artikel tager det tekniske.
3: tre kopier
Produktionsdata tæller som én. Der skal altså være to kopier ud over den. Det lyder enkelt, men et snapshot på samme lager er ikke en selvstændig kopi, fordi det forsvinder, hvis lageret går tabt. Replikering til et andet sted er heller ikke altid en kopi i reglens forstand, da en sletning eller kryptering i produktionen bliver kopieret med.
I cloud skal I se efter, om udbyderens indbyggede backup lægger kopien i samme konto og region. I hybrid drift er spørgsmålet, om den lokale backupserver og cloudkopien er to adskilte kopier, eller om den ene blot er et spejl af den anden. I egen drift tæller kun kopier, der kan gendannes uden den server, de beskytter.
2: to forskellige medier
Tanken bag tallet er, at én fejl ikke må ramme alle kopier. Engang betød det disk og bånd. I dag giver det mere mening at læse det som to forskellige lagersystemer med hver sin fejlkilde: lokal disk og objektlager, to forskellige lagerplatforme eller disk og bånd.
Det, der skal undgås, er to kopier på samme lagerklynge, samme type firmware eller samme konto. Lægger I begge kopier i samme cloudtjeneste, har I to kopier, men kun ét medie i reglens ånd.
1: én kopi et andet sted
Én kopi skal ligge uden for det sted, hvor produktionen står. For en virksomhed med egne servere er det typisk en kopi i et datacenter eller i cloud. For en virksomhed, der allerede kører i cloud, er det mindre oplagt. En anden region hos samme udbyder ændrer det fysiske sted, men ikke kontoen eller leverandøren. Backup i Europa gennemgår de fire valg om sted, konto, operatør og jurisdiktion.
1: én kopi, der ikke kan ændres
Den ekstra 1 er svaret på ransomware og fejl begået med administratorrettigheder. Kopien skal være låst i en periode, så den ikke kan slettes eller overskrives, eller den skal være koblet fra nettet. Låsen kan sidde i objektlageret, i backupsoftwaren eller i et medie, der fysisk tages ud. Hvad der reelt kan slettes alligevel, og af hvem, står i uforanderlig backup.
Den låste kopi og kopien et andet sted kan godt være den samme. Mange miljøer opfylder begge 1-taller med én låst kopi i objektlager hos en anden udbyder. Det er en gyldig løsning, så længe I ved, at den ene kopi nu bærer to krav.
0: nul fejl ved gendannelse
Det sidste tal er det, der oftest mangler. En backup, der aldrig er gendannet, er en antagelse. Nul fejl betyder, at gendannelsen er prøvet, og at resultatet er kontrolleret: systemet starter, data er hele, og programmerne kan bruge dem.
Testen bør dække både enkeltfiler og hele systemer, og den bør køre fra den kopi, der skal bruges i en nødsituation. Er den låste kopi i et andet land, skal testen også måle hentetiden. Fremgangsmåden er beskrevet under gendannelse fra cloud.
Det, reglen ikke dækker
Reglen siger intet om, hvor længe kopierne gemmes, hvor ofte de tages, eller hvilke systemer der skal med. Den siger heller ikke noget om programmer leveret som abonnement, hvor I ikke selv har adgang til lageret. Mail, filer og samarbejde i en skytjeneste kræver en særskilt backup, hvis de skal med i de tre kopier. Den sag står i backup af Microsoft 365 uden for Microsoft.
Hvad det kræver, og hvad det koster at lade være
Kravene kan opgøres pr. tal. Tre kopier kræver lager til to ekstra sæt data. To medier kræver typisk to systemer at drive. Et andet sted kræver en aftale og en forbindelse. Den låste kopi kræver lager, der understøtter lås, og en opbevaringsperiode, der er besluttet. Nul fejl kræver timer til test, gerne fast i kalenderen. Posterne er lager, licens, udgående data og egne timer. Beløbene hører hjemme i jeres eget ark.
At lade et tal stå åbent koster først noget den dag, det mangler. Uden den låste kopi kan et angreb ramme alle kopier. Uden test opdager I fejlen under en hændelse. Læg de faste poster ved siden af jeres eget skøn over, hvad en uge uden de vigtigste systemer koster.
Det skal I lade være med
- At tælle snapshots som kopier · de deler lager med produktionen og forsvinder med det.
- At lade én kopi bære flere krav uden at skrive det ned · den låste kopi og kopien udenfor kan være den samme, men så skal den også testes som begge.
- At springe testen over, fordi jobbet melder grønt · et vellykket job siger intet om, at gendannelsen virker.
Det skal valget kunne vise
- ☐ De tre kopier pr. system, og hvor hver af dem ligger.
- ☐ Hvilke to lagersystemer der bruges, og hvad de ikke deler.
- ☐ Hvilken kopi der er låst eller afkoblet, og i hvor lang tid.
- ☐ Dato og resultat for seneste gendannelsestest pr. system.
Kilder
- Veeam Blog, 3-2-1 backup rule, opdateret 3/7 2026: https://www.veeam.com/blog/321-backup-rule.html
Senest gennemgået: november 2026.
Næste skridt
Skriv de fem tal op som kolonner, og sæt jeres vigtigste systemer ind som rækker. De tomme felter er arbejdslisten.
Læs også: Objektlager i Europa · Disaster recovery i Europa
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
