Dữ liệu có thể bị mất do xóa nhầm, hỏng thiết bị hoặc ransomware. Theo IBM Cost of a Data Breach Report 2025, chi phí trung bình toàn cầu của một vụ vi phạm dữ liệu khoảng 4,44 triệu USD trong khi các sự cố liên quan đến ransomware có thể vượt 5 triệu USD. Điều này cho thấy sao lưu dữ liệu (backup) không chỉ là việc của đội ngũ IT mà còn ảnh hưởng trực tiếp đến vận hành và tài chính doanh nghiệp.

Quy tắc 3-2-1 giúp giảm nguy cơ mất toàn bộ dữ liệu bằng cách duy trì ba bản dữ liệu, lưu trên hai loại phương tiện và đặt một bản ngoài địa điểm chính.Tuy nhiên, sao lưu dữ liệu chỉ hỗ trợ khôi phục, không thể ngăn dữ liệu bị rò rỉ ra ngoài. Bài viết sẽ hướng dẫn cách triển khai quy tắc 3-2-1 và giải thích vai trò của F-DDH BOX trong việc bổ sung lớp giám sát kết nối từ mạng nội bộ ra Internet.

*Quy tắc sao lưu dữ liệu 3-2-1 phân tán bản sao trên nhiều phương tiện và vị trí.*

Tóm tắt nhanh

Quy tắc sao lưu 3-2-1: Giữ ba bản dữ liệu, dùng hai loại phương tiện và đặt một bản ngoài địa điểm chính.
Cách triển khai: Kiểm kê dữ liệu, xác định RPO và RTO, tách quyền quản trị, tự động hóa và kiểm thử khôi phục.
Bảo vệ trước ransomware: Dữ liệu quan trọng nên có thêm bản ngoại tuyến hoặc bất biến theo mô hình 3-2-1-1-0.
Backup không ngăn rò rỉ dữ liệu: Bản sao lưu giúp phục hồi nhưng không thể thu hồi thông tin đã bị gửi ra ngoài.
Vai trò của F-DDH BOX: Giám sát kết nối từ mạng nội bộ ra Internet và chặn kết nối tới máy chủ C2 nằm trong danh sách được cảnh báo.
Mô hình phù hợp: Kết hợp sao lưu dữ liệu và giám sát kết nối đầu ra để giảm các lỗ hổng bảo mật.

Xem thêm:

Sao lưu dữ liệu và quy tắc sao lưu 3-2-1 là gì?

Sao lưu dữ liệu là quá trình tạo và lưu giữ các bản sao của dữ liệu gốc, nhằm đảm bảo doanh nghiệp vẫn khôi phục được thông tin khi bản gốc bị mất, hỏng hoặc bị mã hóa bởi ransomware.

Đây là một trong những trụ cột nền tảng của quản lý dữ liệu doanh nghiệp, bên cạnh việc phân loại dữ liệu, kiểm soát quyền truy cập và giám sát luồng dữ liệu ra vào hệ thống.

Quy tắc sao lưu dữ liệu 3-2-1 là một nguyên tắc tổ chức bản sao theo ba yêu cầu: giữ ba bản dữ liệu, sử dụng hai loại phương tiện lưu trữ và đặt một bản ở ngoài địa điểm vận hành chính. Đây không phải tên của một phần mềm cụ thể. Doanh nghiệp có thể áp dụng với NAS, ổ đĩa, băng từ, cloud hoặc nhiều nền tảng khác.

Theo SentinelOne, Peter Krogh đã phổ biến nguyên tắc sao lưu dữ liệu 3-2-1 trong cuốn The DAM Book. Quy tắc này ban đầu chỉ nhằm bảo vệ ảnh kỹ thuật số khỏi thất lạc, trước khi được cả ngành CNTT và an ninh mạng đón nhận như một chuẩn mực chung.

Mục tiêu của sao lưu dữ liệu 3-2-1 không phải tạo nhiều bản sao một cách máy móc. Cốt lõi là tránh để mọi bản dữ liệu cùng phụ thuộc vào một thiết bị, một tài khoản quản trị hoặc một vị trí. Nếu dữ liệu gốc bị xóa, doanh nghiệp còn bản sao. Nếu hệ thống lưu trữ tại chỗ hỏng, doanh nghiệp còn bản ở nơi khác.

Hiểu nhanh quy tắc 3-2-1

3 bản dữ liệu: một bản đang sử dụng và hai bản sao lưu độc lập.
2 loại phương tiện: ví dụ NAS kết hợp cloud hoặc ổ đĩa kết hợp băng từ.
1 bản ngoài địa điểm chính: đặt ở một vị trí hoặc ranh giới quản trị khác.

Ý nghĩa của 3, 2 và 1 trong sao lưu dữ liệu

*Mỗi thành phần trong quy tắc sao lưu dữ liệu 3-2-1 xử lý một nhóm rủi ro khác nhau.*

3 bản dữ liệu: Một bản chính và hai bản sao độc lập

Ba bản không có nghĩa là ba thư mục trên cùng một máy chủ. Cấu trúc hợp lý gồm một bản phục vụ công việc hằng ngày và hai bản sao lưu dữ liệu được quản lý độc lập. Khi một bản bị hỏng, mã hóa hoặc ghi đè, doanh nghiệp vẫn còn nguồn khác để phục hồi.

Ví dụ, dữ liệu kế toán nằm trên máy chủ nội bộ. Bản thứ hai được lưu trên NAS chuyên dụng. Bản thứ ba được chuyển lên lưu trữ dữ liệu dưới dạng đối tượng ở cloud. Mỗi bản cần có chính sách quyền truy cập, thời gian lưu và kiểm tra tính toàn vẹn riêng.

2 loại phương tiện: Không để mọi bản sao cùng chịu một rủi ro

Hai phương tiện khác nhau giúp giảm khả năng lỗi đồng thời. Nếu dữ liệu gốc và bản backup đều nằm trên hai phân vùng của cùng một ổ cứng, thiết bị hỏng sẽ ảnh hưởng cả hai. Nếu mọi bản sao cùng dùng một tài khoản cloud, việc lộ tài khoản cũng có thể làm mất toàn bộ.

Doanh nghiệp có thể kết hợp NAS với cloud, disk với tape hoặc lưu trữ tại chỗ với một dịch vụ backup dữ liệu độc lập. Lựa chọn phù hợp phụ thuộc dung lượng, tốc độ phục hồi, ngân sách và yêu cầu lưu trữ.

1 bản ngoài địa điểm chính: Tách khỏi phạm vi sự cố

Bản lưu ngoài địa điểm chính cần được tách về vị trí địa lý hoặc ranh giới quản trị. Cloud có thể đáp ứng yêu cầu này nếu tài khoản, quyền quản trị và vùng lưu trữ được cấu hình độc lập. Với dữ liệu đặc biệt quan trọng, doanh nghiệp nên cân nhắc bản offline hoặc bản sao được cách ly khỏi hệ thống mạng.

CISA khuyến nghị duy trì bản sao ngoại tuyến, mã hóa dữ liệu backup và kiểm tra khả năng phục hồi thường xuyên. Nguyên nhân là nhiều biến thể ransomware chủ động tìm cách xóa hoặc mã hóa các bản sao còn truy cập được qua mạng.

Vì sao doanh nghiệp cần sao lưu dữ liệu theo nhiều lớp?

Giảm phụ thuộc vào một thiết bị: Nhiều doanh nghiệp tập trung tài liệu trên một máy chủ, NAS hoặc tài khoản cloud. Sao lưu dữ liệu theo nhiều lớp giúp một lỗi đơn lẻ không làm gián đoạn toàn bộ hoạt động.

Khôi phục nhanh hơn: Bản sao tại chỗ phù hợp với tệp nhỏ và sự cố thông thường. Bản ngoài địa điểm chínhtrở thành phương án dự phòng khi văn phòng hoặc hạ tầng chính không thể sử dụng.

Tăng khả năng ứng phó ransomware: Nếu dữ liệu sản xuất bị mã hóa, một bản sao tách biệt có thể giúp doanh nghiệp phục hồi. Điều kiện là bản backup chưa bị mã độc truy cập và đã được kiểm thử.

Hỗ trợ quản lý dữ liệu doanh nghiệp: Quá trình phân loại dữ liệu, xác định thời gian lưu, phân quyền và ghi nhật ký giúp doanh nghiệp biết mình đang sở hữu dữ liệu gì và ai chịu trách nhiệm.

Phù hợp với nhiều mức ngân sách: Doanh nghiệp có thể bắt đầu bằng NAS kết hợp cloud, sau đó mở rộng sang lưu trữ bất biến, tự động hóa và diễn tập phục hồi.

Cách sao lưu dữ liệu theo quy tắc 3-2-1

*Sao lưu dữ liệu theo quy tắc 3-2-1 bao gồm 6 bước cơ bản.*

Bước 1: Kiểm kê dữ liệu cần bảo vệ

Lập danh sách dữ liệu khách hàng, hợp đồng, tài chính, nhân sự, mã nguồn, cấu hình hệ thống và dữ liệu ứng dụng. Xác định bộ phận sở hữu, mức độ quan trọng và tác động nếu dữ liệu không thể sử dụng.

Bước 2: Xác định RPO và RTO

RPO là lượng dữ liệu tối đa doanh nghiệp có thể chấp nhận mất theo thời gian. RTO là thời gian tối đa để khôi phục hoạt động. Dữ liệu giao dịch cần chu kỳ backup ngắn hơn hồ sơ lưu trữ dài hạn.

Bước 3: Chọn hai phương tiện lưu trữ khác nhau

Kết hợp phương tiện theo rủi ro và tốc độ phục hồi. Ví dụ, NAS phục vụ khôi phục nhanh tại chỗ, còn lưu trữ dữ liệu dưới dạng đối tượng giữ bản lưu ngoài địa điểm chính.

Bước 4: Tách tài khoản và quyền quản trị

Bản lưu ngoài địa điểm chính nên dùng tài khoản quản trị độc lập.Bật xác thực đa yếu tố, giới hạn tài khoản dịch vụ và dùng khoá lưu trữ hoặc kho lưu trữ không cho phép xoá trong thời gian quy định khi phù hợp.

Bước 5: Tự động hóa và theo dõi

Thiết lập lịch sao lưu dữ liệu, theo dõi dung lượng, lỗi tác vụ và tuổi của bản sao gần nhất. Cảnh báo phải được gửi tới đúng người chịu trách nhiệm.

Bước 6: Kiểm thử khôi phục

Thử phục hồi tệp, cơ sở dữ liệu và ứng dụng theo lịch. Ghi lại thời gian, lỗi và người thực hiện. Kết quả kiểm thử giúp điều chỉnh RPO, RTO và dung lượng dự phòng.

NIST khuyến nghị tổ chức phải lập kế hoạch, duy trì và kiểm thử backup dữ liệu. Mục tiêu không chỉ là tạo bản sao, mà bảo đảm dữ liệu thực sự sẵn sàng khi xảy ra sự cố.

Ví dụ cách sao lưu dữ liệu 3-2-1 cho doanh nghiệp

Nhóm dữ liệu	Bản đang sử dụng	Bản sao thứ hai	Bản lưu ngoài địa điểm chính
Tệp dùng chung	File server/NAS	Kho backup tại chỗ	Lưu trữ dữ liệu dưới dạng đối tượng trên cloud
Microsoft 365	Exchange/OneDrive/ SharePoint	Kho backup SaaS độc lập	Vùng lưu trữ khác tài khoản quản trị
Cơ sở dữ liệu	Máy chủ ứng dụng	Ảnh chụp trạng thái dữ liệu hoặc backup trên NAS	Bản mã hóa tại trung tâm dữ liệu khác
Cấu hình hệ thống	Thiết bị đang vận hành	Kho cấu hình nội bộ	Kho mã hóa tách khỏi mạng chính

Quy tắc 3-2-1 có đủ trước ransomware không?

Quy tắc 3-2-1 là nền tảng tốt, nhưng chưa đủ nếu doanh nghiệp chỉ tạo bản sao rồi để chúng luôn kết nối với mạng. Ransomware hiện đại có thể tìm cách xóa ảnh chụp trạng thái dữ liệu, mã hóa repository hoặc sử dụng tài khoản quản trị để vô hiệu hóa quá trình phục hồi.

NIST SP 800-209 cảnh báo rằng ransomware đã mở rộng mục tiêu sang NAS và thiết bị backup. Nếu hệ thống sản xuất và kho sao lưu dữ liệu dùng chung quyền truy cập, kẻ tấn công có thể ảnh hưởng cả hai.

Khi nào nên dùng quy tắc biến thể 3-2-1-1 hoặc 3-2-1-1-0?

Doanh nghiệp có dữ liệu quan trọng nên cân nhắc mở rộng mô hình. Quy tắc 3-2-1-1 bổ sung một bản ngoại tuyến (offline) hoặc bất biến. Mô hình 3-2-1-1-0 thêm yêu cầu kiểm thử để bảo đảm không có lỗi phục hồi.

Mô hình	Phần bổ sung	Điểm mạnh	Điểm cần lưu ý
3-2-1	Không bổ sung	Dễ triển khai	Chưa bắt buộc bất biến và kiểm thử
3-2-1-1	Một bản offline/immutable	Tăng khả năng chống ransomware	Cần quản lý quyền và thời gian lưu
3-2-1-1-0	Một bản bất biến và 0 lỗi phục hồi	Tăng độ tin cậy khi khôi phục	Chi phí và vận hành cao hơn

Mô hình 3-2-1-1-0 kết hợp bản sao bất biến hoặc bản sao được cách ly khỏi hệ thống với kiểm tra phục hồi định kỳ. Đây là hướng phù hợp khi doanh nghiệp cần thời gian khôi phục rõ ràng và không thể chấp nhận bản backup lỗi.

Những lỗi thường gặp khi sao lưu dữ liệu

*6 lỗi doanh nghiệp thường gặp khi sao lưu dữ liệu.*

Nhầm đồng bộ với sao lưu: Dịch vụ đồng bộ có thể sao chép cả thao tác xóa hoặc tệp bị mã hóa sang mọi thiết bị. Backup dữ liệu cần có phiên bản, thời gian lưu và khả năng phục hồi về trạng thái trước sự cố.

Ba bản cùng nằm trên một hạ tầng: Ba thư mục trên cùng server hoặc ba ảnh chụp trạng thái dữ liệu trên cùng hệ thống chưa tạo ra sự độc lập cần thiết.

Dùng chung tài khoản quản trị: Khi tài khoản bị chiếm, kẻ tấn công có thể tiếp cận cả dữ liệu chính và bản sao.

Không mã hóa bản backup: Thiết bị sao lưu bị mất hoặc kho lưu trữ bị truy cập trái phép có thể trở thành nguồn rò rỉ dữ liệu.

Không kiểm thử khôi phục: Tác vụ báo thành công không đồng nghĩa tệp, cơ sở dữ liệu và ứng dụng có thể phục hồi đầy đủ.

Không bảo vệ máy chủ backup: Máy chủ này cần được vá lỗi, phân quyền tối thiểu, bật xác thực nhiều yếu tố và giám sát như một tài sản quan trọng.

Không phân công người chịu trách nhiệm: Nếu không có người kiểm tra cảnh báo, phê duyệt chính sách và điều phối khôi phục, quy trình dễ bị bỏ quên.

Nếu bản sao đã hỏng hoặc thiết bị lưu trữ không thể truy cập, doanh nghiệp nên hạn chế thao tác ghi đè và tham khảo Top 5 cách cứu dữ liệu an toàn, hiệu quả trong mọi sự cố.

Sao lưu dữ liệu và rò rỉ dữ liệu: Hai bài toán khác nhau

Sao lưu dữ liệu giúp doanh nghiệp lấy lại thông tin khi dữ liệu bị xóa, hỏng hoặc mã hóa. Rò rỉ dữ liệu lại xảy ra khi thông tin bị truy cập, sao chép hoặc truyền ra ngoài trái phép. Doanh nghiệp có thể vẫn còn bản gốc và bản backup, nhưng dữ liệu nhạy cảm đã nằm trong tay người không có thẩm quyền.

Một cuộc tấn công ransomware hiện đại có thể diễn ra theo hai bước. Trước tiên, kẻ tấn công thu thập và gửi dữ liệu ra ngoài. Sau đó, chúng mã hóa hệ thống để gây áp lực. Trong tình huống này, backup dữ liệu hỗ trợ khôi phục hoạt động nhưng không thể thu hồi thông tin đã bị đánh cắp.

Vì vậy, quản lý dữ liệu doanh nghiệp cần bao gồm cả khả năng phục hồi và kiểm soát dữ liệu đi ra. Đây là điểm nối tự nhiên giữa chiến lược 3-2-1 với các lớp bảo mật máy tính hoặc thiết bị đầu cuối, danh tính, tường lửa, DLP và giám sát kết nối tới máy chủ điều khiển của hacker.

Xem thêm:

F-DDH BOX bổ sung lớp kiểm soát nào?

F-DDH BOX không thay thế sao lưu dữ liệu. Giải pháp tập trung vào một khoảng trống khác: giám sát các kết nối từ mạng nội bộ ra Internet và ngăn chặn máy trong mạng nội bộ liên lạc với máy chủ điều khiển C2. Danh sách các máy chủ này được cập nhật liên tục hàng ngày từ LAC Nhật Bản và các đơn vị uy tín tại Việt Nam.

*Sao lưu dữ liệu hỗ trợ phục hồi, F-DDH BOX bổ sung giám sát dữ liệu đầu ra.*

Điểm khác biệt của F-DDH BOX và sao lưu dữ liệu 3-2-1 được thể hiện ở bảng sau:

Lớp bảo vệ	Vai trò chính
Sao lưu dữ liệu 3-2-1	Tạo nguồn phục hồi sau xóa nhầm, lỗi thiết bị, mã hóa hoặc thảm họa.
F-DDH BOX	Giám sát lưu lượng đầu ra và chặn kết nối tới máy chủ độc hại C2 trong danh sách cảnh báo.

Khi sao lưu dữ liệu 3-2-1 phối hợp với F-DDH BOX, doanh nghiệp vừa có khả năng khôi phục, vừa giảm nguy cơ dữ liệu bị âm thầm gửi tới máy chủ độc hại.

Đã sao lưu dữ liệu nhưng chưa kiểm soát được kết nối bất thường từ mạng nội bộ ra Internet?

Đánh giá rủi ro rò rỉ dữ liệu miễn phí!

Tư vấn và dùng thử F-DDH BOX miễn phí!

Lộ trình triển khai 30 ngày cho doanh nghiệp

Tuần 1: Kiểm kê và phân loại dữ liệu. Xác định dữ liệu quan trọng, người sở hữu, RPO và RTO. Chọn ba nhóm dữ liệu cần ưu tiên triển khai.

Tuần 2: Thiết kế cách sao lưu dữ liệu. Chọn hai phương tiện, vị trí ngoài địa điểm gìchính, tài khoản quản trị và thời gian lưu. Xác định dữ liệu nào cần bản bất biến hoặc offline.

Tuần 3: Cấu hình tự động hóa. Thiết lập lịch backup dữ liệu, mã hóa, xác thực nhiều yếu tố, cảnh báo lỗi và báo cáo dung lượng. Tách quyền sao lưu khỏi tài khoản quản trị thông thường.

Tuần 4: Kiểm thử và diễn tập. Phục hồi một tệp, một cơ sở dữ liệu và một ứng dụng mẫu. Ghi lại thời gian, lỗi và cập nhật tài liệu ứng phó sự cố.

Sau 30 ngày, doanh nghiệp nên mở rộng theo phòng ban và mức độ nhạy cảm của dữ liệu. Mỗi quý cần rà soát quyền truy cập, kiểm tra bản lưu ngoài địa điểm chính và thử phục hồi. Song song, đội IT nên theo dõi lưu lượng đầu ra để phát hiện sớm dấu hiệu kết nối bất thường.

*Lộ trình triển khai sao lưu dữ liệu 30 ngày cho doanh nghiệp.*

Kết luận

Sao lưu dữ liệu 3-2-1 là quy tắc cần thiết cho doanh nghiệp. Ba bản dữ liệu, hai phương tiện và một bản ngoài địa điểm lưu trữ chính hỗ trợ phục hồi dữ liệu khi xảy ra sự cố xóa nhầm, lỗi thiết bị, thảm họa hoặc ransomware.

Quản lý dữ liệu doanh nghiệp cũng không nên dừng ở sao lưu dữ liệu. Doanh nghiệp nên kết hợp khả năng khôi phục với kiểm soát truy cập, bảo vệ máy tính hoặc thiết bị đầu cuối và giám sát lưu lượng đầu ra.

Trong cấu trúc đó, F-DDH BOX bổ sung khả năng giám sát lưu lượng đầu ra và có thể chặn kết nối tới các máy chủ C2 nằm trong nguồn cảnh báo, qua đó góp phần giảm nguy cơ dữ liệu bị truyền tới các đích đến độc hại đã được nhận diện. Nếu thiếu đi một trong hai, doanh nghiệp vẫn còn để ngỏ một khoảng trống bảo mật đáng kể.

Đăng ký tư vấn và dùng thử F-DDH BOX miễn phí 30 ngày để bổ sung lớp kiểm soát rò rỉ dữ liệu cho hệ thống hiện có.

Đăng ký ngay!

Câu hỏi thường gặp

Đây là cách duy trì ba bản dữ liệu trên hai loại phương tiện khác nhau, trong đó có một bản được lưu ngoài địa điểm chính.

Có. Cách hiểu phổ biến là một bản đang sử dụng và hai bản sao độc lập.

Không. RAID tăng khả năng chịu lỗi ổ đĩa nhưng không bảo vệ trước xóa nhầm, ransomware, lỗi hệ thống hoặc hỏng toàn bộ thiết bị.

Có thể nếu các bản nằm trên nền tảng hoặc tài khoản quản trị độc lập. Tuy nhiên, kết hợp lưu trữ tại chỗ với cloud thường giúp tách rủi ro rõ ràng hơn.

Mô hình giúp tăng khả năng phục hồi nhưng không tự ngăn ransomware xâm nhập hoặc đánh cắp dữ liệu. Doanh nghiệp vẫn cần bản bất biến, kiểm thử restore, EDR, phân quyền và giám sát mạng.

Mô hình 3-2-1-1-0 bổ sung một bản offline hoặc immutable và yêu cầu không có lỗi phục hồi sau kiểm thử.

Không. F-DDH BOX tập trung giám sát kết nối dữ liệu đầu ra và chặn đích C2 trong nguồn cảnh báo. Hai lớp giải quyết hai nhóm rủi ro khác nhau.

Tần suất phụ thuộc mức độ quan trọng của hệ thống. Doanh nghiệp nên kiểm thử tệp thường xuyên, ứng dụng theo quý và diễn tập toàn hệ thống theo chu kỳ quản trị rủi ro.