A regra 3-2-1 é conhecida há décadas no mundo de backup: manter 3 cópias dos dados, em 2 mídias diferentes, com 1 cópia fora do site. Ela continua válida, mas o cenário de ransomware moderno expôs uma lacuna: nada nessa regra original garante que as cópias resistam a uma exclusão deliberada ou a uma criptografia maliciosa. Por isso o Veeam e boa parte da indústria passaram a recomendar a versão estendida: 3-2-1-1-0.
O que cada número representa
| Número | Significado | Como aplicar no Veeam |
|---|---|---|
| 3 | Três cópias dos dados (a original + 2 backups) | Backup Job principal + Backup Copy Job |
| 2 | Duas mídias/tecnologias de armazenamento diferentes | Ex.: repositório em disco local + repositório em nuvem/objeto |
| 1 | Uma cópia fora do site (off-site) | Backup Copy Job replicando para outro datacenter, nuvem ou provedor de object storage |
| 1 | Uma cópia imutável ou offline (air-gapped) | Hardened Repository, storage com object lock (S3 Object Lock) ou mídia removível desconectada |
| 0 | Zero erros — a cópia precisa ser restaurável, comprovadamente | SureBackup jobs e testes de restauração agendados |
Mapeando a regra para jobs reais do Veeam
Na prática, uma configuração típica que atende à 3-2-1-1-0 combina três tipos de job dentro do Veeam Backup & Replication:
- Backup Job: gera a cópia primária no repositório local (cópia 1), geralmente em disco rápido, para restaurações do dia a dia.
- Backup Copy Job: replica os pontos de restauração para um segundo repositório, de tecnologia diferente — por exemplo, um object storage compatível com S3 (cópia 2, mídia diferente).
- Cópia off-site: esse segundo repositório fica fisicamente em outro local (nuvem pública, datacenter parceiro ou outra filial), cumprindo a exigência de 1 cópia fora do site.
- Cópia imutável: o repositório de destino — seja um Hardened Repository Linux local ou um bucket com S3 Object Lock na nuvem — mantém os dados imutáveis por um período definido, cumprindo o "1" adicional da regra estendida.
Object Lock e imutabilidade não são a mesma coisa que "backup na nuvem". É perfeitamente possível ter uma cópia off-site que ainda assim pode ser apagada por um invasor com as credenciais certas. A cópia imutável/air-gapped é o que efetivamente bloqueia essa exclusão.
O "0" que costuma ser esquecido
Muitas empresas cumprem os quatro primeiros números da regra e ignoram o último: zero erros comprovados. Um backup que nunca foi testado é uma suposição, não uma garantia. O Veeam endereça isso com SureBackup, que sobe automaticamente as máquinas virtuais de um ponto de restauração em um ambiente isolado (sandbox de rede) e valida que o sistema operacional e as aplicações realmente inicializam — sem necessidade de fazer isso manualmente.
Um processo recomendado é agendar jobs de SureBackup periódicos para as cargas de trabalho críticas, com relatório automático de sucesso ou falha, em vez de descobrir que um backup está corrompido apenas no momento em que ele é necessário.
Resumo prático
A regra 3-2-1-1-0 não exige uma arquitetura complexa — exige disciplina na configuração dos jobs e, principalmente, a inclusão da camada de imutabilidade e dos testes de restauração, que são justamente os dois pontos mais frequentemente deixados de lado em ambientes que "só fazem backup" sem validar a capacidade real de recuperação.
Sua estratégia de backup cobre os 5 pontos?
Avaliamos sua configuração atual do Veeam e identificamos as lacunas em relação à 3-2-1-1-0.