3-2-1-1-0 Backup Strategy คืออะไร? ยกระดับการปกป้องข้อมูลให้พร้อมรับ Ransomware

3 – มีข้อมูลทั้งหมดอย่างน้อย 3 ชุด

ประกอบด้วยข้อมูลต้นฉบับที่ใช้งานอยู่ 1 ชุด และข้อมูลสำรองอีกอย่างน้อย 2 ชุด เพื่อไม่ให้การกู้คืนขึ้นอยู่กับ Backup เพียงชุดเดียว

2 – จัดเก็บข้อมูลบนสื่อหรือระบบอย่างน้อย 2 ประเภท

การแยก Backup ไปยังระบบจัดเก็บที่แตกต่างกันช่วยลดความเสี่ยงจากความเสียหายหรือปัญหาที่เกิดขึ้นกับ Storage ประเภทใดประเภทหนึ่ง

ตัวอย่างเช่น ข้อมูลอาจอยู่บน Production Storage ขณะที่ Backup อีกชุดอยู่บน Backup Appliance, Object Storage หรือ Cloud Backup

1 – มี Backup อย่างน้อย 1 ชุดอยู่นอกสถานที่

Offsite Backup ช่วยลดความเสี่ยงในกรณีที่สำนักงานหรือ Data Center หลักได้รับผลกระทบจากเหตุการณ์ เช่น ไฟไหม้ น้ำท่วม ระบบไฟฟ้าขัดข้อง หรือความเสียหายของ Infrastructure

1 – มี Backup อย่างน้อย 1 ชุดเป็น Offline หรือ Immutable

Backup ชุดนี้ควรถูกแยกหรือป้องกันไม่ให้สามารถแก้ไขและลบได้ง่ายจากระบบหลัก เพื่อช่วยลดความเสี่ยงในกรณีที่ผู้โจมตีสามารถเข้าถึงระบบหรือบัญชีที่ใช้บริหาร Backup

0 – ตรวจสอบ Backup ให้พร้อมสำหรับการทำ Recovery

เลข 0 เน้นไปที่การตรวจสอบ Backup และกระบวนการ Recovery เพื่อให้ไม่มี Error ที่ไม่ได้รับการตรวจพบ และมีการทดสอบว่าข้อมูลที่สำรองไว้นั้นสามารถนำกลับมาใช้งานได้จริง

• 3-2-1 Backup Rule คืออะไร? ทำไมองค์กรไม่ควรมี Backup แค่ชุดเดียว

จาก 3-2-1 สู่ 3-2-1-1-0 ทำไมต้องเพิ่มการปกป้อง Backup?

กฎ 3-2-1 ยังคงเป็นพื้นฐานที่ดีในการวางระบบ Backup เพราะช่วยกระจายข้อมูลออกจากระบบและสถานที่เพียงจุดเดียว อย่างไรก็ตาม รูปแบบการโจมตีในปัจจุบันทำให้องค์กรต้องพิจารณาอีกประเด็นหนึ่ง คือ ถ้าผู้โจมตีสามารถเข้าถึงระบบ Backup ได้พร้อมกับ Production จะเกิดอะไรขึ้น?

ตัวอย่างเช่น หาก Production Server และ Backup Repository เชื่อมต่ออยู่ใน Network เดียวกัน และใช้บัญชีที่มีสิทธิ์เข้าถึงร่วมกัน เมื่อบัญชีดังกล่าวถูกโจมตี ผู้ไม่หวังดีอาจสามารถเข้าถึงทั้งข้อมูลต้นฉบับและข้อมูลสำรองได้

ในสถานการณ์เช่นนี้ แม้องค์กรจะมี Backup หลายชุด แต่หาก Backup ทุกชุดสามารถถูกแก้ไขหรือลบจากระบบเดียวกันได้ ความสามารถในการ Recovery ก็อาจได้รับผลกระทบ นี่จึงเป็นเหตุผลที่แนวคิด 3-2-1-1-0 เพิ่ม Offline หรือ Immutable Backup เข้ามา

Offline Backup และ Immutable Backup ต่างกันอย่างไร?

Offline Backup คือ Backup ที่ถูกแยกออกจากระบบหรือ Network ในช่วงเวลาที่ไม่ได้ใช้งาน ทำให้ระบบหลักไม่สามารถเข้าถึง Backup ชุดนั้นได้ตลอดเวลา

ส่วน Immutable Backup คือ Backup ที่ถูกกำหนดให้ไม่สามารถแก้ไขหรือลบข้อมูลได้ภายในระยะเวลาที่กำหนด แม้ผู้ใช้งานหรือบัญชีบางประเภทจะสามารถเข้าถึง Storage ได้ก็ตาม

องค์กรสามารถเลือกใช้วิธีใดวิธีหนึ่ง หรือใช้ร่วมกัน ขึ้นอยู่กับ Infrastructure ความสำคัญของข้อมูล ระยะเวลาที่ต้องการเก็บข้อมูล และกระบวนการ Recovery ขององค์กร

สิ่งสำคัญคือ Backup อย่างน้อยหนึ่งชุดควรมีการป้องกันที่ช่วยลดโอกาสที่เหตุการณ์เดียวจะทำลายทั้ง Production และ Backup พร้อมกัน

Immutable Backup ช่วยรับมือ Ransomware ได้อย่างไร?

หนึ่งในความเสี่ยงที่องค์กรควรคำนึงถึงคือ Ransomware ที่พยายามค้นหา Backup หลังจากสามารถเข้าถึงระบบได้ หาก Backup สามารถถูกลบหรือแก้ไขผ่านบัญชีผู้ดูแลระบบเดียวกับ Infrastructure อื่น ผู้โจมตีที่ได้สิทธิ์ดังกล่าวอาจพยายามลบ Backup ก่อนเข้ารหัสข้อมูล Production Immutable Backup จะช่วยลดความเสี่ยงนี้ด้วยการกำหนดช่วงเวลาที่ Backup ไม่สามารถถูกแก้ไขหรือลบได้

ตัวอย่างเช่น หากองค์กรกำหนด Retention ให้ Backup ถูกป้องกันไว้ตามระยะเวลาที่เหมาะสม แม้ข้อมูล Production จะได้รับผลกระทบ ก็ยังมี Recovery Point ที่สามารถนำมาใช้ในการกู้คืนระบบได้

อย่างไรก็ตาม Immutable Backup ควรเป็นส่วนหนึ่งของมาตรการด้าน Security, Backup และ Disaster Recovery แบบโดยรวม ไม่ใช่แค่เพื่อป้องกัน Ransomware

เลข 0 สำคัญอย่างไร?

หนึ่งในข้อผิดพลาดที่พบได้ในการดูแลระบบ Backup คือการตรวจสอบเพียงว่า Backup Job แสดงสถานะ Successful

แต่ในสถานการณ์จริง อาจเกิดปัญหาอื่นได้ เช่น Backup File ไม่สมบูรณ์ ฐานข้อมูลบางส่วนไม่ได้ถูกสำรอง Configuration ที่จำเป็นหายไป หรือระบบสามารถ Restore ไฟล์กลับมาได้แต่ Application ไม่สามารถทำงานต่อได้ ดังนั้นจุดประสงค์ของเลข 0 ควรรวมถึงการตรวจสอบให้Backup พร้อมสำหรับการ Recovery

องค์กรควรมีการตรวจสอบสถานะ Backup อย่างสม่ำเสมอ รวมถึงทดลอง Restore ทั้งระดับไฟล์ ฐานข้อมูล หรือระบบตามความสำคัญของ Workload

สำหรับระบบที่มีความสำคัญต่อธุรกิจ ควรมีการทดสอบ Recovery ตามแผนที่กำหนด เพื่อให้ทราบว่าทีมสามารถนำระบบกลับมาใช้งานได้ภายในระยะเวลาที่ธุรกิจต้องการจริง

ตัวอย่างการวางระบบตามหลัก 3-2-1-1-0

สมมติว่าองค์กรมี Application และฐานข้อมูลสำคัญทำงานอยู่บน Server หรือ Virtual Machine ภายใน Data Center การออกแบบระบบ Backup ตามหลัก 3-2-1-1-0 สามารถวางโครงสร้างได้ดังนี้

3 – มีข้อมูลอย่างน้อย 3 ชุด

ประกอบด้วยข้อมูลที่ใช้งานจริง หรือ Production Data 1 ชุด และข้อมูลสำรอง Backup อีกอย่างน้อย 2 ชุด เพื่อไม่ให้องค์กรต้องพึ่งพาข้อมูลเพียงชุดเดียวเมื่อเกิดเหตุขัดข้อง

2 – จัดเก็บบน Storage หรือ Media อย่างน้อย 2 ประเภท

Backup ไม่ควรถูกเก็บไว้บนระบบจัดเก็บข้อมูลประเภทเดียวกันทั้งหมด ตัวอย่างเช่น Production อยู่บน Primary Storage ขณะที่ข้อมูลสำรองอีกชุดอาจจัดเก็บบน Backup Storage, Object Storage, Tape หรือ Cloud Storage เพื่อช่วยลดความเสี่ยงจากความเสียหายที่เกิดกับ Storage ประเภทใดประเภทหนึ่ง

1 – มี Backup อย่างน้อย 1 ชุดอยู่นอกสถานที่ (Off-site)

ข้อมูลสำรองอีกชุดควรถูกส่งไปยังสถานที่แยกจากระบบหลัก เช่น Cloud Backup หรือ Secondary Data Center เพื่อให้ยังสามารถกู้คืนข้อมูลได้ในกรณีที่ Data Center หลักได้รับผลกระทบจากไฟไหม้ น้ำท่วม ระบบไฟฟ้าขัดข้อง หรือเหตุการณ์อื่นที่กระทบทั้ง Site

1 – มี Backup อย่างน้อย 1 ชุดที่เป็น Offline, Air-gapped หรือ Immutable

Backup ชุดนี้ต้องถูกออกแบบให้ไม่สามารถถูกแก้ไขหรือลบได้ง่ายจากระบบ Production เช่น การใช้ Immutable Backup, Object Lock, Air-gap หรือ Offline Media เพื่อช่วยป้องกันกรณีที่ผู้โจมตีหรือ Ransomware สามารถเข้าถึงระบบ Backup ได้

0 – Backup ต้องไม่มีข้อผิดพลาดที่ยังไม่ได้ตรวจพบ

การมีไฟล์ Backup เพียงอย่างเดียวยังไม่เพียงพอ องค์กรควรมี Monitoring, Backup Verification และ Restore Testingอย่างสม่ำเสมอ เพื่อยืนยันว่า Backup สำเร็จ ไม่มี Error และข้อมูลสามารถนำกลับมาใช้ในการ Recovery ได้จริงเมื่อเกิดเหตุ

เมื่อองค์ประกอบทั้ง 3-2-1-1-0 ทำงานร่วมกัน องค์กรจะไม่ได้มีเพียงข้อมูลสำรองหลายชุดเท่านั้น แต่ยังช่วยแยกความเสี่ยงทั้งในด้าน Storage, Location และสิทธิ์ในการเข้าถึงข้อมูล รวมถึงเพิ่มความมั่นใจว่า Backup ที่มีอยู่สามารถนำมาใช้กู้คืนระบบได้จริง โดยเฉพาะเมื่อเผชิญกับ Ransomware หรือเหตุการณ์ที่กระทบต่อระบบหลักในวงกว้าง

3-2-1 กับ 3-2-1-1-0 ต่างกันอย่างไร?

กฎ 3-2-1 เน้นการกระจายสำเนาข้อมูล เพื่อไม่ให้ข้อมูลทั้งหมดอยู่บนระบบหรือสถานที่เดียวกัน

ขณะที่ 3-2-1-1-0 เพิ่มแนวคิดด้าน Cyber Resilience เข้ามา โดยตั้งคำถามเพิ่มเติมว่า

• Backup สามารถถูกลบหรือเข้ารหัสพร้อมกับ Production ได้หรือไม่?
• และถ้าเกิดเหตุจริง เรามั่นใจหรือไม่ว่า Backup ที่มีอยู่สามารถ Restore กลับมาใช้งานได้?

ดังนั้นองค์กรที่มีระบบสำคัญ มีข้อมูลที่ต้องใช้งานต่อเนื่อง หรือมีความเสี่ยงจาก Cyberattack ควรพิจารณา 3-2-1-1-0 เป็นแนวทางในการยกระดับจาก Backup Strategy แบบพื้นฐาน

ก่อนใช้ 3-2-1-1-0 องค์กรควรตรวจสอบอะไร?

การนำหลัก 3-2-1-1-0 ไปใช้งานควรเริ่มจากการประเมินระบบ Backup ปัจจุบัน ตรวจสอบว่าข้อมูลสำคัญมี Backup มากกว่าหนึ่งชุดหรือไม่ Backup ทุกชุดอยู่ภายใต้ระบบหรือบัญชีเดียวกันหรือไม่ มี Backup ที่แยกออกจากสถานที่หลักหรือไม่ มีชุดใดที่เป็น Offline หรือ Immutable หรือไม่ และล่าสุดองค์กรทดลอง Restore ข้อมูลสำเร็จเมื่อใด

หากคำตอบของคำถามเหล่านี้ยังไม่ชัดเจน จุดดังกล่าวอาจเป็นช่องว่างที่ควรนำไปพิจารณาในการปรับปรุง Backup Strategy

องค์กรแบบไหนควรให้ความสำคัญกับ 3-2-1-1-0 เป็นพิเศษ?

แม้หลัก 3-2-1-1-0 จะสามารถนำมาประยุกต์ใช้ได้กับองค์กรทั่วไป แต่บางองค์กรควรให้ความสำคัญกับแนวทางนี้เป็นพิเศษ โดยเฉพาะองค์กรที่การสูญหายของข้อมูลหรือการหยุดให้บริการอาจส่งผลกระทบต่อธุรกิจในวงกว้าง

ตัวอย่างเช่น

• องค์กรที่มีระบบสำคัญและไม่สามารถหยุดให้บริการเป็นเวลานานได้ เช่น Financial Services, E-commerce, Online Services หรือธุรกิจที่ให้บริการลูกค้าตลอดเวลา เพราะหากระบบหลักและ Backup ได้รับผลกระทบพร้อมกัน อาจทำให้ไม่สามารถกลับมาให้บริการได้ตาม RTO ที่ธุรกิจกำหนด
• โรงงานและองค์กรที่มีระบบ OT หรือระบบ Production ซึ่งการหยุดทำงานของระบบอาจไม่ได้กระทบเฉพาะข้อมูล แต่ยังส่งผลต่อสายการผลิต รายได้ และการดำเนินงานของธุรกิจ การมี Backup ที่แยกจากระบบหลักและผ่านการทดสอบ Recovery จึงมีความสำคัญอย่างมาก
• โรงพยาบาลและธุรกิจ Healthcare ที่ต้องพึ่งพาข้อมูลผู้ป่วยและระบบสารสนเทศในการให้บริการ หากข้อมูลหรือระบบสำคัญไม่สามารถใช้งานได้ ผลกระทบอาจเกิดขึ้นกับทั้งการดำเนินงานและความต่อเนื่องในการให้บริการ
• องค์กรที่จัดเก็บข้อมูลสำคัญหรือข้อมูลจำนวนมากของลูกค้า เช่น ข้อมูลส่วนบุคคล ข้อมูลทางการเงิน เอกสารทางธุรกิจ หรือฐานข้อมูลของลูกค้า เพราะการสูญหายของข้อมูลอาจนำไปสู่ทั้งผลกระทบด้านการดำเนินงาน ชื่อเสียง และข้อกำหนดด้านการดูแลข้อมูล
• องค์กรที่เคยมีหรือมีความเสี่ยงสูงต่อ Ransomware และ Cyberattack โดยเฉพาะองค์กรที่ Production และ Backup ยังอยู่ภายใต้ Network, Account หรือ Administrative Domain เดียวกัน เพราะหากผู้โจมตีเข้าถึงสิทธิ์ระดับสูงได้ Backup อาจกลายเป็นอีกหนึ่งเป้าหมายของการโจมตี

อย่างไรก็ตาม ประเด็นสำคัญควรพิจารณาว่า หาก Production และ Backup ไม่สามารถใช้งานได้พร้อมกัน ธุรกิจสามารถหยุดได้นานแค่ไหน และผลกระทบที่ตามมาสูงเพียงใด

หากคำตอบคือระบบต้องกลับมาให้บริการภายในเวลาที่จำกัด ข้อมูลไม่สามารถสร้างขึ้นใหม่ได้ง่าย หรือ Downtime ส่งผลต่อรายได้ ลูกค้า หรือการดำเนินงานโดยตรง การยกระดับจาก Backup แบบทั่วไปไปสู่แนวทาง 3-2-1-1-0 ก็ควรเป็นหนึ่งในเรื่องที่องค์กรนำมาพิจารณาในการวาง Business Continuity และ Cyber Resilience

สรุปสาระสำคัญ

3-2-1-1-0 Backup Strategy เป็นการต่อยอดจากกฎ 3-2-1 Backup Rule เพื่อให้องค์กรไม่ได้เพียงมีสำเนาข้อมูลหลายชุด แต่ยังเพิ่มการป้องกัน Backup จากการถูกแก้ไขหรือลบ และให้ความสำคัญกับการตรวจสอบว่าสามารถกู้คืนข้อมูลกลับมาใช้งานได้จริง

หลักการสำคัญคือมีข้อมูล 3 ชุด จัดเก็บบนระบบอย่างน้อย 2 ประเภท มี 1 ชุดอยู่นอกสถานที่ มีอีก 1 ชุดเป็น Offline หรือ Immutable และมีการตรวจสอบ Backup และ Recovery เพื่อลด Error ที่อาจทำให้การกู้คืนล้มเหลว

ยกระดับ Backup Strategy ให้พร้อมสำหรับการ Recovery ด้วยโซลูชันจาก BMSP

การออกแบบระบบตามหลัก 3-2-1-1-0 ต้องพิจารณาหลายองค์ประกอบร่วมกัน ทั้งประเภทของข้อมูล Backup Architecture, Retention, Immutable Storage, Offsite Backup รวมถึง RPO และ RTO ของแต่ละระบบ

BMSP มีโซลูชันด้าน Backup และ Disaster Recovery สำหรับองค์กร ช่วยประเมินระบบ Backup ปัจจุบัน วางแนวทางการสำรองข้อมูล และออกแบบกระบวนการ Recovery ให้เหมาะสมกับ Infrastructure และความต้องการของธุรกิจ

หากองค์กรต้องการตรวจสอบว่า Backup ที่มีอยู่สามารถรับมือกับเหตุการณ์อย่าง Ransomware และสามารถกู้คืนข้อมูลสำคัญได้ตามเป้าหมายหรือไม่ ติดต่อ BMSP เพื่อประเมินความพร้อมและวางแนวทาง Backup และ Disaster Recovery ให้เหมาะสมกับองค์กร