Backup 3-2-1-1-0: chống ransomware cho doanh nghiệp vừa và nhỏ

Nhiều doanh nghiệp tin rằng mình "đã có backup" cho đến ngày cần khôi phục. Lúc đó họ mới phát hiện ổ NAS chứa bản sao cũng bị mã hóa, job backup đã báo lỗi từ ba tuần trước mà không ai đọc, hoặc khôi phục toàn bộ máy chủ mất hai ngày thay vì vài giờ như dự tính.

Ransomware đã thay đổi bài toán backup. Bài viết này giải thích quy tắc 3-2-1-1-0, vì sao nó phù hợp với bối cảnh hiện nay, và cách doanh nghiệp vừa và nhỏ triển khai từng bước.

Ransomware thay đổi bài toán backup như thế nào

Trước đây, backup chủ yếu để phòng hỏng ổ cứng hay xóa nhầm. Ngày nay, các nhóm tấn công ransomware thường xâm nhập, nằm im một thời gian để dò tìm hệ thống, xóa hoặc mã hóa bản backup trước, rồi mới mã hóa dữ liệu chính. Những điểm yếu hay bị khai thác:

• Ổ backup được map sẵn như một ổ đĩa mạng trên máy chủ

• Máy chủ backup tham gia cùng domain, dùng chung tài khoản quản trị

• Bản sao duy nhất nằm trong cùng mạng nội bộ với dữ liệu gốc

• Phần mềm đồng bộ đám mây (sync) đồng bộ luôn cả các file đã bị mã hóa

Những năm gần đây, báo chí trong nước đã đưa tin nhiều doanh nghiệp tại Việt Nam, kể cả doanh nghiệp niêm yết, phải tạm dừng dịch vụ nhiều ngày vì ransomware. Bên cạnh đó, Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15, có hiệu lực từ 01/01/2026) đặt ra yêu cầu bảo vệ dữ liệu cá nhân trong quá trình xử lý. Một chiến lược backup đáng tin cậy vì thế không chỉ là vấn đề kỹ thuật mà còn liên quan đến nghĩa vụ của doanh nghiệp.

Quy tắc 3-2-1-1-0 là gì

Quy tắc 3-2-1 quen thuộc được mở rộng thêm hai con số:

Bản sao bất biến (immutable) và offline

Đây là chữ "1" thứ hai, và là lớp bảo vệ quan trọng nhất trước ransomware.

Bản sao bất biến là bản sao mà trong một khoảng thời gian định trước (retention lock), không ai có thể sửa hay xóa, kể cả tài khoản quản trị. Các cách phổ biến:

• Object storage tương thích S3 có hỗ trợ Object Lock. Ở chế độ compliance, ngay cả tài khoản root cũng không xóa được bản sao trước khi hết thời hạn khóa.

• Kho backup trên Linux được gia cố (hardened repository), chỉ cho phép ghi mới, không cho phép xóa từ phía máy chủ backup.

Bản sao offline (air-gapped) là bản sao không kết nối mạng: ổ cứng rời được luân phiên và cất ở nơi khác, hoặc băng từ. Cách này rẻ nhưng phụ thuộc vào kỷ luật vận hành: ai thay ổ, bao lâu một lần, cất ở đâu.

Vài nguyên tắc đi kèm:

• Tài khoản quản trị backup tách biệt khỏi domain, bật MFA

• Thời hạn khóa đủ dài để kịp phát hiện xâm nhập, không chỉ vài ngày

• Mã hóa bản backup và cất khóa giải mã ở nơi an toàn, tách khỏi hệ thống chính

RPO và RTO: hai con số cần thống nhất trước

• RPO (Recovery Point Objective): doanh nghiệp chấp nhận mất tối đa bao nhiêu dữ liệu, tính bằng thời gian. RPO 24 giờ nghĩa là backup mỗi đêm, có thể mất dữ liệu của cả ngày làm việc.

• RTO (Recovery Time Objective): hệ thống phải chạy lại trong tối đa bao lâu sau sự cố.

RPO quyết định tần suất backup; RTO quyết định phương pháp khôi phục và hạ tầng cần có. Ví dụ minh họa cách đặt mục tiêu (cần điều chỉnh theo từng doanh nghiệp):

RPO và RTO càng ngắn thì chi phí càng cao. Hãy thống nhất các con số này với ban giám đốc, không để IT tự quyết.

Số 0: kiểm tra khôi phục

"Backup thành công" trên báo cáo chưa có nghĩa là khôi phục được. Một kế hoạch kiểm tra hợp lý cho doanh nghiệp vừa và nhỏ:

• Hằng ngày: đọc báo cáo job backup, xử lý ngay job lỗi hoặc cảnh báo.

• Hằng tháng: khôi phục ngẫu nhiên một số file, một hộp thư, một bản sao cơ sở dữ liệu ra môi trường thử nghiệm.

• Hằng quý: khôi phục trọn một máy chủ quan trọng (ví dụ ERP) vào môi trường cô lập, đo thời gian thực tế so với RTO.

• Hằng năm: diễn tập kịch bản ransomware: giả định toàn bộ mạng nội bộ không dùng được, chỉ còn bản sao bất biến.

Mỗi lần kiểm tra cần ghi biên bản: khôi phục gì, mất bao lâu, có lỗi gì, ai xác nhận dữ liệu đúng.

Những sai lầm thường gặp

• Xem đồng bộ (sync) là backup. Đồng bộ sao chép cả thay đổi xấu, bao gồm file bị mã hóa hoặc bị xóa.

• Quên dữ liệu trên dịch vụ SaaS. Nhà cung cấp email, lưu trữ đám mây chịu trách nhiệm về hạ tầng, còn việc khôi phục dữ liệu bị xóa hay bị mã hóa thường thuộc trách nhiệm của khách hàng và bị giới hạn theo thời gian lưu.

• Chỉ backup dữ liệu, không backup cấu hình. Cấu hình firewall, switch, license, sơ đồ mạng và tài liệu thứ tự khôi phục cũng cần được lưu giữ.

• Không ai chịu trách nhiệm đọc cảnh báo. Backup lỗi âm thầm nhiều tuần là chuyện phổ biến.

Lộ trình triển khai cho doanh nghiệp vừa và nhỏ

1. Kiểm kê: liệt kê hệ thống, dữ liệu, nơi lưu trữ, cách backup hiện tại.

2. Đặt mục tiêu: thống nhất RPO, RTO cho từng nhóm hệ thống.

3. Bổ sung lớp bảo vệ: thêm bản sao ngoài site và bản sao bất biến hoặc offline; tách tài khoản quản trị backup.

4. Vận hành và kiểm tra: giám sát job hằng ngày, lịch kiểm tra khôi phục, runbook khôi phục.

Checklist backup 3-2-1-1-0

• [ ] Có ít nhất 3 bản sao cho mỗi hệ thống quan trọng

• [ ] Các bản sao nằm trên ít nhất 2 loại phương tiện lưu trữ

• [ ] Có ít nhất 1 bản sao ở ngoài văn phòng

• [ ] Có ít nhất 1 bản sao bất biến (object lock, hardened repository) hoặc offline

• [ ] Tài khoản quản trị backup tách khỏi domain và có bật MFA

• [ ] Ổ backup không được map sẵn trên máy chủ hay máy trạm

• [ ] RPO, RTO đã được ban giám đốc phê duyệt

• [ ] Có người đọc báo cáo backup mỗi ngày

• [ ] Có lịch và biên bản kiểm tra khôi phục hằng tháng, hằng quý

• [ ] Có runbook khôi phục và đã diễn tập ít nhất một lần

Bạn có chắc mình khôi phục được?

Cách nhanh nhất để biết chiến lược backup có hiệu quả hay không là thử khôi phục một hệ thống quan trọng và đo thời gian. Nếu bạn muốn rà soát lại hệ thống backup hiện tại, xác định khoảng trống so với quy tắc 3-2-1-1-0 và lên kế hoạch bổ sung phù hợp với ngân sách, hãy liên hệ SYSMAN để trao đổi.