Quy tắc sao lưu 3-2-1 nói rằng bạn nên có ít nhất 3 bản dữ liệu (bản đang dùng và 2 bản sao lưu), lưu trên ít nhất 2 loại phương tiện khác nhau, và ít nhất 1 bản đặt ở nơi khác về mặt vật lý. Mỗi con số chặn một nhóm rủi ro: ba bản chống hỏng hóc ngẫu nhiên, hai phương tiện chống lỗi hàng loạt cùng một công nghệ, một bản ở xa chống cháy, ngập, trộm cắp tại chỗ.
Quy tắc này thường được gắn với nhiếp ảnh gia Peter Krogh, người viết sách về quản lý tài sản số cho giới nhiếp ảnh, và đã trở thành điểm khởi đầu chung trong ngành lưu trữ. Từ khi mã độc tống tiền phổ biến, giới quản trị hệ thống bổ sung thành 3-2-1-1-0: thêm một bản ngoại tuyến hoặc không thể sửa xoá, và không có lỗi khi kiểm tra khôi phục.
Bài này giải thích logic xác suất phía sau quy tắc, phân biệt sao lưu với đồng bộ, rồi đưa ra cách thiết kế một kế hoạch cụ thể cho gia đình và cho doanh nghiệp nhỏ ở Việt Nam, kèm danh mục kiểm tra hằng quý.
Vì sao lại là ba bản, hai phương tiện, một nơi khác
Hãy nghĩ theo xác suất. Giả sử một ổ cứng có xác suất hỏng trong một năm là vài phần trăm (con số thực tế tuỳ dòng ổ và tuổi). Nếu bạn có hai ổ độc lập, xác suất cả hai cùng hỏng trong khoảng thời gian trước khi bạn kịp thay ổ là rất nhỏ — bằng tích hai xác suất nhỏ. Ba bản đẩy con số đó xuống mức không đáng kể với điều kiện các lần hỏng thật sự độc lập. Toàn bộ phần còn lại của quy tắc là để bảo vệ giả định độc lập ấy.
Giả định độc lập bị phá theo những cách rất đời thường. Hai ổ cùng lô sản xuất, cùng tuổi, chạy cùng tải thường hỏng gần nhau; trong mảng RAID, quá trình dựng lại sau khi một ổ hỏng tạo tải nặng lên các ổ còn lại đúng lúc chúng yếu nhất. Đó là lý do cần hai loại phương tiện: ổ cứng và dịch vụ đám mây, hoặc ổ cứng và băng từ, có cơ chế hỏng khác nhau. Một đợt sét đánh, nước tràn hay kẻ trộm thì phá mọi thứ trong cùng căn phòng bất kể bao nhiêu bản — đó là lý do cần một bản ở nơi khác.
Nhóm rủi ro thứ tư không đến từ phần cứng mà từ con người và phần mềm: xoá nhầm, ghi đè, mã độc mã hoá dữ liệu. Những rủi ro này lan qua mọi bản được kết nối thường trực. Quy tắc 3-2-1 nguyên bản không chặn được nhóm này nếu cả ba bản đều đang cắm vào cùng một hệ thống; phần bổ sung “1 bản ngoại tuyến” sinh ra chính để xử lý nó.
Sao lưu không phải đồng bộ, RAID cũng không phải sao lưu
Nhầm lẫn phổ biến nhất là coi thư mục đồng bộ đám mây hay ổ RAID là đã sao lưu. Bảng dưới phân biệt theo câu hỏi then chốt: nếu tệp bị xoá nhầm hoặc bị mã hoá lúc 9 giờ sáng, đến chiều bạn có lấy lại được bản lúc 8 giờ không?
| Cơ chế | Mục đích | Xoá nhầm, mã độc lan sang không? | Có phải sao lưu? |
|---|---|---|---|
| RAID 1, 5, 6 | Hệ thống chạy tiếp khi một ổ hỏng | Có, lan ngay lập tức | Không |
| Đồng bộ đám mây | Cùng tệp trên nhiều thiết bị | Có, đồng bộ cả việc xoá và mã hoá | Không, trừ khi có lịch sử phiên bản đủ dài |
| Sao chép thủ công ra ổ ngoài | Có bản thứ hai | Không nếu ổ đã rút ra | Có, nhưng phụ thuộc kỷ luật người làm |
| Phần mềm sao lưu có phiên bản | Khôi phục về một thời điểm | Không, nếu bản cũ được giữ | Có |
| Bản không thể sửa xoá hoặc ngoại tuyến | Chống mã độc và người có quyền quản trị bị chiếm | Không | Có, lớp phòng thủ cuối |
Một bản sao lưu đúng nghĩa phải có hai đặc tính: giữ được nhiều thời điểm (phiên bản) và tách biệt khỏi hệ thống gốc đủ để sự cố ở hệ thống gốc không lan sang. Đồng bộ có lợi cho làm việc, RAID có lợi cho thời gian hoạt động liên tục; cả hai đều tốt, nhưng không thay được sao lưu.
Biến thể 3-2-1-1-0 và lý do ra đời
Mã độc tống tiền hiện đại không chỉ mã hoá máy tính mà còn chủ động tìm và xoá bản sao lưu trước khi kích hoạt, thường sau khi chiếm được tài khoản quản trị. Phiên bản mở rộng thêm hai chữ số để đối phó:
- 3 bản dữ liệu, như quy tắc gốc.
- 2 loại phương tiện khác nhau.
- 1 bản ở nơi khác về vật lý hoặc trên hạ tầng của nhà cung cấp khác.
- 1 bản ngoại tuyến (rút cáp, cất tủ), hoặc bất biến — lưu trên hệ thống cho phép khoá dữ liệu không ai sửa xoá được trong một khoảng thời gian định trước, kể cả tài khoản quản trị.
- 0 lỗi khi kiểm tra: bản sao lưu phải được kiểm định kỳ bằng cách khôi phục thử và so khớp, không chỉ nhìn báo cáo “sao lưu thành công”.
Chữ số 0 thường bị xem nhẹ nhất mà lại quan trọng nhất. Giới quản trị hệ thống có câu: chưa từng khôi phục thử thì chưa thể nói là có sao lưu. Lỗi hay gặp trong thực tế gồm sao lưu chạy đều nhưng bỏ sót thư mục mới tạo, bản sao lưu bị mã hoá bằng mật khẩu không ai còn nhớ, hoặc phần mềm khôi phục không chạy được trên máy mới. Những lỗi này chỉ lộ ra khi khôi phục thật, và lúc đó thường đã muộn.
Lập kế hoạch cho doanh nghiệp nhỏ: năm quyết định
Một văn phòng mười đến ba mươi người ở Việt Nam thường có dữ liệu kế toán, hợp đồng, hồ sơ khách hàng, thư điện tử và tệp thiết kế. Kế hoạch sao lưu nên trả lời lần lượt năm câu hỏi:
- Dữ liệu nào quan trọng và nằm ở đâu? Liệt kê theo hệ thống: phần mềm kế toán, ổ chung, máy cá nhân của từng người, hộp thư, dịch vụ đám mây. Dữ liệu nằm trên máy cá nhân mà không ai biết là lỗ hổng phổ biến nhất.
- Chấp nhận mất tối đa bao nhiêu (RPO)? Recovery Point Objective là khoảng dữ liệu tối đa có thể mất, đo bằng thời gian. Kế toán nhập liệu cả ngày thì mất một ngày là đau; ổ lưu ảnh sản phẩm có thể chấp nhận một tuần. RPO quyết định tần suất sao lưu.
- Cần chạy lại sau bao lâu (RTO)? Recovery Time Objective là thời gian tối đa hệ thống được phép ngừng. Khôi phục vài trăm gigabyte từ đám mây qua đường truyền văn phòng có thể mất cả ngày; nếu RTO là hai giờ, cần một bản tại chỗ.
- Ai chịu trách nhiệm? Ghi rõ người chạy, người kiểm tra và người dự phòng khi người chính nghỉ. Kế hoạch không có tên người là kế hoạch trên giấy.
- Kiểm tra thế nào? Mỗi quý chọn ngẫu nhiên vài tệp và một hệ thống, khôi phục ra máy khác, mở thử, ghi kết quả.
Ví dụ giả định: văn phòng 20 người đặt một thiết bị lưu trữ mạng chạy sao lưu có phiên bản mỗi đêm cho ổ chung và dữ liệu kế toán (bản 2, tại chỗ, phục vụ khôi phục nhanh); thiết bị này đẩy bản mã hoá lên dịch vụ lưu trữ đám mây của một nhà cung cấp khác, bật khoá bất biến 30 ngày (bản 3, nơi khác, chống mã độc); thêm một ổ cứng rời được luân phiên mỗi tuần, mang về nhà người phụ trách (bản ngoại tuyến). Chi phí phụ thuộc dung lượng và nhà cung cấp, nhưng thường nhỏ so với một ngày ngừng việc.
Áp dụng cho dữ liệu gia đình
Bản gốc trên điện thoại không phải bản sao lưu. Ảnh gia đình là loại dữ liệu không thể tạo lại, nhưng lại thường chỉ nằm trên điện thoại và một tài khoản đám mây đồng bộ. Một lần nhầm lẫn đăng xuất, quên mật khẩu, hoặc tài khoản bị khoá là mất tất cả.
Cấu hình tối thiểu có thể làm trong một buổi. Ảnh trên điện thoại đồng bộ lên một dịch vụ đám mây (bản 1 nơi khác); mỗi tháng chép toàn bộ thư viện ảnh về máy tính (bản 2); máy tính sao lưu sang một ổ cứng rời cất trong ngăn kéo, chỉ cắm khi chạy sao lưu (bản 3, ngoại tuyến, khác phương tiện).
Gửi một bản cho người thân. Một ổ cứng rời thứ hai đặt ở nhà bố mẹ hay anh chị em, cập nhật mỗi lần về thăm, là bản “ở nơi khác” rẻ nhất và chống được cháy nổ, ngập lụt — rủi ro có thật ở nhiều đô thị và vùng ven sông.
Ghi lại cách khôi phục. Viết một trang giấy liệt kê dữ liệu nằm ở đâu, tài khoản nào, mật khẩu ổ mã hoá được cất ở đâu. Nếu người duy nhất biết cách khôi phục gặp chuyện, dữ liệu coi như mất dù vẫn còn nguyên trên ổ.
Giới hạn của quy tắc 3-2-1
Quy tắc 3-2-1 là quy tắc ngón tay cái, không phải tiêu chuẩn đảm bảo. Nó không nói gì về thời gian giữ bản: nếu bạn chỉ giữ bảy ngày phiên bản mà một tệp bị hỏng âm thầm từ ba tuần trước, cả ba bản đều chứa tệp hỏng. Nó không nói gì về tính toàn vẹn: một bản sao lưu chép trung thành một tệp đã bị lỗi bit cũng vô dụng. Với dữ liệu cần giữ hàng chục năm, bạn cần thêm kiểm tra tổng (checksum) định kỳ và kế hoạch chuyển đổi định dạng — đó là phạm vi của lưu trữ số dài hạn chứ không chỉ sao lưu.
Quy tắc cũng không phân biệt dữ liệu theo giá trị. Áp dụng cùng một mức cho mọi thứ dễ dẫn đến tốn kém hoặc bỏ cuộc. Cách thực tế hơn là phân tầng: dữ liệu kế toán, hợp đồng và ảnh gia đình áp dụng đầy đủ 3-2-1-1-0; tệp tạm và tài liệu tải về có thể chỉ cần một bản. Cuối cùng, đám mây không tự động là “nơi khác” nếu tài khoản đám mây và hệ thống gốc dùng chung một mật khẩu quản trị: kẻ chiếm được một bên sẽ xoá được cả hai. Tách thông tin đăng nhập và bật xác thực nhiều lớp cho tài khoản sao lưu là một phần không tách rời của quy tắc.
Câu hỏi thường gặp
Lịch sử phiên bản của dịch vụ đám mây có thay được sao lưu không?
Chỉ một phần. Lịch sử phiên bản thường có thời hạn giới hạn và nằm trong cùng tài khoản; nếu tài khoản bị chiếm hoặc bị nhà cung cấp khoá, lịch sử mất theo. Có thể coi nó là một bản, nhưng vẫn cần ít nhất một bản nằm ngoài tài khoản đó.
Nên sao lưu toàn bộ ổ đĩa hay chỉ thư mục dữ liệu?
Sao lưu toàn bộ ổ giúp dựng lại máy nhanh, tiện cho máy chủ và máy làm việc phức tạp. Sao lưu thư mục dữ liệu nhẹ hơn và dễ khôi phục từng tệp. Doanh nghiệp nhỏ thường kết hợp: ảnh toàn ổ cho máy chủ, sao lưu thư mục có phiên bản cho dữ liệu người dùng.
Bản sao lưu trên đám mây có cần tự mã hoá không?
Nên mã hoá trước khi tải lên nếu dữ liệu nhạy cảm, để nhà cung cấp hay ai chiếm được tài khoản cũng không đọc được. Đổi lại, mất khoá là mất dữ liệu, nên khoá phải được cất ở ít nhất hai nơi an toàn tách biệt với bản sao lưu.
Ổ cứng rời cất tủ bao lâu thì nên kiểm tra?
Mỗi lần cắm để cập nhật cũng là dịp kiểm: mở thử vài tệp cũ, chạy công cụ kiểm tra sức khoẻ ổ. Ổ để lâu không cắm vẫn có thể hỏng cơ học; nếu ổ chỉ cập nhật vài lần mỗi năm, nên đặt lịch kiểm ít nhất mỗi quý.
Doanh nghiệp có nghĩa vụ pháp lý về sao lưu không?
Một số loại dữ liệu như chứng từ kế toán và dữ liệu cá nhân của khách hàng có quy định riêng về thời hạn lưu trữ và bảo vệ. Mức yêu cầu cụ thể cần kiểm văn bản pháp luật hiện hành hoặc hỏi chuyên gia pháp chế; kế hoạch sao lưu nên được thiết kế để đáp ứng những thời hạn đó.
Băng từ có còn đáng dùng cho doanh nghiệp nhỏ?
Băng từ có giá mỗi terabyte thấp và tự nhiên ngoại tuyến khi rút ra, nhưng đầu đọc đắt và cần người vận hành có kỷ luật. Với dữ liệu dưới vài chục terabyte, ổ cứng rời luân phiên cộng lưu trữ đám mây bất biến thường đơn giản hơn.