Backup-strategi för företag — så bygger du 3-2-1 i praktiken

3-2-1 betyder tre kopior av din data, på två olika typer av lagring, med minst en kopia på annan plats. Det är den enklaste tumregeln som faktiskt håller den dag en hårddisk går sönder, ransomware slår till eller någon råkar radera fel mapp. Den här guiden tar dig från princip till en konkret uppsättning för ett mindre företag — hur den ser ut, hur ofta du kör den, hur du testar återställningen och vilka misstag som gör att backupen sviker just när du behöver den.

Vad betyder 3-2-1-regeln — och varför just de siffrorna?

3-2-1 står för 3 kopior av datan, på 2 olika medietyper, varav 1 ligger utanför huset. Var siffra motsvarar ett vanligt sätt att förlora data på, och tillsammans ser de till att inget enskilt fel tar allt på en gång.

1. Tre kopior — själva produktionsdatan plus två backuper. Går en kopia förlorad finns alltid minst en till kvar.
2. Två medietyper — till exempel en lokal disk och molnlagring. Delar två kopior samma diskhylla eller samma nätverk kan ett enda fel slå ut båda.
3. En kopia utanför — offsite, så att brand, inbrott eller ett vattenläck i serverrummet inte tar både produktion och backup.

En modernare variant kallas 3-2-1-1-0: den lägger till 1 oföränderlig eller frånkopplad (offline/immutable) kopia och 0 fel vid verifiering. Tillägget finns för att ransomware aktivt letar upp och krypterar nätverksansluten backup — en kopia som inte går att skriva över är då sista utvägen.

Hur ser en konkret 3-2-1-uppsättning ut för ett litet företag?

För ett mindre företag räcker tre byggstenar: produktionsdatan där du arbetar, en lokal backup på annan medietyp, och en oberoende molnkopia utanför huset. Tabellen visar en typisk uppsättning för ett kontor med filserver eller NAS och Microsoft 365.

Kopia	Var den ligger	Medietyp	Skyddar mot
1 — produktion	Filserver/NAS + Microsoft 365	Arbetslagring	Inget (detta är originalet)
2 — lokal backup	Backup-server eller separat NAS	Annan disk på plats	Trasig hårddisk, felaktig radering
3 — offsite	Molnbackup, oberoende av produktionen	Moln, gärna immutable	Brand, stöld, ransomware, kapat adminkonto

Poängen är att kopia 3 ska vara oberoende — inte en synk av samma mapp, utan en separat kopia med egen historik och egen inloggning. En offline- eller oföränderlig kopia är CERT-SE:s tydliga rekommendation mot utpressningsprogram, eftersom en angripare med administratörsbehörighet annars raderar även backupen. Och kom ihåg: molntjänsten i sig är kopia ett, inte en backup — läs varför du behöver Microsoft 365 backup även när allt redan ligger i molnet.

Vill du ha uppsättningen byggd och bevakad åt dig sätter vi upp den inom säkerhet och backup — daglig molnbackup, lokal kopia och en oberoende offsite-kopia, samlat med en kontakt och en faktura.

Hur ofta ska du ta backup — och hur länge ska du spara?

Ta backup så ofta att du klarar att förlora mellanrummet. Kör du en gång per dygn är din värsta förlust ett dygns arbete — det talet kallas RPO (Recovery Point Objective) och styr frekvensen. Ju mer affärskritiskt systemet är, desto tätare kör du.

Sätt frekvensen efter hur mycket arbete du tål att tappa:

1. Kritiska system (ekonomi, e-post, verksamhetssystem) — minst dagligen, gärna flera gånger per dygn.
2. Filservrar och gemensamma mappar — minst dagligen.
3. Enskilda arbetsstationer — dagligen om användaren sparar lokalt, annars via molnet.

Lagringstiden styrs av verksamheten och av lag. Räkenskapsinformation ska enligt bokföringslagen sparas i minst sju år, något Skatteverket också är tydliga med. Samtidigt säger GDPR:s princip om lagringsminimering, som Integritetsskyddsmyndigheten (IMY) övervakar, att personuppgifter inte ska sparas längre än nödvändigt — även i backuper. Håll därför isär arkiv (lång tid, för efterlevnad) och backup (kort till medellång tid, för återställning); de svarar mot olika krav.

Hur testar du att återställningen faktiskt fungerar?

Genom att faktiskt återställa — på schema, till en ren miljö, och mäta tiden mot ditt RTO-mål. En backup du aldrig har återställt är overifierad; du vet inte om den fungerar förrän du provar, och då är fel dag att upptäcka att jobbet legat trasigt i tre månader. MSB lyfter just testad återställning som en grundbult i kontinuitetshantering.

Ta ett konkret scenario. Klockan är 08:00 en måndag och en filserver är krypterad av ransomware — helgens arbete och de gemensamma mapparna är oåtkomliga. Så här ser ett testat återställningsflöde ut:

1. Isolera — koppla bort den drabbade maskinen från nätet så att inget sprids vidare eller hinner kryptera backupen.
2. Välj återställningspunkt — plocka den senaste rena kopian från före infektionen, inte den allra senaste (som kan vara krypterad).
3. Återställ till ren miljö — rulla tillbaka datan från den oberoende offsite-kopian till en rensad eller ny server.
4. Verifiera — öppna filerna, kontrollera att de går att läsa och att inget saknas.
5. Mät tiden — jämför hur lång tid steg 1–4 tog mot ditt RTO (Recovery Time Objective). Tog det längre än verksamheten tål är det där du ska investera.

Gör den här övningen på riktigt minst en gång per kvartal och efter varje större förändring i miljön. Det är skillnaden mellan att tro att du har backup och att veta det.

Vilka är de vanligaste misstagen med backup?

De flesta backup-haverier beror inte på att tekniken saknas, utan på att den aldrig testats eller att alla kopior kunde slås ut samtidigt. Här är de sju vanligaste fällorna:

1. Backupen har aldrig återställts — den ser grön ut i panelen men går inte att läsa tillbaka den dag det gäller.
2. Alla kopior ligger på samma nätverk — ransomware som når filservern når då även backupen. Det bryter mot både “2 medier” och “1 offsite”.
3. Ingen offline- eller immutable-kopia — ett kapat adminkonto raderar backupen tillsammans med produktionsdatan.
4. Molntjänsten förväxlas med backup — Microsoft 365 och Google Workspace har papperskorg i 30–93 dagar, inte en oberoende backup.
5. För kort lagringstid — upptäcks en radering eller manipulation efter att historiken rullat är datan borta för gott.
6. Ingen övervakning — misslyckade jobb märks först när någon behöver återställa, ofta veckor för sent.
7. Personuppgifter glöms bort i backupen — GDPR gäller även kopior, och en raderingsbegäran måste kunna hanteras i hela kedjan.

Vad kostar en 3-2-1-backup för ett företag?

Backup är projektprissatt — det finns inget listpris, eftersom kostnaden följer datavolymen och kraven på återställning. Som riktvärden ligger molnbackup av Microsoft 365 ofta i storleksordningen 30–60 kr per användare och månad, medan server- eller NAS-backup med övervakning och testning börjar från några hundra kronor per server och månad. Att sätta upp lösningen och köra en första testad återställning är en engångsinsats, vanligtvis från några tusen till tiotusentals kronor beroende på miljöns storlek.

Det som driver priset:

Prisfaktor	Vad som driver kostnaden
Datavolym	Fler GB/TB kostar mer i lagring och överföring
Antal användare och servrar	Backup prissätts ofta per användare eller per server
Lagringstid (retention)	Längre historik kräver mer lagring
RTO/RPO-krav	Snabbare återställning kräver mer resurser och bandbredd
Oföränderlig/offline-kopia	Extra skydd mot ransomware kostar något mer
Övervakning och testning	Bevakade och kvartalstestade jobb, gärna via driftavtal

Ett litet kontor med Microsoft 365 och en filserver landar därför på en hanterbar månadskostnad plus en engångsinsats — billig försäkring jämfört med att förlora e-post, avtal och ekonomiunderlag. Vill du veta vad en testad 3-2-1-uppsättning skulle kosta för just din miljö? Vi bygger och bevakar den inom säkerhet och backup. Boka en genomgång så räknar vi på din datavolym och dina återställningskrav tillsammans.