Khi các biện pháp phòng thủ như tường lửa, EDR hay đào tạo nhân viên thất bại, bản sao lưu (backup) là chiếc áo giáp cuối cùng quyết định sự sống còn của doanh nghiệp. Tuy nhiên, nhiều đơn vị vừa và nhỏ (SME) vẫn chủ quan, chỉ sao lưu đơn giản lên ổ cứng ngoài hoặc thư mục chia sẻ mạng — chính là mục tiêu ưu tiên đầu tiên của các biến thể mã tống tiền hiện nay. Cốt lõi của chiến lược an toàn là quy tắc **3-2-1**: - **3** bản sao dữ liệu (1 bản gốc + 2 bản sao). - **2** loại phương tiện lưu trữ khác nhau (ví dụ: ổ cứng cục bộ + lưu trữ đám mây/ băng từ). - **1** bản sao lưu tại vị trí ngoại tuyến (off-site) hoặc ngoại tuyến logic (offline/air-gapped). Để đối phó với ransomware xóa mãi bản sao lưu (shadow copies) và mã hóa ổ đĩa mạng, SME cần nâng cấp mô hình 3-2-1 bằng **Immutable Backup (Sao lưu bất biến)**. Đây là cơ chế viết một lần, đọc nhiều lần (WORM - Write Once Read Many), ngăn chặn việc xóa hoặc ghi đè dữ liệu trong một khoảng thời gian định trước (retention lock), ngay cả khi tài khoản quản trị bị xâm nhập. **Quy trình triển khai thực tế cho SME:** 1. **Phân loại dữ liệu:** Xác định RPO (Mục tiêu điểm khôi phục) và RTO (Mục tiêu thời gian khôi phục) cho từng hệ thống. Dữ liệu tài chính, ERP, CRM cần RPO gần bằng 0 (sao lưu liên tục/ snapshot mỗi giờ). Dữ liệu lưu trữ ít truy cập có thể RPO 24h. 2. **Chọn công cụ phù hợp:** Ưu tiên giải pháp hỗ trợ sẵn Immutable Storage (AWS S3 Object Lock, Azure Immutable Blob, Wasabi, Backblaze B2) hoặc phần mềm backup như Veeam, Synology Active Backup, MSP360 có tích hợp Object Lock. 3. **Cấu hình lớp lưu trữ:** - Lớp 1 (Nhanh): Snapshot/Replication trên storage cục bộ (NAS/SAN) để khôi phục file/xóa nhầm trong phút. - Lớp 2 (An toàn): Backup job đẩy lên Cloud Storage bật Object Lock (chế độ Compliance mode) với thời gian giữ tối thiểu 30-90 ngày. Tắt quyền xóa qua API key thông thường. - Lớp 3 (Khẩn cấp - Tùy chọn): Sao lưu định kỳ ra ổ cứng rời (RDX/Tape) hoặc NAS vật lý tách mạng (air-gapped), cất giữ tại địa chỉ khác. 4. **Kiểm tra khôi phục (Restore Test) - Bước quan trọng nhất:** Lên lịch test khôi phục hàng quý cho hệ thống cốt lõi, hàng tháng cho toàn bộ. Đừng chỉ kiểm tra "job backup thành công". Hãy đo thời gian thực tế để đưa server ảo lên chạy tại môi trường cách ly (sandbox). **Sai lầm thường gặp cần tránh:** - Lưu bản sao lưu trên cùng domain/Active Directory với server sản xuất (kẻ tấn công lấy quyền Domain Admin sẽ xóa hết). - Sử dụng cùng một tài khoản quản trị cho cả hệ thống sản xuất và console backup. - Không mã hóa bản sao lưu khi truyền tải và lúc nghỉ (encryption in-flight & at-rest). - Quên bảo vệ bản thân máy chủ backup (cập nhật patch, MFA, hạn chế port mở). Kết luận: Một bản sao lưu không thể khôi phục là không có bản sao lưu. Đầu tư vào Immutable Backup và quy trình test khôi phục định kỳ rẻ hơn rất nhiều so với việc trả tiền chuộc hoặc xây dựng lại dữ liệu từ con số 0.