我們在〈為什麼 NAS 不適合拿來架網站？〉提到，重要資料應該做好 3-2-1 備份。但這三個數字，究竟代表什麼？買了 NAS、裝了兩顆硬碟，是否就算做好了？這篇用簡單的例子說明。
3：三份資料，包含正在使用的那一份
三份是「一份原始資料，加上兩份備份」，不是一定要另外買三台設備。例如電腦上正在編輯的公司文件算第一份，備份到 NAS 算第二份，再備份到另一種媒介、放在不同地點，才有第三份。
如果把照片從電腦搬到 NAS，再刪掉電腦上的原檔，手上仍然只有一份。NAS 裡裝了幾顆硬碟，也不能直接當成有幾份備份。
2：兩種儲存媒介，分散失效方式
傳統 3-2-1 原則要求使用兩種不同媒介，例如磁碟搭配磁帶或光碟。目的在於避免所有副本都受到相同類型的故障影響。現代也常搭配雲端備份服務，但仍要確認版本保留、資料保護方式，以及帳號與權限是否獨立。
同一台 NAS 的兩個資料夾，不會因此變成兩種媒介；NAS 再接一顆外接硬碟，雖然有助於分開保存，但如果兩者都是磁碟，也不能只憑「兩台設備」就說符合傳統的兩種媒介要求。
1：至少一份放在異地
備份如果和原始資料都放在同一間辦公室，遇到火災、淹水或失竊，仍可能一起消失。異地的重點，是讓副本不會被同一場事故影響，不只是放到另一個抽屜。
例如電腦保留原始檔、辦公室 NAS 保存版本備份，另一份定期寫入磁帶並存放在異地，就能說明三份、兩種媒介、一份異地的配置。這只是示意，實際工具仍要考慮資料量、更新頻率與還原時間。
RAID、同步、快照，為什麼還不夠？
- RAID：某些配置可在部分硬碟故障時繼續運作，但誤刪或惡意加密也可能反映到整個陣列，不能取代獨立備份。
- 同步：可以讓多台設備保持相同內容，也可能把刪除或加密後的檔案同步過去。要看是否另有版本歷史、保留多久，以及能否復原。
- 快照：有助於回到較早狀態，但同機快照仍依賴原設備。若設備損壞，或攻擊者取得可刪除快照的權限，仍可能失去復原機會。
面對勒索軟體，還要多做兩件事
至少保留一份離線或受到不可變更保護的備份。異地不等於離線；另一個城市的設備如果一直連線，而且共用管理帳號，仍可能一起受害。不可變更也不等於一般快照，要確認在保留期間，哪些身分能刪除或縮短保留期限。
外接硬碟若備份完就安全卸載、拔除連線，可以減少它被線上攻擊波及的機會；但仍需要輪替更新，並放在適當地點，不能長期只留一份過期副本。
另外，定期實際還原。挑幾個檔案，還原到另一個位置，確認能開啟。網站則要同時確認檔案、資料庫與必要設定，在隔離測試環境試著復原。顯示「備份成功」，不代表整個網站一定能恢復服務。
備份頻率可以先問：最多能接受遺失多久的資料？每天備份一次，仍可能失去上次備份後的變更。重要訂單或持續更新的資料庫，可能需要更密集的保護。
3-2-1 是規劃備份的起點。真正需要確認的是：原始資料不見了，手上是否還有一份未受影響、版本足夠新，而且確實能還原的資料？
參考資料：CISA：Data Backup Options、英國 NCSC：離線備份與 3-2-1 原則、WordPress 官方備份說明。