بیشتر سازمان‌ها بکاپ دارند، اما کمتر سازمانی می‌داند که بکاپش در روز حادثه جواب می‌دهد یا نه. قانون ۳-۲-۱ یک چارچوب ساده برای پاسخ به همین پرسش است.
این قانون می‌گوید: سه نسخه از داده‌ها نگه دارید (یک نسخه اصلی و دو نسخه بکاپ)، آن‌ها را روی دو نوع رسانه متفاوت ذخیره کنید (مثلاً دیسک سرور و NAS یا نوار) و دست‌کم یک نسخه را بیرون از محل سازمان نگه دارید.
چرا دو رسانه متفاوت؟ چون خرابی یک نوع تجهیز (مثلاً خطای کنترلر یا آسیب فیزیکی) نباید هر دو نسخه را با هم از بین ببرد. چرا یک نسخه بیرون از سایت؟ چون آتش‌سوزی، سرقت یا باج‌افزار می‌تواند همه چیز داخل ساختمان را درگیر کند.
اما مهم‌ترین نکته این است: بکاپی که بازیابی آن تست نشده باشد، قابل اتکا نیست. حداقل هر چند ماه یک بار، یک سرور یا چند فایل را واقعاً از بکاپ بازیابی کنید و زمان لازم را یادداشت کنید.