1. Wstęp
Masz backup, więc jesteś bezpieczny. To zdanie słyszę od właścicieli firm regularnie, zwykle tuż przed tym, jak się okazuje, że ten jedyny backup leżał na tym samym dysku sieciowym co dane produkcyjne, albo że nikt nigdy nie sprawdził, czy w ogóle da się z niego coś przywrócić. Jedna kopia danych to lepiej niż żadna, ale w praktyce daje złudne poczucie bezpieczeństwa. Poniżej pokazuję, dlaczego, i co z tym realnie zrobić, bez teoretyzowania.
2. Dlaczego jedna kopia nie wystarczy
Ransomware celuje też w backup
Atakujący od dawna wiedzą, że firma z dobrym backupem po prostu odtworzy dane i zignoruje żądanie okupu. Dlatego pierwszym krokiem po wejściu do sieci często nie jest szyfrowanie plików, tylko odnalezienie i zniszczenie kopii zapasowych. Sophos w raporcie State of Ransomware 2024 podaje, że aż 94 procent zaatakowanych organizacji zgłosiło próbę skompromitowania backupu w trakcie ataku, a próby te udawały się średnio w 57 procentach przypadków. Konsekwencje finansowe są proporcjonalnie większe. Gdy backup padł, żądanie okupu było ponad dwa razy wyższe niż w przypadkach, gdzie backup przetrwał, a koszt samego odzyskania danych aż ośmiokrotnie wyższy. W nowszym raporcie, State of Ransomware 2025, Sophos odnotowuje, że odsetek firm, które faktycznie odzyskały dane z backupu, spadł do 54 procent, najniżej od sześciu lat, i to trzeci rok spadku z rzędu.
Backup podłączony na stałe do tej samej sieci co dane produkcyjne, widoczny dla tych samych kont administracyjnych, jest właśnie tym, co atakujący szuka najpierw. Jedna kopia w takim układzie nie jest planem awaryjnym, jest kolejnym celem.
Kradzież i pożar niszczą sprzęt i backup naraz
Jeżeli jedyna kopia zapasowa leży na dysku zewnętrznym w tej samej szafce co serwer, albo na tym samym laptopie, to zdarzenie, które niszczy dane, niszczy też backup. Kradzież sprzętu z biura, zalanie, pożar, awaria zasilania niszcząca kilka urządzeń naraz, to nie egzotyczne scenariusze, tylko codzienność małych firm, które nigdy nie wyniosły żadnej kopii poza siedzibę.
Błąd ludzki potrafi skasować jedyną kopię
Verizon w raporcie Data Breach Investigations Report 2024 podaje, że czynnik ludzki, czyli błąd niezłośliwy albo skuteczna inżynieria społeczna, wystąpił w 68 procentach analizowanych naruszeń danych, a ransomware lub inna forma wymuszenia w 32 procentach wszystkich naruszeń. Przypadkowe nadpisanie pliku, skasowanie folderu, zsynchronizowanie uszkodzonych danych na kopię zapasową zamiast poprawnych, to scenariusze, które nie wymagają atakującego. Jeżeli istnieje tylko jedna kopia, każdy z tych błędów jest nieodwracalny.
3. Zasada 3.2.1, i jej rozszerzona wersja
Odpowiedzią na te trzy scenariusze nie jest kolejny, droższy dysk, tylko rozłożenie ryzyka. Najbardziej znanym schematem jest zasada 3.2.1, spopularyzowana w 2012 roku przez amerykańską agencję US-CERT, dzisiejszą CISA, w dokumencie Data Backup Options. Sam dokument wskazuje, że reguła pochodzi wcześniej z praktyki fotografów zawodowych, opisanej przez Petera Krogha w książce The DAM Book. Brzmi ona prosto. Trzy kopie danych, jedna podstawowa i dwie zapasowe. Dwa różne nośniki albo systemy przechowywania. Jedna kopia poza siedzibą firmy.
To rozkłada dokładnie te ryzyka opisane wyżej. Dwa różne nośniki utrudniają atakującemu skasowanie wszystkiego jednym poleceniem. Kopia poza siedzibą przetrwa pożar czy kradzieżę biura. Kilka kopii daje margines na to, że jedna z nich okaże się uszkodzona albo nadpisana błędnymi danymi.
Firma Veeam poszła o krok dalej i rozszerzyła regułę do wariantu 3.2.1.1.0. Dodatkowa jedynka to kopia offline albo niemodyfikowalna, czyli taka, której nie da się zaszyfrować ani skasować zdalnie, nawet mając pełen dostęp administracyjny do reszty infrastruktury. Zero na końcu oznacza zero błędów przy teście przywracania danych, czyli regularne sprawdzanie, że backup faktycznie działa, a nie tylko istnieje.
4. Jak to wygląda w praktyce w małej firmie
Nie potrzebujesz działu IT ani budżetu korporacji, żeby wdrożyć ten schemat sensownie. W praktyce dla większości małych firm sprawdza się prosty układ. Kopia lokalna, na osobnym urządzeniu niż serwer produkcyjny, do szybkiego przywracania po drobnej awarii. Kopia w chmurze albo na serwerze poza siedzibą firmy, zaszyfrowana przed wysłaniem, żeby dostawca usługi ani nikt przechwytujący transmisję nie miał dostępu do treści danych. I harmonogram testów przywracania, choćby raz na kwartał, żeby sprawdzić, że plik faktycznie się otwiera, a nie tylko że proces backupu zakończył się bez błędu w logu.
Kluczowe jest rozdzielenie kont dostępowych. Jeżeli to samo konto administracyjne, które zarządza serwerem, ma też pełny dostęp do kasowania kopii zapasowych, to atakujący, który przejmie to konto, przejmuje obie warstwy naraz. W ramach outsourcingu IT dla małych firm w Ralkom projektujemy backup właśnie z myślą o tym rozdzieleniu, razem z szyfrowaniem i monitoringiem incydentów, opisane szerzej w outsourcingu IT.
5. Typowe błędy przy budowaniu backupu
Trzy błędy wracają najczęściej, niezależnie od branży. Brak testów przywracania, bo backup, który nigdy nie był testowany, to w praktyce niepotwierdzona hipoteza, nie zabezpieczenie. Backup bez izolacji od sieci produkcyjnej, czyli dokładnie sytuacja opisana wyżej przy ransomware, gdzie jeden przejęty dostęp niszczy dane i kopię naraz. I backup bez szyfrowania, gdzie nawet jeśli kopia przetrwa awarię, to wyciek tego nośnika, na przykład skradzionego dysku zewnętrznego, staje się osobnym incydentem bezpieczeństwa danych. Jeżeli nie wiesz, które z tych trzech błędów dotyczą Twojej firmy, dobrym punktem startowym jest audyt bezpieczeństwa, który pokazuje realne ryzyka zamiast zgadywania.
6. Podsumowanie
Jedna kopia backupu wystarczy dokładnie do momentu, w którym zawiedzie, a wtedy zwykle jest za późno na poprawki. Ransomware szuka backupu tak samo aktywnie jak danych produkcyjnych, awarie sprzętu i błędy ludzkie zdarzają się bez ostrzeżenia, a pożar czy kradzież nie pytają, czy akurat masz kopię pod ręką. Zasada 3.2.1 nie jest sztuką dla sztuki, tylko odpowiedzią na te konkretne scenariusze. Jeżeli chcesz sprawdzić, jak wygląda to u Ciebie, skontaktuj się, chętnie przejrzymy to razem.