Samo skopiowanie plików nie wystarcza. Kopia powinna działać automatycznie, być przechowywana oddzielnie i przechodzić regularny test odtwarzania.
Dariusz Kmieciński
Microcomp — praktyk IT i systemów zabezpieczeń
Opublikowano · zaktualizowano
Dlaczego samo „kopiuje się automatycznie” nie wystarcza?
Firma może regularnie widzieć komunikat o wykonanym zadaniu i nadal nie mieć kopii, z której da się przywrócić pracę. Powodem bywają pominięte katalogi, wygasłe dane logowania, brak miejsca, uszkodzony nośnik albo aplikacja, której baza wymaga specjalnej procedury. System księgowy, poczta, dokumenty współdzielone i konfiguracja serwera nie zawsze są chronione tym samym mechanizmem.
Trzeba rozdzielić trzy pojęcia: synchronizację, archiwizację i backup. Synchronizacja ułatwia pracę na wielu urządzeniach, lecz może powielić usunięcie lub zaszyfrowanie pliku. Archiwum przechowuje materiał długoterminowo. Backup służy do odtworzenia danych lub całej usługi po konkretnym zdarzeniu i powinien mieć zdefiniowany zakres, harmonogram oraz sposób weryfikacji.
- lista systemów i danych objętych ochroną;
- osoba odpowiedzialna za kontrolę wyników;
- ustalony czas, z którego można odzyskać wersję pliku;
- instrukcja odtwarzania i miejsce przechowywania danych dostępowych.
Reguła 3-2-1 w małej firmie — jak ją rozumieć?
Reguła 3-2-1 oznacza utrzymywanie trzech kopii danych łącznie z danymi roboczymi, na co najmniej dwóch różnych rodzajach nośników, przy czym jedna kopia znajduje się poza główną lokalizacją. Jej celem nie jest spełnienie formalnego schematu, lecz uniknięcie sytuacji, w której jedna awaria, kradzież, pożar albo atak niszczy jednocześnie oryginał i wszystkie kopie.
W praktyce mała firma może łączyć dane robocze na serwerze lub komputerze, lokalną kopię na osobnym urządzeniu oraz szyfrowaną kopię w drugiej lokalizacji lub właściwie skonfigurowanej usłudze chmurowej. Dobór zależy od ilości danych, łącza, czasu potrzebnego na odzyskanie oraz wymagań dotyczących poufności. Sam dysk USB leżący obok komputera nie jest kopią poza lokalizacją.
- 3 kopie: oryginał i co najmniej dwie kopie zapasowe;
- 2 rodzaje nośników lub niezależne systemy przechowywania;
- 1 kopia poza siedzibą firmy;
- dodatkowo: szyfrowanie, kontrola dostępu i historia wersji odpowiednia do ryzyka.
Kopia offline, odseparowana i niezmienialna
Rządowe zalecenia dotyczące ograniczania skutków ransomware wskazują, że aktualne kopie powinny być przechowywane poza siecią albo w usłudze zaprojektowanej do bezpiecznego backupu. Nośnik podłączony na stałe może zostać zaszyfrowany razem z komputerem. Podobne ryzyko dotyczy udziału sieciowego dostępnego z konta użytkownika o zbyt szerokich uprawnieniach.
Kopię można odłączyć fizycznie, umieścić w innej sieci lub lokalizacji albo zablokować jej modyfikację na określony czas. Wybór zależy od infrastruktury. Ważne, aby osoba, która przejmie zwykłe konto, nie mogła jednocześnie usunąć wszystkich punktów przywracania.
- nie pozostawiaj jedynego dysku backupowego stale podłączonego;
- nie używaj tych samych danych logowania do pracy i administracji kopiami;
- ogranicz prawo usuwania kopii i rejestruj operacje administracyjne;
- sprawdź, czy czas przechowywania kopii obejmuje okres wystarczający do wykrycia incydentu.
Jak ustalić częstotliwość kopii i czas odtwarzania?
Częstotliwość backupu powinna wynikać z tego, ile pracy firma może zaakceptować do ponownego wykonania. Jeżeli dokumenty zmieniają się przez cały dzień, kopia raz w tygodniu jest zwykle niewystarczająca. Dla każdego systemu warto określić dopuszczalną utratę danych w czasie oraz oczekiwany czas przywrócenia działania. Nie trzeba zaczynać od specjalistycznych skrótów. Wystarczą odpowiedzi na dwa konkretne pytania.
Pierwsze pytanie brzmi: „utratę ilu godzin pracy możemy zaakceptować?”. Drugie: „jak długo firma może pracować bez tego systemu?”. Odpowiedzi dla programu księgowego, plików projektowych i archiwum poczty mogą być różne. Na tej podstawie dobiera się harmonogram, czas przechowywania kopii, przepustowość oraz kolejność odtwarzania.
- które dane są krytyczne dla bieżącej obsługi klientów;
- ile zmian powstaje pomiędzy kolejnymi kopiami;
- ile czasu zajmie pobranie danych z chmury lub przewiezienie nośnika;
- które systemy trzeba przywrócić jako pierwsze.
Test odtwarzania: najważniejszy element planu
Komunikat „zadanie wykonane” nie potwierdza jeszcze, że dane da się wykorzystać. Test odtwarzania powinien sprawdzać rzeczywisty scenariusz: odzyskanie pojedynczego pliku, bazy programu, skrzynki pocztowej albo całej maszyny, zależnie od zakresu ochrony. Odtworzone dane trzeba otworzyć i zweryfikować, a wynik zapisać wraz z datą.
Test nie powinien nadpisywać środowiska produkcyjnego. Bezpieczniej przeprowadzić go do oddzielnej lokalizacji lub środowiska testowego. Warto mierzyć czas całej operacji, uwzględniając dostęp do haseł, kluczy szyfrujących, instalatorów i dokumentacji. Dopiero wtedy wiadomo, czy deklarowany czas powrotu do pracy jest realistyczny.
- wybierz próbkę obejmującą różne rodzaje danych;
- odtwarzaj do bezpiecznej, oddzielnej lokalizacji;
- sprawdź integralność i możliwość otwarcia danych;
- zapisz czas, wynik, błędy oraz działania naprawcze;
- powtórz test po zmianie systemu, dostawcy lub zasad backupu.
Minimalny plan backupu dla firmy — siedem kroków
Plan można zbudować etapami, zaczynając od najważniejszych procesów. Nie trzeba chronić wszystkiego identycznie, ale nic istotnego nie powinno pozostać poza ewidencją. Szczególnej uwagi wymagają dane zapisane wyłącznie na laptopach pracowników, lokalne archiwa poczty, bazy aplikacji oraz urządzenia sieciowe, których konfiguracja może być potrzebna po awarii.
Microcomp może zinwentaryzować dane, skonfigurować kopię lokalną i zewnętrzną, ustawić alerty oraz przeprowadzić próbę odtworzenia. Mechanizm kopii musi uwzględniać sposób pracy firmy.
- spisz systemy, dane, urządzenia i osoby odpowiedzialne;
- ustal dopuszczalną utratę danych oraz czas przestoju;
- wybierz co najmniej dwie niezależne warstwy kopii;
- odseparuj jedną kopię od zwykłych kont i głównej lokalizacji;
- włącz automatyzację, alerty i kontrolę wolnego miejsca;
- zapisz instrukcję odtwarzania i zabezpiecz dane dostępowe;
- wykonaj test, zapisz wynik i wyznacz termin kolejnej próby.
Co zrobić po zauważeniu utraty danych lub ransomware?
Nie podłączaj kolejnych kopii do zainfekowanego komputera. Najpierw odizoluj zagrożone urządzenie od sieci i unikaj działań, które mogą nadpisać dane potrzebne do analizy. Zakres reakcji zależy od zdarzenia; przy podejrzeniu cyberataku warto skorzystać z pomocy specjalisty i rozważyć zgłoszenie do właściwego zespołu reagowania.
Odtwarzanie powinno nastąpić dopiero po ustaleniu bezpiecznego punktu przywrócenia i usunięciu przyczyny incydentu. W przeciwnym razie można ponownie uruchomić złośliwe oprogramowanie albo przywrócić system z tą samą podatnością. Po powrocie do pracy trzeba przeanalizować, które zabezpieczenie zawiodło i zaktualizować plan.
- odłącz zagrożone urządzenia od sieci;
- zabezpiecz logi i informacje o czasie zdarzenia;
- nie kasuj ani nie formatuj nośników bez oceny sytuacji;
- zweryfikuj czystość środowiska przed odtworzeniem;
- zmień narażone dane dostępowe i usuń przyczynę incydentu.
Źródła i materiały
Dokumentacja i materiały związane z tematem poradnika:
- Tworzenie zapasowych kopii danych — Baza wiedzy cyberbezpieczeństwa — Gov.pl
- Łagodzenie skutków ataków szkodliwego oprogramowania — Baza wiedzy cyberbezpieczeństwa — Gov.pl
- StopRansomware Guide — Cybersecurity and Infrastructure Security Agency (CISA)
Backup danych — wycena
Zadzwoń i powiedz, czego potrzebujesz. Zapytamy o szczegóły potrzebne do przygotowania oferty.
