Kopia zapasowa 3-2-1 w małej firmie – jak chronić dane przed ransomware?

Zasada 3-2-1 polega na przechowywaniu trzech kopii ważnych danych, na dwóch różnych rodzajach nośników, przy czym jedna kopia powinna znajdować się poza główną lokalizacją firmy. Tak zbudowany backup ogranicza ryzyko, że awaria sprzętu, błąd pracownika, kradzież urządzenia albo atak ransomware pozbawi firmę jednocześnie danych produkcyjnych i wszystkich kopii zapasowych.

Samo wykonywanie kopii nie daje jednak pełnego bezpieczeństwa. Backup musi być odizolowany od środowiska firmowego, chroniony przed zmianą lub usunięciem oraz regularnie sprawdzany przez próbne odzyskiwanie danych. Kopia, której nigdy nie udało się odtworzyć, jest jedynie założeniem, a nie realnym zabezpieczeniem.

Dlaczego mała firma potrzebuje kopii odpornych na ransomware?

Ransomware szyfruje pliki i blokuje dostęp do danych, a następnie wyświetla żądanie okupu. W bardziej zaawansowanych atakach przestępcy wcześniej poruszają się po firmowej sieci, przejmują konta administratorów i sprawdzają, gdzie znajdują się kopie zapasowe. Dopiero później uruchamiają szyfrowanie.

Celem atakujących nie jest więc wyłącznie firmowy komputer lub serwer. Przestępcy starają się również usunąć albo zaszyfrować backup, ponieważ wiedzą, że działająca kopia zmniejsza presję na zapłacenie okupu. CERT Polska wskazuje, że operatorzy ransomware aktywnie poszukują firmowych kopii zapasowych i próbują je niszczyć.

Więcej o przebiegu takiego ataku przeczytasz w artykule czym jest ransomware. Z kolei szerszy przegląd technologii ochronnych znajduje się w materiale nowe technologie i strategie obrony przed ransomware.

W małej firmie utrata danych może oznaczać brak dostępu do:

• dokumentów księgowych,
• faktur i umów,
• bazy klientów,
• projektów i dokumentacji technicznej,
• skrzynek pocztowych,
• danych kadrowych,
• systemu sprzedaży,
• programów magazynowych,
• kopii konfiguracji urządzeń,
• plików przechowywanych na komputerach pracowników.

Problemem nie jest wyłącznie wartość samych plików. Liczy się również czas potrzebny na ich odtworzenie. Nawet jeśli część dokumentów można ponownie pobrać, poprosić klientów o ich przesłanie lub odtworzyć ręcznie, firma może przez kilka dni nie wystawiać faktur, nie realizować zamówień albo nie mieć dostępu do historii współpracy.

Na czym dokładnie polega zasada 3-2-1?

Zasada jest prosta do zapamiętania, ale każdy jej element pełni inną funkcję.

3 – przechowuj trzy kopie danych

Pierwszą kopią są dane używane na co dzień, na przykład dokumenty zapisane na serwerze, komputerze lub w firmowym systemie. Dwie kolejne powinny być kopiami zapasowymi.

Przykładowy układ może wyglądać tak:

1. Dane robocze znajdują się na serwerze lub komputerach.
2. Pierwsza kopia jest wykonywana na firmowy serwer kopii zapasowych albo dysk.
3. Druga kopia trafia do odpowiednio zabezpieczonej chmury lub innej lokalizacji.

Trzy kopie nie oznaczają trzech folderów na jednym dysku. Jeżeli dysk ulegnie awarii albo zostanie zaszyfrowany, wszystkie znajdujące się na nim katalogi mogą zniknąć jednocześnie.

2 – wykorzystuj dwa różne rodzaje przechowywania

Kopie powinny znajdować się na różnych typach nośników lub w odmiennych środowiskach. Może to być połączenie:

• serwera i dysku zewnętrznego,
• macierzy NAS oraz usługi chmurowej,
• lokalnego serwera kopii i repozytorium w centrum danych,
• dysku zewnętrznego i szyfrowanej przestrzeni chmurowej.

Celem jest uniknięcie sytuacji, w której jedna awaria techniczna lub wada konkretnego rozwiązania obejmie wszystkie kopie.

Dwa identyczne dyski podłączone stale do tego samego serwera nie zapewniają pełnej niezależności. Jeżeli ransomware uzyska dostęp do serwera i wszystkich widocznych zasobów, może zaszyfrować dane na obu nośnikach.

1 – jedna kopia poza główną lokalizacją

Co najmniej jedna kopia powinna znajdować się poza biurem lub innym miejscem, w którym przechowywane są podstawowe dane. Może to być:

• chmura,
• centrum danych,
• druga siedziba firmy,
• dysk przechowywany w odpowiednio zabezpieczonej lokalizacji.

Taka kopia chroni nie tylko przed ransomware, ale też przed pożarem, zalaniem, włamaniem, przepięciem lub kradzieżą sprzętu.

Kopia poza siedzibą nie powinna być stale dostępna z każdego firmowego komputera. Jeżeli wszystkie urządzenia mogą ją swobodnie modyfikować, atakujący może uzyskać do niej dostęp przez przejęte konto użytkownika.

Czy dysk zewnętrzny wystarczy jako backup?

Dysk zewnętrzny może być częścią strategii 3-2-1, ale samo podłączenie go do komputera nie rozwiązuje problemu. Jeśli nośnik przez cały czas pozostaje podłączony, ransomware może zaszyfrować również zapisane na nim kopie.

Bezpieczniejszy schemat polega na rotacji co najmniej dwóch dysków:

• pierwszy dysk jest wykorzystywany do bieżącego backupu,
• drugi pozostaje odłączony i przechowywany w bezpiecznym miejscu,
• po wykonaniu kopii nośniki są zamieniane.

Dysk należy odłączać logicznie i fizycznie po zakończeniu zapisu. Samo zamknięcie okna programu do backupu nie sprawia, że nośnik staje się niewidoczny dla systemu.

W firmie powinno być również wiadomo:

• kto odpowiada za wymianę dysków,
• kiedy wykonywana jest kopia,
• jak sprawdzany jest wynik operacji,
• gdzie przechowywany jest zapasowy nośnik,
• kto może uzyskać do niego dostęp,
• jak często dysk jest wymieniany na nowy.

Ręczny backup bez wskazanej osoby odpowiedzialnej szybko przestaje być wykonywany regularnie. Dlatego nawet w niewielkiej organizacji warto zautomatyzować zapis, pozostawiając pracownikowi jedynie wymianę lub odłączanie nośnika.

Czy chmura jest kopią zapasową?

Chmura może pełnić funkcję kopii zapasowej, ale nie każda usługa przechowywania plików jest automatycznie systemem backupowym.

Synchronizacja plików kopiuje zmiany pomiędzy urządzeniami. Jeżeli użytkownik przypadkowo usunie folder albo ransomware zaszyfruje dokumenty, zmodyfikowane pliki mogą zostać zsynchronizowane również z chmurą.

Przed wybraniem rozwiązania należy sprawdzić:

• czy usługa przechowuje poprzednie wersje plików,
• jak długo dostępne są usunięte dane,
• czy możliwe jest masowe cofnięcie zmian,
• czy administrator może trwale usunąć wszystkie wersje,
• czy backup można zablokować przed modyfikacją,
• czy dostęp chroniony jest uwierzytelnianiem wieloskładnikowym,
• czy możliwe jest zaszyfrowanie danych,
• jak wygląda odzyskiwanie całego konta lub systemu.

Chmura jest szczególnie przydatna jako kopia poza lokalizacją firmy. Nie powinna jednak być jedyną formą ochrony. Problem z kontem, usługodawcą, konfiguracją lub dostępem do internetu może uniemożliwić szybkie odzyskanie danych.

Synchronizacja, archiwizacja i backup – trzy różne procesy

Pojęcia te są często używane zamiennie, chociaż oznaczają coś innego.

Synchronizacja utrzymuje te same wersje plików na kilku urządzeniach. Jeżeli dokument zostanie zmieniony na laptopie, nowa wersja pojawi się również na drugim komputerze.

Archiwizacja służy do długoterminowego przechowywania dokumentów, które nie są już używane na co dzień, ale powinny pozostać dostępne z powodów biznesowych lub prawnych.

Backup umożliwia odtworzenie danych po awarii, błędzie albo incydencie bezpieczeństwa. Powinien obejmować historię, pozwalać wrócić do wcześniejszego stanu i być chroniony przed zmianami dokonywanymi w środowisku produkcyjnym.

Jeden system może łączyć kilka z tych funkcji, ale przed wdrożeniem trzeba upewnić się, że rzeczywiście umożliwia odzyskanie danych po zaszyfrowaniu lub masowym usunięciu plików.

Od czego zacząć tworzenie backupu w małej firmie?

Zakup dysku lub usługi chmurowej nie powinien być pierwszym krokiem. Najpierw trzeba ustalić, jakie dane posiada firma i które z nich są potrzebne do wznowienia działalności.

1. Przygotuj listę najważniejszych danych

Należy uwzględnić nie tylko foldery z dokumentami, ale wszystkie miejsca, w których pracownicy zapisują informacje.

Lista może obejmować:

• lokalne dyski komputerów,
• serwer plików,
• system księgowy,
• program magazynowy,
• bazę danych,
• pocztę elektroniczną,
• dyski sieciowe,
• usługi chmurowe,
• telefony służbowe,
• firmową stronę internetową,
• ustawienia routerów i urządzeń sieciowych.

Częstym błędem jest zabezpieczenie wspólnego folderu na serwerze przy jednoczesnym pominięciu danych zapisanych na pulpitach i laptopach pracowników.

Jeżeli dokumenty mają znajdować się wyłącznie w centralnej lokalizacji, trzeba wprowadzić taką zasadę i konsekwentnie ją egzekwować. Nie można zakładać, że pracownicy samodzielnie pamiętają o kopiowaniu lokalnych plików.

2. Ustal, ile danych firma może utracić

Inna częstotliwość backupu będzie potrzebna dla dokumentów aktualizowanych raz w miesiącu, a inna dla bazy zamówień zmieniającej się co kilka minut.

Warto odpowiedzieć na proste pytanie:

Jak duża utrata ostatnich danych jest jeszcze możliwa do zaakceptowania?

Jeżeli firma może odtworzyć dokumenty z ostatniego dnia, kopia wykonywana co noc może być wystarczająca. Jeśli utrata godziny sprzedaży oznacza setki brakujących zamówień, zapis musi odbywać się częściej.

Nie należy ustalać częstotliwości wyłącznie na podstawie wygody administratora. Punktem odniesienia powinien być koszt ponownego tworzenia danych i wpływ przestoju na działalność.

3. Określ czas potrzebny na odtworzenie pracy

Druga ważna kwestia to czas, w którym system powinien ponownie działać.

Przywrócenie pojedynczego dokumentu może zająć kilka minut. Odtworzenie całego serwera, programu księgowego, kont użytkowników i konfiguracji sieci może potrwać znacznie dłużej.

Firma powinna ustalić:

• które systemy muszą wrócić jako pierwsze,
• kto podejmuje decyzję o odtwarzaniu,
• skąd pobierane są instalatory i licencje,
• gdzie znajdują się instrukcje konfiguracji,
• czy dostępny jest sprzęt zastępczy,
• kto kontaktuje się z dostawcą oprogramowania.

Backup danych nie zawsze wystarczy do szybkiego wznowienia pracy. Potrzebne mogą być również kopie konfiguracji, obrazy systemów, dane dostępowe i dokumentacja techniczna.

4. Wybierz osobę odpowiedzialną

Kopia zapasowa nie powinna należeć do „wszystkich”, ponieważ w praktyce oznacza to, że nikt nie odpowiada za jej kontrolę.

Należy wyznaczyć:

• właściciela procesu,
• osobę zastępującą,
• administratora technicznego,
• osobę zatwierdzającą dostęp do kopii,
• pracownika odpowiedzialnego za test odzyskiwania.

W mikrofirmie kilka funkcji może pełnić jedna osoba. Odpowiedzialność powinna być jednak opisana, a nie domyślna.

Jak może wyglądać backup 3-2-1 w praktyce?

W małym biurze można zastosować stosunkowo prosty układ:

1. Pracownicy zapisują dokumenty na centralnym serwerze lub zatwierdzonej platformie.
2. Serwer wykonuje automatyczną kopię na lokalne repozytorium backupowe.
3. Druga kopia jest wysyłana do chmury albo centrum danych.
4. Najważniejsze dane trafiają dodatkowo na rotowany dysk offline.
5. Raz w miesiącu wykonywany jest test odtworzenia wybranych plików.
6. Raz na kwartał przeprowadzana jest szersza próba odzyskania systemu.

Taki układ można dopasować do skali firmy. Najważniejsze jest zachowanie niezależności kopii i ograniczenie możliwości usunięcia wszystkich backupów z jednego konta.

Przykład dla mikrofirmy

Firma korzysta z trzech laptopów i programu księgowego.

• Dane robocze znajdują się na komputerach i we wspólnym środowisku chmurowym.
• Każdego dnia wykonywana jest automatyczna kopia najważniejszych folderów.
• Poprzednie wersje plików są przechowywane przez ustalony czas.
• Raz w tygodniu dane trafiają na szyfrowany dysk zewnętrzny.
• Po wykonaniu kopii dysk jest odłączany i przechowywany poza biurem.
• Raz w miesiącu właściciel firmy przywraca testowy folder.

Przykład dla firmy z serwerem lub NAS-em

Firma przechowuje dokumenty na serwerze plików lub macierzy NAS.

• Dane produkcyjne znajdują się na serwerze.
• Lokalna kopia trafia do oddzielnego repozytorium.
• Drugi backup jest wysyłany poza siedzibę.
• Konto wykonujące backup jest oddzielone od zwykłych kont użytkowników.
• Kopie są wersjonowane i chronione przed natychmiastowym usunięciem.
• Administrator otrzymuje raport z każdej operacji.
• Odtwarzanie jest testowane na odseparowanym urządzeniu.

Sam NAS nie zawsze stanowi backup. Jeżeli jest jedynym miejscem przechowywania danych albo wszystkie jego zasoby są dostępne z kont pracowników, nadal może zostać zaszyfrowany.

Jak zabezpieczyć kopię przed usunięciem przez atakującego?

Dobra strategia backupowa powinna zakładać, że cyberprzestępca uzyska dostęp do części firmowej infrastruktury.

Oddziel konta użytkowników od kont backupowych

Pracownik nie powinien mieć możliwości usuwania kopii zapasowych. Konto używane do codziennej pracy nie może być jednocześnie administratorem systemu backupowego.

Warto utworzyć oddzielne dane logowania i używać ich wyłącznie do zarządzania kopiami. Dostęp administracyjny powinien być chroniony uwierzytelnianiem wieloskładnikowym.

Ogranicz widoczność repozytorium

Repozytorium backupowe nie powinno być zamontowane jako zwykły dysk sieciowy na każdym komputerze. Jeżeli użytkownik widzi je w Eksploratorze plików i może swobodnie zmieniać zawartość, ransomware uruchomione na jego koncie może zrobić to samo.

Stosuj kopie offline lub niezmienne

Co najmniej jedna kopia powinna być odłączona od firmowej sieci albo chroniona w sposób uniemożliwiający jej zmianę przez określony czas. CISA, NIST i CERT Polska zalecają utrzymywanie odizolowanych kopii oraz regularne sprawdzanie ich dostępności i integralności.

Kopia niezmienna nie może zostać natychmiast nadpisana lub skasowana, nawet przez konto posiadające szerokie uprawnienia. Dostępność tej funkcji zależy od wybranego systemu, repozytorium albo usługi chmurowej.

Szyfruj nośniki i transmisję

Backup chroni dostępność danych, ale musi również zabezpieczać ich poufność. Skradziony dysk zawierający niezaszyfrowane dokumenty może doprowadzić do wycieku informacji.

Szyfrowanie powinno obejmować:

• dane przechowywane na nośniku,
• transmisję do chmury lub centrum danych,
• przenośne dyski,
• kopie przechowywane poza biurem.

Klucze i hasła pozwalające odszyfrować backup należy zabezpieczyć oddzielnie. Jeżeli zostaną utracone razem z głównym środowiskiem, odzyskanie kopii może być niemożliwe.

Dlaczego trzeba testować odzyskiwanie danych?

Program może codziennie wyświetlać komunikat o poprawnym wykonaniu backupu, ale nie potwierdza to jeszcze, że firma potrafi odtworzyć cały system.

Kopia może być:

• niekompletna,
• uszkodzona,
• zaszyfrowana nieznanym kluczem,
• pozbawiona ważnej bazy danych,
• wykonana w nieprawidłowym formacie,
• zależna od niedostępnego programu,
• zainfekowana przed wykryciem incydentu.

CERT Polska zaleca testowanie odzyskiwania w praktyce, a nie tylko sprawdzanie procedur lub raportów. NIST również wskazuje, że kopie powinny być nie tylko wykonywane i przechowywane, lecz także regularnie testowane.

Najprostszy test polega na odtworzeniu kilku plików do oddzielnego folderu i sprawdzeniu, czy można je otworzyć. Nie powinien być to jednak jedyny rodzaj kontroli.

Okresowo należy sprawdzić również:

• odzyskanie całego folderu,
• przywrócenie bazy danych,
• uruchomienie programu po odtworzeniu,
• odzyskanie danych konkretnego użytkownika,
• przywrócenie systemu na innym urządzeniu,
• czas potrzebny do wznowienia pracy.

Wynik testu warto zapisać. Dokument powinien wskazywać datę, zakres, osobę odpowiedzialną, czas odzyskania oraz ewentualne błędy.

Jak często wykonywać kopie zapasowe?

Nie istnieje jedna częstotliwość odpowiednia dla każdej firmy. Harmonogram powinien wynikać z tempa zmian danych.

Przykładowo:

• baza zamówień może wymagać kopii co kilkanaście minut,
• dokumenty projektowe mogą być kopiowane kilka razy dziennie,
• foldery administracyjne mogą być zabezpieczane raz dziennie,
• obrazy całych komputerów mogą powstawać raz w tygodniu,
• archiwalne dokumenty mogą trafiać do długoterminowego repozytorium raz w miesiącu.

Im częściej wykonywany jest backup, tym mniej danych firma prawdopodobnie utraci. Zwiększa się jednak zapotrzebowanie na przestrzeń oraz liczba wersji wymagających uporządkowania.

Warto stosować politykę retencji określającą, jak długo przechowywane są:

• kopie dzienne,
• kopie tygodniowe,
• kopie miesięczne,
• kopie roczne.

Nie należy pozostawiać tylko jednej najnowszej wersji. Jeśli ransomware działało przez kilka dni przed wykryciem, ostatnia kopia może już zawierać zaszyfrowane lub zmodyfikowane pliki.

Najczęstsze błędy przy tworzeniu backupu

Kopia znajduje się na tym samym komputerze

Dodatkowy folder albo druga partycja nie zabezpiecza przed awarią dysku, kradzieżą komputera lub ransomware.

Dysk backupowy jest stale podłączony

Taki nośnik może zostać zaszyfrowany razem z podstawowymi danymi.

Firma polega wyłącznie na synchronizacji

Zmiany, usunięcia i zaszyfrowane pliki mogą zostać przeniesione również do zsynchronizowanej lokalizacji.

Nikt nie sprawdza raportów

Automatyzacja nie zwalnia z kontroli. Backup może przestać działać po zmianie hasła, braku miejsca, aktualizacji systemu albo awarii połączenia.

Kopia nie obejmuje wszystkich danych

Często pomijane są skrzynki pocztowe, lokalne foldery pracowników, bazy programów branżowych i konfiguracje urządzeń.

Wszystkie kopie można usunąć jednym kontem

Przejęcie danych administratora może wtedy otworzyć atakującemu drogę do produkcji i backupu jednocześnie.

Firma nigdy nie przeprowadziła odtwarzania

Pierwszy test nie powinien odbywać się dopiero po ataku.

Kopia zawiera złośliwe oprogramowanie

Backup wykonany po infekcji może przechowywać malware. Przed przywróceniem należy ustalić, kiedy rozpoczął się incydent, i wybrać wersję utworzoną przed tym momentem.

Punkt przywracania Windows również nie jest pełną kopią danych. Różnicę opisujemy w artykule czy przywracanie systemu usunie wirusy.

Co zrobić z kopiami po ataku ransomware?

Po zauważeniu zaszyfrowanych plików należy najpierw odizolować zainfekowane urządzenia. Nie podłączaj od razu dysku z backupem i nie rozpoczynaj przywracania w działającym, zainfekowanym środowisku.

Prawidłowa kolejność obejmuje:

1. Odłączenie zaatakowanych komputerów od sieci.
2. Zatrzymanie automatycznej synchronizacji.
3. Zabezpieczenie dostępnych kopii.
4. Ustalenie źródła i zakresu infekcji.
5. Sprawdzenie, kiedy wykonano ostatnią czystą kopię.
6. Oczyszczenie lub ponowne przygotowanie środowiska.
7. Przeskanowanie danych przed odtworzeniem.
8. Przywracanie systemów według wcześniej ustalonej kolejności.
9. Zmianę przejętych haseł i danych dostępowych.
10. Obserwację środowiska po wznowieniu pracy.

Nie należy przywracać danych na komputerze, na którym ransomware nadal działa. Złośliwy program może ponownie zaszyfrować odzyskane dokumenty.

Szerszy proces naprawczy opisuje artykuł jak przywrócić system operacyjny po ataku wirusa.

Czy backup 3-2-1 wystarczy do ochrony firmy?

Zasada 3-2-1 ogranicza skutki ataku, ale nie zapobiega samemu włamaniu. Powinna być częścią szerszego systemu bezpieczeństwa obejmującego:

• aktualizowanie systemów i aplikacji,
• ochronę antywirusową lub EDR,
• uwierzytelnianie wieloskładnikowe,
• ograniczanie uprawnień administratora,
• ochronę poczty,
• szkolenia pracowników,
• segmentację sieci,
• kontrolę zdalnego dostępu,
• monitorowanie zdarzeń,
• plan reagowania na incydent.

Podstawowe zabezpieczenia urządzeń zostały opisane w poradniku jak zabezpieczyć system operacyjny.

Backup nie powstrzyma wycieku danych. Współczesne grupy ransomware mogą wykraść dokumenty przed ich zaszyfrowaniem, a następnie grozić publikacją. Kopia zapasowa umożliwi wznowienie pracy, ale nie cofnie ujawnienia poufnych informacji. Z tego powodu równie ważne są ograniczenia dostępu, szyfrowanie i szybkie wykrywanie podejrzanych działań.

Lista kontrolna backupu 3-2-1

Sprawdź, czy w firmie:

• istnieją trzy kopie najważniejszych danych,
• wykorzystywane są dwa rodzaje przechowywania,
• jedna kopia znajduje się poza główną lokalizacją,
• co najmniej jeden backup jest odizolowany lub chroniony przed zmianą,
• kopie wykonują się automatycznie,
• raporty są regularnie sprawdzane,
• używane są oddzielne konta administracyjne,
• dostęp chroniony jest MFA,
• nośniki są szyfrowane,
• znany jest okres przechowywania wersji,
• wskazano osobę odpowiedzialną,
• backup obejmuje pocztę, bazy danych i komputery pracowników,
• regularnie testowane jest przywracanie,
• firma zna kolejność odtwarzania systemów,
• istnieje kopia instrukcji, licencji i konfiguracji,
• wiadomo, kto podejmuje działania po incydencie.

Jeżeli na kilka punktów odpowiedź brzmi „nie wiem”, strategia backupowa wymaga przeglądu.

Jak wdrożyć zasadę 3-2-1 bez dużego działu IT?

Mała firma nie musi od razu budować rozbudowanego centrum danych. Może zacząć od uporządkowania miejsc zapisu, automatycznej kopii najważniejszych folderów, szyfrowanego dysku offline oraz chmury z wersjonowaniem.

Najważniejsze jest stworzenie procesu, który działa bez ciągłego pamiętania o nim. Backup powinien wykonywać się automatycznie, zgłaszać błędy i być regularnie kontrolowany.

Dobra kopia zapasowa to taka, która przetrwa awarię podstawowych urządzeń, przejęcie konta użytkownika i zaszyfrowanie firmowej sieci. Zasada 3-2-1 tworzy solidną podstawę, ale dopiero izolacja, odpowiednie uprawnienia i testy odtwarzania sprawiają, że kopia może rzeczywiście uratować firmę przed długim przestojem.