Backup to nie wszystko. Dlaczego wiele firm przez cały czas nie odzyska danych po cyberataku?

Kopia zapasowa jako sposób na odzyskiwanie danych? Nie tym razem…

W nocy doszło do ataku ransomware na firmową infrastrukturę. „Nic dobrego, ale wyjdziemy z tego szybko” – powiedział administrator systemu. Był pewny siebie, bo przecież w firmie od zawsze tworzyło się kopie zapasowe. niedługo jednak musiał wycofać się z tych słów. Firma miała backup, ale: niezaszyfrowany, na tym samym serwerze i niesprawdzany od lat. Krótko mówiąc: w tej sytuacji – całkowicie bezużyteczny.

Backup i (fałszywe) poczucie bezpieczeństwa

Pomiędzy kopią zapasową a odzyskaniem danych nie da się postawić znaku równości. Stwierdzenie, iż backup pozwala gwałtownie poradzić sobie z utratą danych, bywa prawdziwe, ale nie zawsze. Dla wielu firm, urzędów i instytucji określenie „kopia zapasowa” brzmi jak… gwarancja spokoju. A także zapewnienie, iż nic więcej nie trzeba robić, a w razie ataku ransomware lub innego zagrożenia być może dojdzie do chwilowych problemów, ale uda się zachować ciągłość działania systemu.

W praktyce backup często istnieje, ale nie zapewnia bezpieczeństwa danych, bo:

● Nikt go nie sprawdza, a bez regularnej kontroli trudno wykryć, czy kopia zapasowa obejmuje wszystkie potrzebne dane, nie zawiera błędów i czy… faktycznie jest wykonywana.

● Nie przeprowadza się testów odtworzeniowych – przez to nie można sprawdzić, czy procedury działają w praktyce. Wiele organizacji dopiero podczas awarii dowiaduje się, iż przywrócenie danych trwa dłużej niż zakładano lub iż kopia zapasowa jest niepełna.

● Znajduje się w tej samej lokalizacji, co serwer – wówczas jedno zdarzenie (incydent bezpieczeństwa, ale również fizyczne uszkodzenie sprzętu) może pozbawić organizację dostępu i do danych, i do kopii zapasowej.

● Nie ma wersji offline – jeżeli backup jest stale podłączony do sieci, może zostać zaatakowany przez ransomware.

● Nie ma wersji immutable backup

Najczęstsze błędy popełniane przy tworzeniu kopii zapasowych

Wbrew pozorom to nie brak backupu jest najczęściej popełnianym błędem w firmach, urzędach i innych instytucjach. Kopia zapasowa przeważnie istnieje. Problemem jest jednak często to, iż została wdrożona lata temu, a od tego czasu nikt nie aktualizował systemu, mimo iż środowisko IT się zmieniło, a ryzyko cyberataków znacznie wzrosło.

Najczęstsze błędy związane z niewłaściwym zarządzaniem backupami w firmach i urzędach to:

1. Tylko jedna kopia danych – w przypadku jej uszkodzenia, przypadkowego usunięcia lub zaszyfrowania przez ransomware, organizacja natychmiast traci dostęp do danych.
Jak naprawić ten błąd: Warto stosować zasadę backupu 3-2-1-1-0: co najmniej trzy kopie danych są przechowywane na dwóch różnych typach nośników, jedna kopia znajduje się poza podstawową lokalizacją, jedna jest offline, odseparowana lub niezmienna (immutable), a poprawność kopii i procesu odtwarzania jest regularnie weryfikowana.

2. Backup na tym samym serwerze lub w tej samej lokalizacji – to jeden z najczęściej spotykanych błędów. o ile kopie zapasowe znajdują się na tym samym serwerze, macierzy lub w tej samej serwerowni co dane produkcyjne, może łatwo dojść do utraty danych. Powodem bywa awaria sprzętu, pożar, zalanie czy atak
ransomware, w wyniku których zostają jednocześnie zniszczone oryginalne dane i ich kopie.
Jak naprawić ten błąd: Przynajmniej jedną kopię zapasową warto przenieść poza główną infrastrukturę – do innej lokalizacji lub odpowiednio zabezpieczonej chmurze.

3. Backup podłączony do domeny – o ile w takim przypadku cyberprzestępcy przejmą konto administratora, mogą łatwo usunąć lub zaszyfrować kopie zapasowe.
Jak naprawić ten błąd: Warto odseparować środowisko backupowe od domeny produkcyjnej. Można również pomyśleć o ograniczeniu uprawnień administratora, by w razie przejęcia dostępu do konta atakujący mieli mniej możliwości szkodliwego działania.

4. Brak monitoringu procesu tworzenia kopii – backup może przestać działać z wielu powodów: braku miejsca na dysku, zmiany uprawnień, błędu aplikacji lub uszkodzenia nośnika danych. jeżeli nikt nie monitoruje poprawności wykonywania kopii i nie analizuje raportów, osoby odpowiedzialne za bezpieczeństwo nie tylko nie dowiedzą się, dlaczego backup nie jest zapisywany prawidłowo, ale nie będą w ogóle wiedziały, iż nie jest zapisywany. Organizacja może przez wiele dni lub tygodni funkcjonować w przeświadczeniu, iż w razie cyberataku lub innego incydentu będzie można łatwo odzyskać dane.
Jak naprawić ten błąd: Należy wdrożyć monitoring tworzenia kopii zapasowych dla firm lub urzędów, a także analizować raporty. Warto rozważyć automatyzację – konfiguracja powiadomień o błędach skróci czas wykrycia problemu i reakcji.

5. Brak szyfrowania – ten błąd może mieć szczególnie dotkliwe konsekwencje, jeżeli w firmie przechowuje się dokumenty kadrowe, informacje finansowe czy dane osobowe. o ile nie są szyfrowane, ich kradzież lub nieuprawniony dostęp mogą doprowadzić do wycieku poufnych informacji i naruszenia przepisów dotyczących ochrony danych.
Jak naprawić ten błąd: Backup powinien być szyfrowany zarówno podczas przesyłania danych, jak i w miejscu ich przechowywania. Dzięki temu choćby jeżeli do danych uzyskają dostęp osoby nieuprawnione, pozostaną one dla nich nieczytelne.

6. Brak testów odtworzeniowych – przy braku takich testów dopiero przy rzeczywistej awarii można odkryć, iż kopia jest niekompletna, uszkodzona lub proces przywracania danych trwa znacznie dłużej niż zakładano.
Jak naprawić ten błąd: Regularnie przeprowadzając testy odtworzeniowe. Za ich pomocą można nie tylko sprawdzić, czy dane udaje się odzyskać, ale także oszacować czas potrzebny na przywrócenie systemów do działania. Organizacja, w której przeprowadza się testy odtworzeniowe, może lepiej wypracować procedury obowiązujące w przypadku utraty danych.

7. Brak osoby odpowiedzialnej za backup – w wielu organizacjach nie wiadomo, kto odpowiada za nadzór nad kopiami zapasowymi dla firmy, urzędu czy instytucji. Zadanie jest wykonywane "przy okazji"; przez administratora, informatyka lub zewnętrzną firmę, ale zakres obowiązków nie zostaje jasno określony. W efekcie nikt nie monitoruje, czy kopia jest wykonywana poprawnie, nie analizuje alertów ani nie planuje testów odtworzeniowych.
Jak naprawić ten błąd: Poprzez jasny podział obowiązków i odpowiedzialności w zespole IT. Mniejsze organizacje, którym trudno byłoby oddelegować całość zadań związanych z zarządzaniem backupem, mogą rozważyć powierzenie ich zewnętrznemu partnerowi IT.

Ostatniemu z punktów warto się przyjrzeć szczególnie wnikliwie. Brak wystarczającej liczby specjalistów lub problem z optymalnym podziałem obowiązków w zespole IT to bolączka wielu polskich firm i urzędów. Często zdarza się, iż za całą infrastrukturę IT odpowiada jedna osoba. W takiej sytuacji trudno się dziwić, iż kwestia regularnego monitorowania, testowania backupów czy poszukiwania nowych rozwiązań i technologii schodzi na dalszy plan. Ustępuje miejsca bieżącym sprawom, takim jak rozwiązywanie zgłoszeń użytkowników, zapewnianie dostępności systemów, dbanie o sprawne działanie serwerów czy zakupy sprzętu.

Błędy związane z zarządzaniem kopiami zapasowymi w firmie są o tyle ryzykowne, iż bardzo często nie widać ich skutków – do pierwszej sytuacji, gdy dochodzi do incydentu bezpieczeństwa i utraty danych. Pozornie wszystko może działać prawidłowo: backupy są regularnie zapisywane, a system nie zgłasza problemów. Nie oznacza to jednak, iż ich nie ma. Gdy stają się widoczne dopiero przy awarii, ataku lub innym zdarzeniu, ich konsekwencje są znacznie poważniejsze.

Nie backup, ale strategia. To ona naprawdę działa

Każda organizacja potrzebuje dobrego backupu, ale nie takiego, który jest traktowany „pojedynczo”, bez powiązania z innymi obszarami bezpieczeństwa IT. Tworzenie kopii zapasowej to tylko proces czysto techniczny, który sam w sobie nie zapewni pełnej ochrony danych. Dbanie o bezpieczeństwo infrastruktury IT zaczyna się dużo wcześniej, zanim jeszcze dojdzie do ataku i utraty danych.

Na początek: dobra administracja IT

Zdecydowanie łatwiej chronić przed zagrożeniami systemy, które są adekwatnie zarządzane. Dobra administracja IT zapewnia utrzymanie serwerów, pamięci masowych, systemów operacyjnych i aplikacji, z których wykonywane są kopie zapasowe dla firmy. Obejmuje również zarządzanie uprawnieniami użytkowników, aktualizacje systemu oraz dokumentację środowiska IT. Gdy wszystkie te obszary działają sprawnie, bardziej prawdopodobne jest, iż backup (oczywiście prawidłowo skonfigurowany i regularnie testowany) będzie obejmował wszystkie najważniejsze systemy, a jego zapisywanie będzie się odbywało zgodnie z harmonogramem.

Na bieżąco: monitoring bezpieczeństwa

Dobrze działający backup pozwala gwałtownie przywrócić normalne działanie systemów i odzyskać dane. Organizacjom zależy jednak przede wszystkim na tym, by do utraty danych dochodziło jak najrzadziej – a gdy już zagrożenia się pojawią, były wykrywane i eliminowane jak najszybciej. To właśnie łączy zarządzanie backupem danych z monitoringiem bezpieczeństwa.

Jeśli systemy są na bieżąco monitorowane, można gwałtownie wykryć podejrzane zdarzenia, takie jak próby przejęcia kont administratorów, uruchomienie złośliwego systemu czy nietypowa aktywność w sieci. To powoduje, iż atakujący mają mało czasu w szkodliwe działania i nie udaje im się zaszyfrować danych lub kopii zapasowych, a także dotrzeć do innych systemów.

Na wszelki wypadek: plan ciągłości działania

O powodzeniu można mówić nie tylko wtedy, gdy firmie czy urzędowi uda się gwałtownie odzyskać utracone w wyniku cyberataku lub innego incydentu dane. Równie ważne jest to, jak gwałtownie będzie mogła powrócić do normalnej pracy i maksymalnie ograniczyć skutki przestojów. Właśnie temu służy plan ciągłości działania – określa on sposób postępowania w sytuacjach kryzysowych, zakres odpowiedzialności oraz działania, które pozwalają utrzymać najważniejsze procesy i sprawnie odtworzyć pełną działalność.

Plan ciągłości działania (Business Continuity Plan, BCP) to zbiór procedur określających, jak organizacja ma funkcjonować podczas awarii, cyberataku lub innego zdarzenia zakłócającego jej działalność oraz w jaki sposób wrócić do normalnej pracy.

Dzięki niemu wiadomo:

● Które systemy i dane są krytyczne dla funkcjonowania organizacji?

● Jak długo mogą pozostawać niedostępne, zanim zacznie to powodować poważne straty?

● Kto odpowiada za poszczególne działania w przypadku awarii?

● Jakie czynności należy wykonać i w jakiej kolejności?

● Z kim należy się skontaktować: dostawcami usług, producentami oprogramowania, firmami zewnętrznymi?

● W jaki sposób poinformować pracowników, klientów lub mieszkańców o problemie?

● Jak zweryfikować, iż wszystkie systemy po przywróceniu działają poprawnie?

Co ważne, takiego planu nie tworzy się tylko raz. jeżeli nie jest regularnie weryfikowany i aktualizowany, może się okazać, iż w sytuacji kryzysowej będzie całkowicie nieprzydatny. Plan ciągłości działania powinien odpowiadać aktualnemu stanowi infrastruktury IT – przy każdej zmianie powinno się modyfikować procedury. Dokument ma mieć przede wszystkim zastosowanie praktyczne i pomagać w jak najszybszym przywróceniu normalnego działania systemów. To może się udać tylko dzięki regularnym testom odtwarzania danych i ćwiczeniom scenariuszy awaryjnych. Warto wpisać takie działania w harmonogram pracy zespołu IT.

Rozbudowana strategia ochrony danych = odporność organizacji

Gdy firmie, urzędzie, jednostce administracyjnej czy instytucji funkcjonują równolegle wszystkie te rozwiązania, dane są bezpieczne nie tylko na etapie ich odzyskiwania. W tak chronionych systemach IT znacznie rzadziej dochodzi do incydentów bezpieczeństwa, a gdy już pojawi się zagrożenie, jego wpływ jest minimalny. Backup przestaje być narzędziem o ograniczonej skuteczności, a bezpieczeństwo przestaje opierać się na tym pojedynczym elemencie.

Jak wdrożyć strategię ochrony danych, gdy organizacja nie ma do dyspozycji licznego zespołu IT? W takiej sytuacji nie trzeba iść na trudne kompromisy. Każda firma, urząd czy instytucja, niezależnie od wielkości i zasobów, powinna traktować ochronę danych jako priorytet. Nie musi to jednak oznaczać rozbudowy własnego zespołu IT. Zadania wymagające specjalistycznej wiedzy i kompetencji można powierzyć zewnętrznym partnerom IT. Sprawdza się to np. w przypadku administracji środowiskiem IT, monitoringu bezpieczeństwa czy zarządzania backupem. By skutecznie chronić firmowe zasoby, zewnętrzny partner IT wykonuje analizę środowiska IT, wdraża zabezpieczenia, wykonuje pierwsze kopie zapasowe i testy. Dzięki temu może jak najszybciej zacząć skutecznie chronić dane.

W takim modelu współpracy działa Secure Vault. Firma wspiera swoich klientów w jak najszybszym i skutecznym odzyskiwaniu danych po incydentach. Nie ogranicza się do tworzenia kopii zapasowych i zarządzania nimi, ale również przygotowuje i regularnie testuje scenariusze Disaster Recovery. Wsparcie jest dostosowane do poziomu ryzyka w organizacji.

Na czym polega Disaster Recovery?

Strategia ochrony danych nie kończy się w momencie opanowania zagrożenia. Po ataku, uszkodzeniu lub innym incydencie środowisko IT musi zostać odbudowane – jak najszybciej i w jak największym stopniu. Takie działania również potrzebują dobrego planu: Disaster Recovery.

Warto rozróżnić oba pojęcia: plan ciągłości działania i Disaster Recovery. Obie procedury odpowiadają na nieco inne pytania:

● Plan ciągłości działania na „Jak utrzymać najważniejsze procesy organizacji mimo sytuacji kryzysowej?”.

● Disaster Recovery na „Jak przywrócić systemy IT i dane, aby organizacja mogła wrócić do normalnej pracy?”.

Przykład: firma została zaatakowana przez ransomware. W planie ciągłości działania można znaleźć informacje, kto decyduje o uruchomieniu procedur awaryjnych, jak komunikować awarię klientom i pracownikom, kto odpowiada za koordynację działań, które procesy powinny zacząć działać w pierwszej kolejności. W Disaster Recovery są opisane kolejne kroki: odizolowanie zainfekowanych systemów, przywrócenie danych z kopii zapasowych, przywrócenie dostępu do serwerów i aplikacji. Dobry plan Disaster Recovery daje jasne wskazówki: co należy zrobić, kto ma to zrobić i ile czasu powinno to zająć, aby organizacja mogła wrócić do normalnej pracy. Wykorzystuje także wskaźniki:

● RPO (Recovery Point Objective) – maksymalną ilość danych, którą organizacja jest w stanie utracić w wyniku awarii. jeżeli backup jest wykonywany rzadko, utracona ilość danych może okazać się zbyt duża. Określenie RPO ułatwia wówczas podjęcie decyzji o częstszym wykonywaniu kopii zapasowej.

● RTO (Recovery Time Objective) – maksymalny czas potrzebny na przywrócenie działania systemów po awarii. To nie jest wartość określona „z góry”. Każda organizacja może samodzielnie ocenić, jak brak dostępu do danych i systemów wpływa na jej działalność. Przykładowo: firma może oszacować, iż sklep internetowy
nie powinien być niedostępny dłużej niż kilkanaście minut (po tym czasie problem prawdopodobnie zauważą klienci), z kolei niedziałający system archiwizacji nie wpłynie znacząco na funkcjonowanie urzędu przez kilka godzin.

Podobnie jak plan ciągłości działania, Disaster Recovery również powinno się poddawać regularnym testom. Dzięki nim można sprawdzić, czy procedury odpowiadają rzeczywistemu stanowi infrastruktury IT, a zakładane RPO i RTO są możliwe do osiągnięcia.

Testy Disaster Recovery to także okazja do przypomnienia specjalistom IT o ich zakresach odpowiedzialności i obowiązkach związanych z przywracaniem danych.

Nowoczesny model ochrony danych: monitoring, testowanie, raportowanie

Jeśli ochrona danych ma być skuteczna, nie powinna opierać się wyłącznie na technologii. Można skonfigurować backup, ale w ten sposób wypełni się tylko jedno z założeń strategii bezpieczeństwa. Kopia zapasowa może nie powstać z wielu powodów (problemów z połączeniem, błędów w oprogramowaniu czy nieprawidłowej konfiguracji). choćby jeżeli zostanie zapisana, ale w niewłaściwy sposób lub w niewłaściwym miejscu, nie umożliwi odzyskania danych.

Aby zapewnić maksymalne bezpieczeństwo danych i szybkie ich odzyskiwanie, organizacja potrzebuje:

● Pewności, iż kopie zapasowe rzeczywiście powstają. Sprawdza się to dzięki monitoringu backupów. W tym procesie można upewnić się, iż backupy są zapisywane zgodnie z harmonogramem, wszystkie wymagane dane trafią do kopii, a proces jest wolny od błędów. Dzięki monitoringowi można wykryć problemy zaraz po tym, jak się pojawią, a nie dopiero po incydencie bezpieczeństwa. Aby był skuteczny, powinny mu towarzyszyć inne działania: analiza błędów, sprawdzanie retencji (tego, jak długo są przechowywane kopie), kompletności danych, zgodności parametrów RPO i RTO z założeniami oraz wykonywanie testów odtworzeniowych.

● Danych gromadzonych we adekwatnym miejscu, czyli poza główną lokalizacją (backup offsite). Dzięki temu jedno zdarzenie nie powoduje utraty dostępu do całego środowiska IT. W organizacjach objętych wymaganiami NIS2 backup nie powinien być traktowany jako pojedyncze narzędzie, ale jako element szerszego podejścia do odporności i ciągłości działania. Więcej na ten temat: NIS2 a ciągłość działania wymagania dla bacupu i DR (Disaster Rwecovery).

● Kopii zapasowych odpornych na modyfikację – immutable backup chroni przez określony czas przed sytuacjami, gdy atakujący zdobywa uprawnienia administratora i w pierwszej kolejności próbuje usunąć lub zaszyfrować kopie zapasowe.

● Pewności, iż backup działa w praktyce – w tym celu przeprowadza się testy odtworzeniowe. Dzięki nim można wykryć potencjalne problemy z tworzeniem kopii zapasowych, zanim spowodują one nieodwracalną utratę danych.

● Rzetelnych informacji zamiast domysłów – takich informacji dostarczają raporty i analizy backupów. Na ich podstawie można stwierdzić, czy wszystkie backupy zostały wykonane, ile danych zostało zapisanych, jakie błędy wystąpiły. Raportowanie jest przydatne również w organizacjach, w których często realizowane są audyty i kontrole.

● Dzielenia się wiedzą – takiego, za pomocą którego informacje na temat ochrony danych nie pozostają w głowie jednego specjalisty. W dzieleniu się wiedzą pomaga tworzona na bieżąco dokumentacja: na temat konfiguracji backupu, zakresu zabezpieczanych danych, miejsca przechowywania kopii czy procedur na wypadek awarii. Im więcej osób będzie miało dostęp do tych informacji, tym szybciej będzie można reagować na problemy i działać w sytuacji kryzysowej.

Nowoczesny model ochrony danych składa się z technologii, procedur i osób, które wiedzą jak postępować i biorą na siebie odpowiedzialność. Zaczyna się także dużo wcześniej, gdy pozornie danym w firmie, urzędzie czy instytucji nie grozi niebezpieczeństwo: na poziomie administrowania systemami IT oraz monitoringu bezpieczeństwa.

Nawet najlepiej przygotowany system kopii zapasowych nie zastąpi dobrze zarządzanego środowiska IT. Aktualizacje, adekwatna konfiguracja serwerów, zarządzanie uprawnieniami oraz dokumentacja znacząco zmniejszają ryzyko awarii i utraty danych. To obszar, w którym dobrze sprawdza się outsourcing IT, zapewniający dostęp do najnowszej wiedzy i specjalistów o wysokich kompetencjach.

Coraz więcej organizacji inwestuje również w stały monitoring bezpieczeństwa, ponieważ im szybciej wykryty zostanie atak, tym mniejsze ryzyko uruchomienia procedur odtwarzania danych. W dojrzałych modelach cyberbezpieczeństwa monitoring SOC 24/7 coraz częściej stanowi jeden z elementów szerszej strategii ochrony danych i ciągłości działania.

Organizacje, które myślą o backupie jako o narzędziu, mają do dyspozycji… tylko narzędzie. W kwestii ochrony i odzyskiwania danych można – i warto – zrobić znacznie więcej. Gdy ten obszar stanie się priorytetem i elementem długofalowej strategii, organizacja zyskuje nie tylko pełne, dostępne kopie zapasowe, ale przede wszystkim staje się zdolna do szybkiego odzyskania danych i powrotu do normalnego działania po awarii, cyberataku lub innym zdarzeniu kryzysowym.

Autor: Jakub Marciniak
Założyciel IT Leader • Współzałożyciel VigilHorizon, SecureVault i VectronDevices
Od kilkunastu lat projektuje i rozwija środowiska IT dla przedsiębiorstw oraz sektora publicznego. Specjalizuje się w zarządzaniu infrastrukturą IT, outsourcingu IT, ciągłości działania, cyberbezpieczeństwie oraz przygotowaniu organizacji do wymagań NIS2 i Krajowego Systemu Cyberbezpieczeństwa.