Strategia kopii zapasowej 3-2-1 w małej firmie i w domu bez wielkiego budżetu

Utrata bazy klientów, dokumentów księgowych, zdjęć lub projektów może zatrzymać firmę i pozbawić domowych użytkowników ważnych danych. Przyczyną może być awaria, pomyłka, kradzież, pożar albo ransomware. Dobrze zaprojektowana kopia zapasowa nie zapobiega każdemu incydentowi, ale jest najważniejszą warstwą umożliwiającą odzyskanie danych bez ulegania żądaniom przestępców.

Dlaczego sam dysk zewnętrzny to za mało?

Dysk USB podłączony na stałe do komputera nie zapewnia pełnej ochrony. Ransomware może zaszyfrować dostępne nośniki i zasoby sieciowe, a przepięcie, kradzież lub pożar mogą zniszczyć komputer razem z kopią. Dysk zewnętrzny jest dobrym elementem strategii, jeśli po wykonaniu backupu zostaje bezpiecznie odłączony albo dostęp do niego jest odpowiednio ograniczony.

Reguła 3-2-1 backup – co oznacza?

• 3 egzemplarze danych: jedna wersja robocza oraz dwie niezależne kopie zapasowe.
• 2 różne nośniki lub niezależne systemy: np. dane na SSD komputera i lokalna kopia na odłączanym HDD albo serwerze NAS.
• 1 kopia poza lokalizacją: np. zaszyfrowane repozytorium chmurowe lub rotacyjny dysk przechowywany w innym bezpiecznym miejscu.

Dwie partycje na jednym dysku nie są dwiema niezależnymi kopiami. RAID w serwerze NAS zwiększa dostępność po awarii pojedynczego dysku, lecz nie zastępuje backupu. Warto też oceniać niezależność kont administratorów, zasilania i dostępu sieciowego.

Tani wariant 3-2-1 dla domu

• Oryginał: pliki na komputerze lub telefonie.
• Kopia lokalna: zewnętrzny dysk HDD podłączany tylko na czas wykonywania kopii.
• Kopia poza domem: szyfrowana chmura lub drugi dysk przechowywany w innej bezpiecznej lokalizacji.

Nie musisz kopiować wszystkiego do droższej chmury. Najpierw zabezpiecz dokumenty, zdjęcia rodzinne, klucze odzyskiwania i pliki, których nie można ponownie pobrać. Filmy, instalatory i łatwo odtwarzalne dane mogą pozostać w tańszej warstwie lokalnej.

Tani wariant dla małej firmy

• Oryginał: pliki robocze, poczta, dokumenty księgowe, baza klientów i konfiguracje aplikacji.
• Kopia lokalna: NAS albo rotacja co najmniej dwóch szyfrowanych dysków zewnętrznych. Jeden z dysków pozostaje odłączony.
• Kopia off-site: repozytorium chmurowe z wersjonowaniem i retencją albo zaszyfrowany nośnik przechowywany poza biurem.

Usługi takie jak Backblaze B2, Google Workspace czy Proton Drive różnią się przeznaczeniem, funkcjami i sposobem rozliczania. Samo przechowywanie lub synchronizowanie plików w chmurze nie zawsze jest pełnym backupem. Przed wyborem sprawdź historię wersji, retencję, masowe odtwarzanie, szyfrowanie, możliwość użycia MFA i ochronę przed usunięciem kopii.

Krok 1. Ustal, co trzeba chronić

Spisz lokalizacje plików, poczty, baz danych i konfiguracji. W firmie wyznacz właściciela każdego zasobu. Uwzględnij również dane przechowywane na laptopach pracowników, telefonach, w usługach SaaS i na skrzynkach pocztowych.

RPO określa, ile najnowszych danych firma może utracić, a RTO — jak szybko ma wznowić działanie. Jeśli baza sprzedażowa ma RPO wynoszące dwie godziny, jedna kopia wykonywana nocą nie wystarczy. Są to cele do zweryfikowania w praktycznym teście, a nie gwarancje dostawcy.

Krok 2. Zautomatyzuj wykonywanie kopii

Najlepszy harmonogram to taki, który odpowiada tempu zmian danych. Dokumenty robocze mogą wymagać kopii codziennie, a aktywna baza danych nawet częściej. Automatyzacja zmniejsza ryzyko, że ktoś zapomni podłączyć nośnik lub uruchomić zadanie, ale alert o błędzie musi trafiać do konkretnej osoby.

Bazy danych wymagają kopii spójnej z aplikacją: eksportu albo obsługiwanego mechanizmu backupu. Zwykłe skopiowanie otwartych plików bazy może nie wystarczyć. Uwzględnij również konfiguracje, licencje i instalatory potrzebne do ponownego uruchomienia systemu.

Krok 3. Ogranicz dostęp ransomware do kopii

• Używaj osobnego konta administracyjnego do systemu backupu.
• Włącz MFA i ogranicz możliwość kasowania historii.
• Co najmniej jedną kopię przechowuj offline albo w poprawnie skonfigurowanym repozytorium niezmiennym.
• Szyfruj kopie, ale nie przechowuj jedynego klucza odszyfrowującego na backupowanym komputerze.
• Zapisz bezpieczną procedurę awaryjnego dostępu dla upoważnionej osoby.

Immutable backup blokuje zmianę lub usunięcie danych przez ustalony okres. Funkcje takie jak Object Lock wymagają jednak prawidłowego dobrania retencji, trybu i uprawnień. Sama obecność opcji „immutable” nie gwarantuje ochrony przed źle skonfigurowanym kontem administratora.

Krok 4. Nie myl synchronizacji z backupem

Synchronizacja może szybko przenieść przypadkowe usunięcie lub zaszyfrowanie pliku na pozostałe urządzenia. Historia wersji i kosz mogą pomóc, ale trzeba sprawdzić długość retencji, możliwość usunięcia historii po przejęciu konta oraz procedurę odtworzenia setek lub tysięcy plików.

Krok 5. Testuj odzyskiwanie danych

Kopia zapasowa, której nie udało się odtworzyć, nie daje potwierdzonej ochrony. Po wdrożeniu wykonaj próbne odzyskanie plików i bazy danych w odizolowanym środowisku. Sprawdź, czy dokumenty się otwierają, aplikacja działa, a instrukcja jest zrozumiała również dla zastępcy administratora.

• Codziennie: kontroluj status zadań i alerty o błędach.
• Co miesiąc: odtwórz kilka losowych plików.
• Co kwartał: przeprowadź szerszy test odtworzenia folderu, bazy danych lub kluczowego systemu.
• Po dużej zmianie: ponów test po migracji, zmianie aplikacji, repozytorium lub polityki retencji.

Checklista bezpiecznego backupu

Kontrola	Status
Istnieją trzy egzemplarze najważniejszych danych	☐
Kopie nie zależą od jednego urządzenia i konta	☐
Jedna kopia znajduje się poza lokalizacją	☐
Jedna kopia jest offline lub niezmienna	☐
Kopie są szyfrowane, a klucze zabezpieczone	☐
Błędy backupu są monitorowane	☐
Odtworzenie zostało pomyślnie przetestowane	☐

Pomoc dla Twojej firmy

Chcesz uporządkować kopie zapasowe w swojej firmie? Napisz do CyberTrustEdu przez formularz lub e-mail, aby omówić zakres możliwego wsparcia. Zobacz także opis usług.

Źródła i dalsza lektura

• CISA – StopRansomware Guide
• NCSC – Small organisations guide to cyber security