hero
blog

3-2-1 backup

Przeprowadzone badania wskazują, że:

43% ankietowanych manualnie przenosi dane na pendrive lub zewnętrzny dysk twardy.

35% ankietowanych przenosi dane zapasowe do darmowej chmury np. Google Drive, Microsoft OneDrive, iCloud.

28% ankietowanych tworzy kopię zapasową na innym dysku, ale wciąż na tym samym komputerze. Tutaj warto zaznaczyć, że nie gwarantuje  to żadnego bezpieczeństwa, w przypadku wystąpienia któregokolwiek ze zdarzeń opisanych powyżej. Takie pliki tracone są razem z oryginałem, często bezpowrotnie.

12% ankietowanych trzyma kopie w płatnych chmurach.

8% ankietowanych przesyła pliki na prywatne serwery.

Poprzednie wpisy omówiły zasady zachowywania bezpieczeństwa przy korzystaniu ze smartfonów oraz przy tworzeniu haseł. Kolejnym ważnym aspektem bezpieczeństwa cyfrowego jest tworzenie w organizacji kopii zapasowych. Należy na początku ustalić zasady i politykę tworzenia kopii. Przy ich wyborze warto uwzględnić retencję danych, planowany czas odzyskania, rodzaj kopii (przyrostowa, całkowita), typ danych, mechanizmy tworzenia kopii (online i offline) i jego szybkość oraz planowane medium.

Aby backup był skuteczny, konieczne jest tworzenie backupów regularnie, w zalecanym modelu 3-2-1, co oznacza, że ważne pliki powinny być przechowywane w 3 kopiach, na co najmniej 2 różnych nośnikach, z czego 1 z nich powinien znajdować się poza siedzibą firmy.

Niestety najnowsze dane nie napawają nas optymizmem, tym bardziej w obliczu narastającej fali ataków ransomware (polegających na szyfrowaniu dysków i wymuszeniach, płatnych najczęściej w kryptowalutach) oraz stale rosnącej kwoty zapłaconych okupów. W Polsce tylko 24% ankietowanych deklaruje, że wykonuje backup regularnie a 26% nie robi go nigdy! Wśród pozostałych ankietowanych 33% wykonuje go ad hoc, kolejne 17% dostrzega jego znaczenie dopiero po niepożądanym zdarzeniu. Badania statystyczne przeprowadziła pracownia SW Research na próbie ponad 1000 firm w marcu 2021r.

Wszyscy (osoby prywatne i firmy) niezależnie od wielkości, branży czy ilości lokalizacji, powinni regularnie wykonywać kopie zapasowe. Nie sposób przecenić znaczenia bezpieczeństwa przechowywanych i przetwarzanych informacji, jak również naszej za nie odpowiedzialności. Dobra procedura tworzenia kopii zapasowych może okazać się pomocna nie tylko w przypadku ataku cyfrowego, ale też przy okazji zdarzeniach losowych takich jak pożar, zalanie, zgubienie czy kradzież. Backup danych jest uważany za absolutną podstawę w realizowaniu polityki bezpieczeństwa.

Częstotliwość wykonywani kopii jest sprawą indywidualną. Podstawowym pytaniem jakie należy sobie zadać przy okazji ich planowania to: „Na utratę danych z jakiego okresu możesz sobie pozwolić, bez poniesienia istotnych strat finansowych/reputacyjnych”? Większość dużych firm, wykonuje je codziennie, ale nawet w małej firmie lub w życiu prywatnym dobrą praktyką jest tworzenie backup’u raz w miesiącu.

Ważną kwestią jest określenie również jaki sposób realizacji kopii zapasowej wybieramy. Backup możemy podzielić na 3 rodzaje:

  1. Kopia podstawowa - obejmuje wszystkie pliki. Tej metody używa się do tworzenia dokładnej kopii, a dostęp do niej jest możliwy na zasadach podobnych, jak dostęp do oryginału.
  2. Kopia różnicowa - kopiowane są pliki zmienione od ostatniej kopii podstawowej, archiwizowane jest to, czym różni się obecny stan danych.
  3. Kopia przyrostowa - kopiowane są pliki dodane od jakiejkolwiek najnowszej kopii, archiwizujemy tylko to, co przybyło/przyrosło.

Wdrożenie odpowiedniej procedury lub wyrobienie nawyku to dopiero połowa sukcesu. Równie ważną kwestią jest odtwarzanie backupu, a dokładnie rzecz ujmując, bezpieczne przechowywanie kopii i gwarancja dostępu do nich tak szybko, jak to możliwe w razie potrzeby. To zadanie powinniśmy zostawić profesjonalistom, przynajmniej na etapie projektowania systemu/procedury. Jednak naszym obowiązkiem jest cykliczna weryfikacja poprawności naszych kopii zapasowych, jak i procedur odzyskiwania danych. Firmy i osoby prywatne często nigdy nie podjęły próby odzyskania danych do czasu wystąpienia awarii, a wtedy okazuje się, że odzyskanie kompletnych danych w zakładanym czasie jest niemożliwe.

Michał Kaczorowski, architekt rozwiązań cloud & disaster recovery w MAIN
Michał Kaczorowski, architekt rozwiązań cloud & disaster recovery w MAIN

Obecnie dostępne jest bardzo wiele modeli pozwalających skalować ten proces praktycznie w nieskończoność. Poprosiliśmy o komentarz w tym temacie Pana Michała Kaczorowskiego, architekta rozwiązań w MAIN Cloud. Wielu użytkowników składuje dane w postaci kopii zapasowej bez konkretnego planu. Często jest to wprost „worek” na dane, potrzebny na wypadek konieczności odtworzenia przypadkiem skasowanych plików przez pracowników organizacji. Brak konkretnych polityk wykonywania kopii zapasowych nie jest rzadkością, a w ślad za tym parametry RPO (z ang. Recovery Point Objective) i RTO (z ang. Recovery Time Objective) to parametry abstrakcyjne i niemające zastosowania.

Poprzez brak kompetencji i świadomości, ale także odpowiedniego finansowania, dochodzi do utraty danych nie tylko poprzez ataki typu ransomware, ale także zaniedbania, które nierzadko są równie szkodliwe dla organizacji. W większości przypadków opisane problemy dotyczą małych i średnich firm.

Warto dodać, że świadomość dotycząca jakości polityk składowania danych backupowych wzrasta, co idzie w parze ze świadomością administratorów i kadry zarządzającej. Coraz częściej dane są wynoszone do drugiego centrum danych lub w różny sposób do chmury”.

Konkluzja będzie smutna - nie dziwi nas fakt, że tak wiele polskich firm pada ofiarami ataków ransomware, a cyberprzestępcy celują w organizacje z naszego regionu. Jako specjaliści w tej dziedzinie dzielimy się wiedzą o obszarach, które są istotą cyberbezpieczeństwa. Świadomość w grupie wiekowej 0-40 lat jest już wysoka i stale rośnie, niestety pesel jest istotną barierą w tworzeniu nowych, dobrych nawyków.

Nie jest istotne czy chcesz chronić zdjęcia na swoim smartfonie, tajne informacje czy dane, które przetwarzasz na co dzień w firmie. Regularny backup powinien stać się dobrym nawykiem, a w firmie powinna opisywać go odpowiednia procedura, która była i będzie testowana.

Jeżeli masz wątpliwości lub chciałbyś poznać szczegóły skontaktuj się z nami, aby dowiedzieć się więcej: