Cyberbezpieczeństwo: największe zagrożenia dla MŚP i NGO – cz.4/5

Przedstawiamy Państwu czwarty z serii artykułów, których tematem jest cyberbezpieczeństwo w małych i średnich firmach oraz w NGO. Omówiliśmy już: zagrożenia związane z phishingiem, coraz bardziej powszechne ataki wykorzystujące sztuczną inteligencję oraz zagrożenia typu ransomware i znaczenie słabych metod uwierzytelniania dla cyberbezpieczeństwa firmy. Pokazaliśmy jak ważne są aktualizacje oprogramowania i jak niebezpieczny może być atak na łańcuch dostaw. Wyjaśniliśmy też, dlaczego MŚP są łatwym celem dla cyberprzestępców. W kolejnym artykule zajmiemy się bezpieczeństwem danych w chmurze, a także pokażemy jak duże znaczenie dla każdej firmy ma regularne wykonywanie kopii zapasowych.

Spis treści:

1. Zagrożenie #7: Cyberbezpieczeństwo w chmurze – często pomijane zagrożenia w infrastrukturze
2. Zagrożenie #8: Brak regularnych kopii zapasowych

Zagrożenie #7: Cyberbezpieczeństwo w chmurze – często pomijane zagrożenia w infrastrukturze

W ostatnich latach obserwujemy prawdziwą rewolucję w sposobie, w jaki firmy korzystają z technologii informatycznych. Usługi chmurowe stały się standardem – od poczty elektronicznej, przez systemy CRM, po kompleksowe platformy do zarządzania całym przedsiębiorstwem. Statystyki pokazują, że ponad 90% małych i średnich firm w Polsce korzysta z co najmniej jednej usługi chmurowej.

Ta transformacja przyniosła wiele korzyści: elastyczność, dostępność, łatwość skalowania i często niższe koszty początkowe. Jednak wraz z migracją do chmury pojawiły się nowe wyzwania związane z tym jak dbać o cyberbezpieczeństwo. Niestety, są one często niedostrzegane lub bagatelizowane przez małe i średnie przedsiębiorstwa.

W ITKOM regularnie spotykamy się z przekonaniem, że „skoro dane są w chmurze, to dostawca jest odpowiedzialny za ich bezpieczeństwo”. Rzeczywistość jest jednak bardziej złożona, a zrozumienie specyfiki bezpieczeństwa w chmurze jest kluczowe dla ochrony Państwa biznesu.

Model wspólnej odpowiedzialności – klucz do zrozumienia bezpieczeństwa w chmurze

Fundamentalną koncepcją, którą każda firma korzystająca z usług chmurowych powinna rozumieć, jest „model wspólnej odpowiedzialności”. W tym modelu odpowiedzialność za cyberbezpieczeństwo jest podzielona między dostawcę usług chmurowych a klienta.

Dostawcy chmury (Microsoft, Google, Amazon i inni) zapewniają bezpieczeństwo samej chmury – infrastruktury fizycznej, sieci, serwerów, systemów operacyjnych i platform. Natomiast to Państwo, jako klienci, odpowiadają za bezpieczeństwo tego, co umieszczają w chmurze – danych, tożsamości, konfiguracji dostępu i zarządzania.

Wyobraźmy sobie to jako sytuację analogiczną do wynajmu mieszkania:

Właściciel budynku (dostawca chmury) odpowiada za konstrukcję budynku, zabezpieczenia wejścia głównego, instalacje wspólne.

Najemca (Państwa firma) odpowiada za zamykanie drzwi do swojego mieszkania, decydowanie komu dać klucze i za wartościowe przedmioty trzymane w środku.

Ta różnica w odpowiedzialności jest kluczowa, ponieważ wiele incydentów naruszających cyberbezpieczeństwo w chmurze wynika nie z błędów dostawców, ale z nieprawidłowej konfiguracji usług przez użytkowników.

Najczęstsze błędy konfiguracyjne zwiększające ryzyko

Jako firma informatyczna ITKOM obsługująca różnych Klientów z sektora MŚP, regularnie spotykamy się z podobnymi błędami konfiguracyjnymi, które drastycznie zwiększają ryzyko incydentów naruszających cyberbezpieczeństwo:

1. Publiczny dostęp do zasobów, które powinny być prywatne

Jednym z najczęstszych i najpoważniejszych błędów jest nieumyślne udostępnienie danych publicznie. Przykładem może być konfiguracja bucketów S3 w AWS lub kontenerów Blob Storage w Azure jako publicznie dostępnych.

Niedawno pomagaliśmy klientowi, który nieświadomie skonfigurował swój firmowy magazyn dokumentów w SharePoint Online jako publicznie dostępny. W rezultacie, przez kilka miesięcy dokumenty finansowe były dostępne dla każdego, kto posiadał link – nawet bez logowania.

2. Nadmiarowe uprawnienia

Zasada najmniejszych uprawnień (principle of least privilege) często jest ignorowana w konfiguracji chmury. Użytkownikom i aplikacjom przyznawane są znacznie większe uprawnienia niż faktycznie potrzebują do wykonywania swoich zadań.

W jednej z firm, z którą współpracujemy, wszyscy pracownicy mieli uprawnienia administratora do platformy Microsoft 365, „na wszelki wypadek, gdyby coś potrzebowali”. Ta konfiguracja dramatycznie zwiększała powierzchnię ataku w przypadku przejęcia konta przez cyberprzestępców.

3. Brak szyfrowania danych wrażliwych

Wiele usług chmurowych oferuje szyfrowanie danych, ale często wymaga ono dodatkowej konfiguracji. Brak szyfrowania danych wrażliwych to poważne zaniedbanie, szczególnie w kontekście RODO.

4. Słabe zarządzanie kluczami i sekretami

Klucze API, certyfikaty i inne poświadczenia używane przez aplikacje w chmurze są często przechowywane w niezabezpieczony sposób – w kodzie źródłowym, plikach konfiguracyjnych czy nawet w wiadomościach e-mail.

5. Niezabezpieczone interfejsy programistyczne (API)

Interfejsy API używane do komunikacji między usługami w chmurze często nie mają odpowiedniej walidacji danych wejściowych i uwierzytelniania, co czyni je podatnymi na ataki.

Niewłaściwe zarządzanie tożsamością i dostępem w chmurze

Zarządzanie tożsamością i dostępem (IAM – Identity and Access Management) to jeden z najważniejszych aspektów bezpieczeństwa w chmurze. Nieprawidłowe praktyki w tym obszarze mogą otworzyć drzwi dla cyberprzestępców:

1. Brak uwierzytelniania wieloskładnikowego (MFA)

W naszych audytach bezpieczeństwa u klientów regularnie spotykamy się z brakiem MFA dla kont chmurowych. To jak zostawianie drzwi do sejfu zabezpieczonych tylko prostym zamkiem, gdy technologia oferuje nam możliwość dodania zaawansowanego systemu alarmowego.

Przykład: Firma straciła dostęp do swojej poczty e-mail i danych w chmurze, gdy cyberprzestępcy przejęli konto administratora niezabezpieczone MFA. Atakujący zmienili ustawienia przekierowania poczty, aby przechwytywać komunikację z klientami i dostawcami, co doprowadziło do wyłudzenia znacznej kwoty pieniędzy.

2. Nieaktualne konta i uprawnienia „dziedziczone”

Brak regularnych przeglądów uprawnień prowadzi do sytuacji, w której byli pracownicy wciąż mają dostęp do firmowych zasobów lub aktualni pracownicy posiadają uprawnienia nieadekwatne do obecnie pełnionych funkcji.

3. Współdzielone konta

Praktyka współdzielenia kont między pracownikami jest niestety powszechna w małych firmach. Uniemożliwia ona identyfikację osoby odpowiedzialnej za konkretne działania i komplikuje zarządzanie dostępem.

4. Słabe polityki haseł

Mimo rosnącej świadomości zagrożeń, wciąż spotykamy firmy stosujące proste, łatwe do odgadnięcia hasła do kont chmurowych. Co gorsza, te same hasła są często używane do wielu różnych usług.

Problem shadow IT – niekontrolowane korzystanie z usług chmurowych

„Shadow IT” to termin określający korzystanie z usług IT, w tym chmurowych, bez wiedzy i zgody działu IT lub kierownictwa firmy. To zjawisko jest szczególnie powszechne w małych i średnich firmach, gdzie pracownicy często szukają własnych rozwiązań problemów biznesowych.

Przykłady shadow IT, które regularnie spotykamy:

• Pracownik marketingu korzystający z nieprzedstawionego firmie narzędzia do zarządzania mediami społecznościowymi, które ma dostęp do firmowych kont.
• Zespół sprzedaży używający nieautoryzowanego CRM w chmurze, gdzie przechowuje dane klientów
• Księgowa przesyłająca poufne dokumenty finansowe przez osobiste konto w usłudze przechowywania plików

Zagrożenia naruszające cyberbezpieczeństwo i związane z shadow IT są liczne:

• Dane firmowe są przechowywane w niezatwierdzonych i potencjalnie niezabezpieczonych usługach
• Brak kontroli nad tym, kto ma dostęp do danych
• Trudności z zapewnieniem zgodności z przepisami (np. RODO)
• Problemy z ciągłością działania, gdy pracownik odchodzi z firmy
• Brak możliwości monitorowania i reagowania na incydenty bezpieczeństwa
  

Wycieki danych z nieprawidłowo skonfigurowanych usług chmurowych

W ostatnich latach byliśmy świadkami licznych przypadków wycieków danych spowodowanych błędami konfiguracyjnymi w usługach chmurowych. Choć głośne incydenty dotyczą zwykle dużych organizacji, małe i średnie firmy również padają ofiarami podobnych błędów, choć rzadziej trafiają one do mediów.

Podczas naszej pracy w ITKOM spotykamy się z różnymi scenariuszami wycieków danych:

Przypadek 1: Niezabezpieczone kopie zapasowe
Firma z branży medycznej tworzyła regularne kopie zapasowe bazy danych pacjentów w chmurze, ale skonfigurowała je jako publicznie dostępne. Dane medyczne kilku tysięcy pacjentów były potencjalnie dostępne dla każdego przez ponad trzy miesiące, zanim problem został wykryty podczas naszego audytu bezpieczeństwa.

Przypadek 2: Niewłaściwe uprawnienia do udostępnianych plików
Biuro rachunkowe nieświadomie skonfigurowało uprawnienia w Google Drive w taki sposób, że dokumenty udostępniane jednemu klientowi mogły być dostępne dla wszystkich posiadających link. Doprowadziło to do sytuacji, w której poufne dane finansowe mogły być widoczne dla niepowołanych osób.

Przypadek 3: Błędna konfiguracja serwera testowego
Firma deweloperska skonfigurowała testową wersję swojej aplikacji w chmurze, korzystając z kopii produkcyjnej bazy danych klientów, ale bez zabezpieczeń stosowanych w środowisku produkcyjnym. W rezultacie dane testowe, zawierające rzeczywiste informacje o klientach, były dostępne przez niezabezpieczone API.

Zasady bezpiecznego korzystania z chmury dla małych firm

Mimo przedstawionych zagrożeń, usługi chmurowe mogą być bezpieczne, jeśli są odpowiednio skonfigurowane i zarządzane. Oto zestaw podstawowych zasad dbania o „firmowe” cyberbezpieczeństwo, które rekomendujemy naszym klientom:

1. Stosowanie uwierzytelniania wieloskładnikowego
   Włączenie MFA dla wszystkich kont, szczególnie tych z uprawnieniami administracyjnymi. To jedno z najskuteczniejszych zabezpieczeń, które może zapobiec przejęciu konta nawet w przypadku wycieku hasła.
2. Zarządzanie tożsamością zgodnie z zasadą najmniejszych uprawnień
   Przyznawanie użytkownikom tylko tych uprawnienia, które są niezbędne do wykonywania ich zadań. Regularna weryfikacja uprawnień.
3. Regularne audyty bezpieczeństwa konfiguracji chmury
   Regularne przeglądy ustawień bezpieczeństwa wszystkich używanych usług chmurowych. Wielu dostawców oferuje narzędzia do automatycznej oceny konfiguracji.
4. Szyfrowanie wrażliwych danych
   Używanie dostępnych opcji szyfrowania, zarówno dla danych przechowywanych (at rest), jak i przesyłanych (in transit).
5. Bezpieczne zarządzanie sekretami
   Zastosowanie specjalistycznych usług do przechowywania kluczy API, certyfikatów i innych poufnych danych (np. Azure Key Vault, AWS Secrets Manager, HashiCorp Vault).
6. Monitorowanie i rejestrowanie aktywności
   Rejestrowanie działań we wszystkich usługach chmurowych i regularne przeglądanie logów w poszukiwaniu podejrzanej aktywności naruszających cyberbezpieczeństwo.
7. Zabezpieczenie punktów końcowych
   Urządzenia, z których uzyskiwany jest dostęp do usług chmurowych, również muszą być odpowiednio zabezpieczone.
8. Formalna polityka korzystania z usług chmurowych
   Iasne zasady określające, które usługi chmurowe mogą być używane w firmie i w jaki sposób.
9. Kopie zapasowe i plan odzyskiwania
   Własna strategia backupu zgodną z zasadą 3-2-1 (trzy kopie danych, na dwóch różnych nośnikach, z jedną kopią przechowywaną poza siedzibą) oprócz rozwiązań oferowanych przez dostawcę chmury.
10. Szkolenia dla pracowników
    Edukuja pracowników na temat bezpiecznego korzystania z usług chmurowych i zagrożeń związanych z shadow IT.

Narzędzia monitorujące cyberbezpieczeństwo w chmurze

Wielu dostawców usług chmurowych oferuje narzędzia, które mogą pomóc w monitorowaniu i poprawie bezpieczeństwa:

Microsoft 365

• Microsoft Secure Score – ocenia poziom bezpieczeństwa Państwa konfiguracji i sugeruje usprawnienia
• Microsoft Defender for Cloud Apps – monitoruje korzystanie z aplikacji chmurowych
• Azure Security Center – kompleksowe narzędzie do zarządzania bezpieczeństwem w chmurze Azure

Google Workspace

• Security Center – centralne narzędzie do zarządzania bezpieczeństwem
• Alert Center – powiadomienia o potencjalnych zagrożeniach
• Reports – szczegółowe raporty o aktywności użytkowników

Amazon Web Services (AWS)

• AWS Security Hub – centralizuje alerty i oceny bezpieczeństwa
• AWS Config – monitoruje zgodność konfiguracji z najlepszymi praktykami
• Amazon GuardDuty – inteligentne wykrywanie zagrożeń

Dla małych firm, które nie posiadają dedykowanych zespołów dbających o cyberbezpieczeństwo, usługi zarządzane, takie jak te oferowane przez ITKOM, mogą być optymalnym rozwiązaniem. Zapewniamy regularne audyty konfiguracji chmury, monitorowanie zagrożeń i szybką reakcję na incydenty.

Migracja do chmury – cyberbezpieczeństwo od początku

Jeśli planują Państwo migrację do chmury, warto zadbać o cyberbezpieczeństwo od samego początku. Jest to znacznie efektywniejsze niż późniejsze próby zabezpieczenia już działających systemów.

Oto kluczowe kroki, które rekomendujemy przed migracją:

1. Inwentaryzacja danych
   Identyfikacja, jakie dane będą przechowywane w chmurze, a następnie klasyfikacja pod względem poufności.
2. Ocena ryzyka
   Analiza ryzyka związanego z migracją poszczególnych systemów do chmury.
3. Wybór odpowiedniego modelu usług
   Decyzja, który model (SaaS, PaaS, IaaS) najlepiej odpowiada Państwa potrzebom i możliwościom zarządzania bezpieczeństwem.
4. Opracowanie polityki bezpieczeństwa chmurowego
   Jasne wytyczne dotyczące konfiguracji, uprawnień i monitorowania.
5. Plan reagowania na incydenty
   Procedury postępowania w przypadku naruszenia bezpieczeństwa w środowisku chmurowym.
6. Szkolenie zespołu
   Odpowiednie przeszkolenie pracowników, którzy będą zarządzać usługami chmurowymi.

Prawne aspekty bezpieczeństwa w chmurze

Korzystanie z usług chmurowych wiąże się również z pewnymi zobowiązaniami prawnymi, szczególnie w kontekście ochrony danych osobowych:

1. Umowy powierzenia przetwarzania danych
   Zgodnie z RODO, jeśli powierzają Państwo dane osobowe dostawcy usług chmurowych, konieczne jest zawarcie odpowiedniej umowy.
2. Międzynarodowe transfery danych
   Jeśli dane są przechowywane na serwerach poza UE, konieczne jest zapewnienie odpowiednich gwarancji prawnych.
3. Prawo do bycia zapomnianym
   Muszą Państwo mieć możliwość trwałego usunięcia danych klientów na ich żądanie, również z kopii zapasowych.
4. Zgłaszanie naruszeń
   W przypadku naruszenia bezpieczeństwa danych osobowych, obowiązują ścisłe terminy zgłaszania incydentu do UODO.

Bezpieczeństwo w chmurze to obszar, w którym małe niedopatrzenie może prowadzić do dużych problemów. Usługi chmurowe oferują wiele korzyści dla małych i średnich firm, ale wiążą się również z nowymi wyzwaniami w dziedzinie, którą jest cyberbezpieczeństwo.

Kluczem do bezpiecznego korzystania z chmury jest zrozumienie modelu wspólnej odpowiedzialności i świadome zarządzanie obszarami, które leżą po Państwa stronie. Właściwa konfiguracja, zarządzanie tożsamością, monitorowanie i regularne audyty to fundamenty, na których należy budować bezpieczeństwo chmurowe.

W ITKOM pomagamy naszym klientom bezpiecznie wykorzystywać potencjał chmury, oferując kompleksowe usługi od audytu i konfiguracji, przez monitorowanie, po szkolenia i wsparcie w przypadku incydentów. Nasze podejście zawsze uwzględnia specyfikę i możliwości małych i średnich firm.

Pamiętajmy, że chmura może być bezpiecznym miejscem dla Państwa danych i aplikacji, ale tylko wtedy, gdy jest odpowiednio skonfigurowana i zarządzana. Inwestycja w cyberbezpieczeństwo chmurowe to nie koszt, lecz niezbędny element odpowiedzialnego prowadzenia biznesu w cyfrowej rzeczywistości.

W następnej części artykułu omówimy kolejne istotne zagrożenie dla bezpieczeństwa Państwa firmy – brak regularnych kopii zapasowych, który w połączeniu z opisanymi wcześniej zagrożeniami może prowadzić do katastrofalnych konsekwencji dla ciągłości działania biznesu.

Zagrożenie #8: Brak regularnych kopii zapasowych

Dotychczas omówiliśmy szereg zagrożeń, które mogą poważnie naruszyć cyberbezpieczeństwo i ciągłość działania Państwa firmy. Jednak istnieje jedno zagrożenie, które w sytuacji kryzysowej może zadecydować o przetrwaniu lub upadku przedsiębiorstwa – posiadanie aktualnych kopii zapasowych.

Firmy takie jak ITKOM regularnie spotykają się z sytuacjami, w których właściciele firm z niedowierzaniem odkrywają, że ich cenne dane biznesowe przepadły bezpowrotnie. Co najbardziej niepokojące, często są to firmy, które teoretycznie miały wdrożone „jakieś” rozwiązania backupowe i w ten sposób dbały o cyberbezpieczeństwo. Niestety, jak pokazuje praktyka, między posiadaniem kopii zapasowych a posiadaniem skutecznych i niezawodnych kopii zapasowych istnieje przepaść.

Dlaczego backup to ostatnia linia obrony?

Wyobraźmy sobie, że wszystkie wcześniej omówione zabezpieczenia zawiodły:

• Pracownik otworzył załącznik z ransomware
• Cyberprzestępcy wykorzystali lukę w niezaktualizowanym systemie
• Złośliwe oprogramowanie przedostało się przez firewall
• Nawet najlepsze hasła i uwierzytelnianie dwuskładnikowe nie uchroniły przed atakiem na łańcuch dostaw

W takiej sytuacji to właśnie kopie zapasowe stają się Państwa ostatnią deską ratunku. Jeśli są prawidłowo wykonywane, przechowywane i testowane, pozwalają na odtworzenie danych i systemów bez płacenia okupu czy akceptowania długotrwałego przestoju w działalności.

Zasada 3-2-1 w tworzeniu kopii zapasowych

W ITKOM rekomendujemy naszym klientom stosowanie zasady 3-2-1, która jest uznawana za złoty standard w tworzeniu kopii zapasowych:

3 – Co najmniej trzy kopie danych
(oryginał + dwie kopie zapasowe)

2 – Przechowywanie kopii na co najmniej dwóch różnych nośnikach
(np. dysk lokalny + chmura)

1 – Przynajmniej jedna kopia powinna być przechowywana poza siedzibą firmy
(zabezpieczenie przed pożarem, powodzią, kradzieżą)

W ostatnich latach, w odpowiedzi na rosnące zagrożenie ransomware, wielu ekspertów rozszerzyło tę zasadę do 3-2-1-1:

+1 – Jedna kopia powinna być offline lub w izolowanym środowisku (air-gapped)
(niedostępna przez sieć, co chroni ją przed zaszyfrowaniem)

Zasada ta może wydawać się skomplikowana, ale jej implementacja nie musi być ani trudna, ani kosztowna. Współczesne rozwiązania do tworzenia kopii zapasowych pozwalają na automatyzację całego procesu, minimalizując zaangażowanie pracowników, jednocześnie dbajac o cyberbezpieczeństwo firmy.

Najczęstsze błędy w strategii backupu

W trakcie naszej wieloletniej praktyki zidentyfikowaliśmy szereg typowych błędów, które popełniają małe i średnie firmy w zakresie tworzenia kopii zapasowych:

1. Kopie przechowywane w tym samym miejscu co oryginał
Przechowywanie kopii zapasowych na tym samym serwerze lub w tej samej lokalizacji co dane oryginalne nie chroni przed wieloma zagrożeniami, takimi jak pożar, powódź czy właśnie ransomware.

2. Brak automatyzacji
Poleganie na ręcznym wykonywaniu kopii zapasowych to proszenie się o kłopoty. Wystarczy, że odpowiedzialny pracownik zachoruje, weźmie urlop lub po prostu zapomni, a cenny ciąg regularnych kopii zostanie przerwany.

3. Brak weryfikacji kopii
Sam fakt utworzenia kopii nie gwarantuje, że dane są rzeczywiście bezpieczne. Kopia może być uszkodzona, niekompletna lub niemożliwa do odtworzenia z powodu błędów technicznych.

4. Niewystarczająca częstotliwość
Wykonywanie kopii zapasowych raz na tydzień czy miesiąc oznacza, że w przypadku awarii mogą Państwo stracić nawet kilkadziesiąt dni pracy.

5. Niezabezpieczone kopie
Kopie zapasowe zawierające wrażliwe dane, które nie są odpowiednio zaszyfrowane, stanowią same w sobie ryzyko bezpieczeństwa.

6. Brak strategii retencji
Przechowywanie wszystkich kopii bezterminowo nie tylko generuje niepotrzebne koszty, ale może również prowadzić do problemów z zarządzaniem danymi i zgodnością z przepisami.

7. Nieuwzględnienie wszystkich krytycznych danych
Częstym błędem jest pomijanie w kopiach zapasowych pewnych typów danych, np. konfiguracji urządzeń sieciowych, baz danych, wiadomości e-mail czy danych przechowywanych w chmurze.

Rodzaje kopii zapasowych i kiedy je stosować

Istnieje kilka głównych typów kopii zapasowych, z których każdy ma swoje zalety i ograniczenia:

1. Kopia pełna (Full Backup)
Kompletna kopia wszystkich danych i systemów.

• Zalety: Najszybsze odtwarzanie, najprostsza procedura
• Wady: Wymaga najwięcej przestrzeni dyskowej, najdłuższy czas wykonywania
• Kiedy stosować: Gdy priorytetem jest szybkość odtwarzania i dysponują Państwo wystarczającą przestrzenią na kopie

2. Kopia przyrostowa (Incremental Backup)
Kopiowanie tylko danych, które zmieniły się od ostatniej kopii zapasowej (pełnej lub przyrostowej).

• Zalety: Szybkie tworzenie kopii, oszczędność miejsca
• Wady: Wolniejsze odtwarzanie (wymaga kopii pełnej i wszystkich przyrostowych)
• Kiedy stosować: Gdy dysponują Państwo ograniczoną przestrzenią lub mają ograniczone okno czasowe na wykonanie kopii

3. Kopia różnicowa (Differential Backup)
Kopiowanie danych, które zmieniły się od ostatniej pełnej kopii zapasowej.

• Zalety: Szybsze odtwarzanie niż przy kopiach przyrostowych
• Wady: Wymaga więcej miejsca niż kopie przyrostowe
• Kiedy stosować: Gdy potrzebują Państwo kompromisu między szybkością odtwarzania a wymaganą przestrzenią

4. Kopia ciągła (Continuous Data Protection)
Ciągłe śledzenie i zapisywanie zmian w danych, pozwalające na odtworzenie dowolnego punktu w czasie.

• Zalety: Minimalna utrata danych, możliwość powrotu do dowolnego momentu
• Wady: Większe wymagania sprzętowe, wyższy koszt
• Kiedy stosować: Dla krytycznych systemów, gdzie nawet minimalna utrata danych jest niedopuszczalna

W ITKOM zazwyczaj rekomendujemy hybrydowe podejście, łączące różne typy kopii zapasowych:

• Codzienna kopia przyrostowa
• Cotygodniowa kopia różnicowa
• Comiesięczna kopia pełna
• Kwartalna kopia pełna przechowywana długoterminowo

Taka strategia zapewnia optymalny balans między bezpieczeństwem danych, czasem odtwarzania i wymaganymi zasobami.

Testowanie odzyskiwania danych – dlaczego to kluczowy element

Jednym z najczęściej pomijanych, a jednocześnie najbardziej krytycznych aspektów strategii kopii zapasowych jest regularne testowanie procesu odzyskiwania danych. Kopie zapasowe, których nie można odtworzyć, są bezwartościowe.

Podczas audytów sprawdzających cyberbezpieczeństwo często spotykamy firmy, które są przekonane, że ich dane są bezpieczne, ponieważ „system pokazuje, że backup został wykonany”. Niestety, w momencie kryzysu często okazuje się, że kopie są niekompletne, uszkodzone lub niekompatybilne z aktualnym środowiskiem.

W ITKOM stosujemy zasadę: „Kopia zapasowa nie istnieje, dopóki nie została pomyślnie odtworzona”. Dla naszych klientów regularnie przeprowadzamy testy odtwarzania, które obejmują:

1. Weryfikację integralności danych
Sprawdzenie, czy dane w kopii zapasowej nie są uszkodzone.

2. Test pełnego odtwarzania
Rzeczywiste odtworzenie danych w izolowanym środowisku testowym.

3. Pomiar czasu odtwarzania
Określenie, jak długo potrwa przywrócenie systemów w sytuacji kryzysowej.

4. Symulację awarii
Okresowe ćwiczenia polegające na symulowaniu różnych scenariuszy awarii i odtwarzaniu danych.

5. Weryfikację zgodności wersji
Sprawdzenie, czy odtworzone dane i aplikacje są kompatybilne z aktualnym środowiskiem.

Pamiętajmy, że w sytuacji kryzysowej liczy się nie tylko to, czy dane można odtworzyć, ale również jak szybko można to zrobić. Wskaźniki RTO (Recovery Time Objective – docelowy czas odtworzenia) i RPO (Recovery Point Objective – maksymalny akceptowalny okres utraty danych) powinny być jasno zdefiniowane w Państwa planie ciągłości działania.

Rozwiązania chmurowe vs. lokalne – wady i zalety

Decyzja o wyborze między lokalnym systemem kopii zapasowych a rozwiązaniem chmurowym (lub hybrydowym) powinna być podjęta w oparciu o specyficzne potrzeby i ograniczenia Państwa firmy.

Kopie zapasowe w chmurze

Zalety:

• Łatwa skalowalność – płacą Państwo tylko za wykorzystaną przestrzeń
• Geograficzna redundancja – dane są przechowywane w wielu lokalizacjach
• Automatyczna ochrona przed zagrożeniami fizycznymi (pożar, powódź)
• Dostęp z dowolnego miejsca
• Często niższe koszty początkowe

Wady:

• Zależność od połączenia internetowego
• Potencjalnie dłuższy czas odtwarzania dużych ilości danych
• Miesięczne koszty subskrypcji
• Kwestie zgodności z przepisami dla niektórych typów danych

Lokalne kopie zapasowe

Zalety:

• Pełna kontrola nad danymi
• Szybsze tworzenie i odtwarzanie dużych kopii
• Brak zależności od zewnętrznych dostawców
• Jednorazowa inwestycja (choć wymaga późniejszej konserwacji)

Wady:

• Podatność na lokalne zagrożenia fizyczne
• Konieczność samodzielnego zarządzania infrastrukturą
• Ograniczona skalowalność
• Wyższe koszty początkowe

W ITKOM zazwyczaj rekomendujemy podejście hybrydowe, które łączy zalety obu rozwiązań:

• Lokalne kopie zapasowe dla szybkiego odtwarzania
• Kopie w chmurze jako dodatkowe zabezpieczenie
• Okresowe offline backupy dla krytycznych danych

Takie podejście zapewnia optymalną ochronę przy rozsądnych kosztach.

Szyfrowanie kopii zapasowych

W erze RODO i rosnących zagrożeń cybernetycznych, szyfrowanie kopii zapasowych stało się koniecznością, a nie opcją. Niezaszyfrowane kopie zapasowe zawierające wrażliwe dane mogą same w sobie stanowić poważne ryzyko naruszające cyberbezpieczeństwo i zgodność z przepisami.

Kluczowe aspekty szyfrowania kopii zapasowych:

1. Szyfrowanie end-to-end
Dane powinny być szyfrowane jeszcze przed opuszczeniem Państwa systemu i pozostać zaszyfrowane zarówno podczas transferu, jak i przechowywania.

2. Bezpieczne zarządzanie kluczami
Klucze szyfrujące muszą być bezpiecznie przechowywane, z odpowiednimi procedurami odzyskiwania w przypadku ich utraty.

3. Silne algorytmy szyfrowania
Stosowanie uznanych standardów szyfrowania, takich jak AES-256.

4. Szyfrowanie metadanych
Nie tylko same dane, ale również metadane (nazwy plików, struktury katalogów) powinny być chronione.

5. Kontrola dostępu
Ścisłe zarządzanie tym, kto ma uprawnienia do odczytu i odtwarzania zaszyfrowanych kopii.

Pamiętajmy, że utrata kluczy szyfrujących może oznaczać bezpowrotną utratę danych, dlatego procedury zarządzania kluczami są równie ważne jak samo szyfrowanie.

Automatyzacja procesu tworzenia kopii zapasowych

Jednym z najskuteczniejszych sposobów zapewnienia regularności i niezawodności kopii zapasowych jest automatyzacja całego procesu. Współczesne rozwiązania do tworzenia kopii zapasowych oferują zaawansowane możliwości automatyzacji, które minimalizują ryzyko błędu ludzkiego.

Kluczowe elementy automatyzacji backupu:

1. Harmonogramy
Precyzyjne określenie, kiedy i jak często mają być wykonywane różne typy kopii zapasowych.

2. Automatyczna weryfikacja
Automatyczne sprawdzanie integralności i kompletności utworzonych kopii.

3. Raportowanie
Automatyczne powiadomienia o statusie kopii zapasowych, błędach i ostrzeżeniach.

4. Rotacja nośników
W przypadku kopii na fizycznych nośnikach – automatyczne zarządzanie ich rotacją.

5. Zarządzanie retencją
Automatyczne usuwanie starszych kopii zgodnie z ustaloną polityką przechowywania.

6. Skalowanie
Automatyczne dostosowywanie zasobów do rosnącej ilości danych.

W ITKOM wdrażamy systemy automatycznych kopii zapasowych, które działają niezawodnie w tle, nie wymagając codziennej uwagi administratorów. Nasz zespół monitoruje te systemy, reagując na wszelkie alerty i nieprawidłowości.

Backup dla różnych typów danych i systemów

Różne rodzaje danych i systemów mogą wymagać specyficznego podejścia do tworzenia kopii zapasowych:

1. Bazy danych
Bazy danych wymagają specjalnych procedur, które zapewniają spójność danych. Prosta kopia plików może prowadzić do uszkodzenia bazy. Zalecamy używanie dedykowanych narzędzi do backupu baz danych, które zapewniają ich integralność.

2. Wirtualne maszyny
Nowoczesne rozwiązania pozwalają na tworzenie spójnych kopii całych maszyn wirtualnych, co umożliwia ich szybkie odtworzenie na innym sprzęcie w przypadku awarii.

3. Poczta elektroniczna
E-maile często zawierają krytyczne informacje biznesowe. Profesjonalne rozwiązania do backupu poczty pozwalają na odtwarzanie zarówno całych skrzynek, jak i pojedynczych wiadomości.

4. Dane w chmurze
Wbrew powszechnemu przekonaniu, dane przechowywane w usługach chmurowych (Microsoft 365, Google Workspace) również wymagają niezależnych kopii zapasowych. Dostawcy usług chmurowych koncentrują się na dostępności usług, ale niekoniecznie gwarantują odzyskiwanie historycznych danych.

5. Urządzenia mobilne
Smartfony i tablety firmowe często zawierają ważne dane, które również powinny być uwzględnione w strategii backupu.

6. Konfiguracje urządzeń sieciowych
Backup konfiguracji routerów, przełączników i innych urządzeń sieciowych pozwala na szybkie odtworzenie infrastruktury w przypadku awarii.

Podsumowanie

Brak odpowiednich kopii zapasowych to jedno z tych zagrożeń, których znaczenie doceniamy zazwyczaj dopiero po katastrofie. Tymczasem dobrze zaprojektowany i wdrożony system backupu stanowi fundament bezpieczeństwa danych i ciągłości działania każdej firmy.

W ITKOM wiemy, że skuteczne kopie zapasowe muszą spełniać zasadę 3-2-1-1, być regularnie testowane i dostosowane do specyficznych potrzeb Państwa firmy. Nasze rozwiązania do tworzenia kopii zapasowych są projektowane tak, aby działały niezawodnie w tle, nie wymagając codziennej uwagi, a jednocześnie zapewniając pełne bezpieczeństwo Państwa cennych danych. Mamy dla Państwa szczególną ofertę – darmową konsultację omawiającą cyberbezpieczeństwo w Państwa firmie. Czekamy na telefon ( 506 077 089 ), email lub wiadomość ze strony, żeby umówić spotkanie z Państwem.

Pamiętajmy, że w przypadku poważnego incydentu naruszającego cyberbezpieczeństwo, takiego jak atak ransomware czy awaria sprzętowa, to właśnie jakość Państwa kopii zapasowych zadecyduje o tym, czy firma szybko wróci do normalnego funkcjonowania.

W następnej części artykułu omówimy kolejne istotne zagrożenie dla bezpieczeństwa Państwa firmy – nieświadomych zagrożeń pracowników, którzy mimo najlepszych intencji,