19.09.2026
Kopia na dysku w tej samej szafie co serwer nie broni firmy przed ransomware. Agencje CISA i FBI w doradztwie z 2026 roku opisują ataki grupy Gunra, w których operatorzy kasowali backup zarówno w ośrodku podstawowym, jak i w ośrodku odtwarzania po awarii. Pytanie, gdzie przechowywać backup, sprowadza się więc do miejsca, do którego napastnik z hasłem domenowym nie dotrze.
CERT Polska w dobrych praktykach kopii bezpieczeństwa idzie w tę samą stronę: jedna kopia ma stać poza domyślną infrastrukturą backupu, na innej technologii i z innymi poświadczeniami. Druga, „zapasowa” macierz w tym samym VLAN-ie tego warunku nie spełnia.
Najpierw miejsce, potem oprogramowanie
Oprogramowanie do backupu rozwiązuje harmonogram i retencję. Nie rozwiązuje fizyki. Jeśli repozytorium wisi na tej samej sieci co produkcja, atakujący po przejęciu konta administratora zwykle znajduje też kopie. CISA w przewodniku StopRansomware pisze wprost: trzymaj kopie offline i regularnie testuj, czy da się z nich wrócić, bo grupy ransomware szukają backupów i je kasują.
Dla firmy oznacza to trzy konkretne lokalizacje, a nie trzy foldery na jednym NAS-ie:
- kopia operacyjna — szybkie odtworzenie pojedynczego pliku albo maszyny,
- kopia w drugiej technologii — inny nośnik, inne konto, inny segment sieci,
- kopia poza budynkiem — taśma, dysk albo kaseta oddana do depozytu, odłączona od sieci.
Dopiero ta trzecia odpowiada na pytanie, gdzie trzymać kopie zapasowe, gdy pali się serwerownia albo gdy ransomware szyfruje także replikę w drugim racku.
Cztery złe odpowiedzi, które wciąż wracają
„Mamy chmurę, więc jesteśmy poza firmą.” Chmura bywa drugą lokalizacją, ale nie jest automatycznie offline. Ten sam zestaw haseł, ten sam token API albo ten sam panel administracyjny może posłużyć do skasowania bucketu. CISA dopuszcza chmurę jako miejsce kopii, o ile jest wersjonowanie, object lock i osobne konto. Bez tego to nadal kopia dostępna z sieci.
„Replikacja do drugiego biura wystarczy.” Replikacja synchroniczna kopiuje też błąd i ransomware. DR, które da się osiągnąć tymi samymi poświadczeniami domeny, nie jest depozytem.
„Backup leży na NAS w piwnicy.” Piwnica w tym samym budynku nie chroni przed pożarem, zalaniem instalacji ani przed kimś, kto wszedł do serwerowni z pendrive’em.
„Raz w miesiącu ktoś wynosi dysk do domu prezesa.” To już bliżej offline, ale bez ewidencji, bez kontroli temperatury i bez procedury wydania w nocy z weekendu taka kopia ginie w szufladzie. Tę lukę zamyka depozyt z rejestrem wydań. W DataCare odbieramy kasety LTO i dyski z backupem, wozimy je własną flotą i trzymamy w magazynie monitorowanym 24/7, poza siedzibą klienta. To nie jest chmura DataCare — to fizyczny nośnik, do którego przejęta domena nie ma ścieżki.
Jak przechowywać kopie zapasowe, żeby dało się z nich wrócić
Sam adres magazynu nie kończy tematu. Jak przechowywać kopie zapasowe w praktyce, opisuje kilka twardych warunków:
- Nośnik po nagraniu wraca do stanu offline. Taśma wychodzi z biblioteki, dysk jest odłączany, repozytorium immutable dostaje blokadę kasowania.
- Konta do kopii nie są kontami domeny produkcyjnej. CERT Polska wymaga osobnego uwierzytelniania, najlepiej z MFA.
- Każde wydanie i przyjęcie ma wpis: kto, kiedy, jaki numer seryjny, jaki hash albo jaka etykieta zadania backupu.
- Warunki składowania są zgodne z nośnikiem. Dla taśm LTO przy długim przechowywaniu producenci podają zwykle 16–25 °C i 20–50 proc. wilgotności względnej, bez skraplania.
- Test odtworzenia jest w kalendarzu, nie w polityce „zrobimy, jak będzie trzeba”. Zero błędów przy teście to ostatnia cyfra zasady 3-2-1-1-0.
Jeśli którykolwiek z tych punktów odpada, firma ma archiwum, nie backup.
Co wybrać: taśma, dysk, chmura z blokadą
Taśma LTO ma przewagę tam, gdzie liczy się air-gap i koszt pojemności. Po wysunięciu kasety z biblioteki kopia znika z sieci. Wariant WORM, który wymienia CERT, nie da się nadpisać nawet przy skompromitowanym koncie backupu. Odtworzenie trwa dłużej, bo nośnik trzeba fizycznie dowieźć i wczytać.
Dysk twardy sprawdza się przy krótszej retencji i szybszym zwrocie. W depozycie też musi być offline: nie podłączony do NAS-a „na wszelki wypadek”.
Chmura z Object Lock albo trybem compliance zamyka skasowanie przez określony czas. To dobry drugi nośnik, nie zamiennik kopii, której nie widać z internetu.
W praktyce te trzy warianty się uzupełniają. Chmura przyspiesza odtworzenie pojedynczego systemu. Taśma albo dysk w depozycie zamyka scenariusz, w którym atakujący ma już panel chmury.
Jak sprawdzić, czy obecne miejsce kopii w ogóle broni firmy
Weź ostatni incydent z ćwiczeń albo choćby scenariusz na kartce: ransomware w domenie, skasowane snapshoty, serwer backupu też zaszyfrowany. Zadaj trzy pytania.
Czy istnieje kopia, do której nikt z przejętej domeny nie ma uprawnień? Czy da się ją dowieźć i odtworzyć w czasie, który firma naprawdę akceptuje? Czy ktoś to robił w tym kwartale, a nie w 2019 roku?
Jeśli na którekolwiek odpowiadasz „nie wiadomo”, miejsce kopii jest jeszcze do zmiany. Nie dlatego, że brakuje oprogramowania. Dlatego, że kopia nadal mieszka za blisko produkcji. Gdy firma nie ma drugiej lokalizacji z procedurą wydania, trzecią kopię zasady 3-2-1 można oddać do depozytu. DataCare robi to jako usługę: odbiór, rotacja, klimat i rejestr. Oprogramowanie, RPO i test odtworzenia zostają po stronie IT.