19.09.2026
Zielony status zadania backupu mówi tylko tyle, że zadanie się skończyło. Nie mówi, czy kopia przeżyje atak na domenę. CISA w przewodniku StopRansomware i w advisory Gunra z 2026 roku powtarza ten sam warunek: kopie mają być offline albo niezmienialne, w fizycznie osobnym miejscu, i regularnie testowane. Pytanie, kiedy dane są bezpieczne, ma więc konkretną checklistę, a nie hasło z oferty antywirusa.
Veeam rozpisał tę checklistę jako 3-2-1-1-0: trzy kopie, dwa nośniki, jedna poza lokalizacją, jedna offline albo immutable, zero błędów przy weryfikacji odtworzenia. CERT Polska w praktyce powtarza ten sam zestaw, dopisując WORM i całkowite odcięcie od sieci. NIST w kontroli CP-9 wymaga backupu, ochrony integralności i przeniesienia kopii do osobnego ośrodka w czasie zgodnym z RTO.
Żaden z tych dokumentów nie uznaje za wystarczający samego faktu, że „backup chodzi”.
Pięć warunków, bez których odpowiedź brzmi „jeszcze nie”
Dane produkcyjne są w lepszym stanie, gdy jednocześnie działają:
- Niezależne kopie. Minimum trzy, w tym produkcja. Jedna kopia to loteria nośnika.
- Różne media. Dysk i taśma, albo dysk i chmura z inną fizyką awarii. Dwa wolumeny na jednej macierzy to nadal jeden nośnik.
- Druga lokalizacja. Pożar, zalanie i kradzież serwerowni nie mogą zabrać ostatniej kopii.
- Kopia, której nie skasuje przejęty admin. Offline, air-gap albo WORM / Object Lock.
- Test odtworzenia bez błędów. To jest to „zero” na końcu. Status OK zadania backupu go nie zastępuje.
Brak któregokolwiek punktu nie oznacza, że firma nic nie robi. Oznacza, że ma dziurę, którą ransomware już nauczył się wykorzystywać.
Kiedy kopia zapasowa jest bezpieczna
Osobne pytanie dotyczy samej kopii, nie całej organizacji. Kiedy kopia zapasowa jest bezpieczna? Wtedy, gdy osoba z dostępem do produkcji nie może jej zaszyfrować, skasować ani podmienić.
Praktyczny test jest prosty, choć niewygodny: załóż, że hasło administratora domeny wyciekło w piątek wieczorem. Czy do niedzieli da się z tej kopii podnieść kontroler domeny i księgowość, nie logując się do przejętego środowiska? Jeśli procedura wymaga wejścia na ten sam serwer backupu, ta kopia spadła razem z produkcją.
CISA opisuje to bez ozdobników. Grupy ransomware zbierają poświadczenia i idą po backup, w tym po niezałatane urządzenia do kopii. W jednym z opisanych przypadków Gunra skasowała dane backupowe w dwóch ośrodkach. Geograficzne DR bez osobnych uprawnień nie zamyka sprawy.
Jak zabezpieczyć backup przed ransomware
Jak zabezpieczyć backup przed ransomware nie zaczyna się od nowej licencji antywirusa na repozytorium. Zaczyna się od odcięcia ścieżki, którą atakujący już zna.
- Konta backupu poza domeną produkcyjną, z MFA. CERT wymaga osobnego uwierzytelniania właśnie dlatego, że skompromitowana domena nie może być jedynym zamkiem.
- Serwer kopii w osobnym VLAN-ie. To on łączy się po dane, produkcja nie wchodzi do niego.
- Co najmniej jedna kopia immutable albo fizycznie wysunięta z biblioteki.
- Ograniczenie RDP i VPN do wąskiego zestawu stacji administracyjnych. Gunra wchodziła przez znane dziury w urządzeniach brzegowych, nie przez „zbyt krótką taśmę”.
- Test odtworzenia z nośnika, który nie wisiał w sieci w trakcie ćwiczenia.
CISA dopuszcza chmurę jako miejsce kopii, ale z wersjonowaniem i blokadą kasowania. Object Lock na 30 dni zamyka impulsywne delete po przejęciu klucza. Nie zamyka scenariusza, w którym ktoś ma panel przez pół roku i czeka, aż blokada spadnie. Dlatego offline na taśmie albo dysku w depozycie zostaje ostatnią warstwą, której nie da się wyłączyć z przeglądarki. Tę warstwę DataCare realizuje na co dzień: nośnik wychodzi z serwerowni, wpada do ewidencji i nie wraca do sieci produkcyjnej. Atakujący z panelem chmury tej kopii nie skasuje.
Co z antywirusem, MFA i NIS2
MFA, aktualizacje i segmentacja zmniejszają szansę, że ransomware w ogóle dojdzie do backupu. Nie odpowiadają na pytanie o bezpieczeństwo danych po tym, jak już doszedł. To dwie różne warstwy. Pierwsza ogranicza wejście. Druga pozwala wrócić bez okupu.
W polskim kontekście dochodzi jeszcze obowiązek ciągłości działania. NIS2 i KSC nie przepisują vendorowi backupu, ale wymagają zdolności odtworzenia. Audytor, który usłyszy „mamy zadanie co noc”, zapyta o ostatni test, o drugą lokalizację i o to, czy kopia da się ruszyć, gdy domena leży. Brak odpowiedzi jest gorszy niż brak nowego urządzenia.
Najkrótsza definicja, którą można powiesić w serwerowni
Dane są bezpieczne, gdy da się je odtworzyć z kopii, do której atakujący nie ma drogi. Kopia jest bezpieczna, gdy przejęty administrator produkcji nie może jej ruszyć. Backup jest zabezpieczony przed ransomware, gdy obie te rzeczy sprawdzono w tym kwartale, a nie w prezentacji z wdrożenia.
Jeśli którejś z tych trzech zdań nie da się dziś potwierdzić, zielony status w konsoli backupu nic nie zmienia. Pokazuje tylko, że zadanie się wykonało. Nie pokazuje, że firma wróci. Gdy brakuje drugiej lokalizacji i air-gap, DataCare trzyma tę kopię jako fizyczny depozyt — nie jako plik w naszej chmurze.