19.09.2026
Backup offline zaczyna się w momencie, gdy nośnik znika z sieci, a nie gdy zadanie w oprogramowaniu kończy się statusem OK. CERT Polska jako jedną z metod wskazuje taśmy LTO, w tym wariant WORM, którego po zapisie nie da się nadpisać ani skasować. Pytanie, jak zrobić backup offline, sprowadza się do trzech czynności: nagrania, odłączenia i odmiejscowienia.
To nie jest niuans słownikowy. W advisory CISA dotyczącej ransomware Gunra z 2026 roku operatorzy usuwali kopie i archiwa zarówno w ośrodku podstawowym, jak i w ośrodku DR. Kopia, do której da się dojść tymi samymi uprawnieniami co do produkcji, nie jest offline. Jest drugim celem.
Co w ogóle liczy się jako offline
Offline oznacza brak ciągłej ścieżki sieciowej z przejętego środowiska. Spełniają to:
- kaseta LTO wysunięta z biblioteki i schowana poza serwerownią,
- dysk odłączony od kontrolera i od zasilania, z ewidencją wydania,
- repozytorium, które po zrzucie samo odcina interfejs do sieci produkcyjnej.
Nie spełniają tego:
- drugi wolumen na tej samej macierzy,
- share SMB „tylko do odczytu” w tym samym lesie Active Directory,
- replika w chmurze na koncie, do którego admin loguje się tym samym hasłem.
CERT dodaje jeszcze jeden warunek, łatwy do przeoczenia: serwer kopii powinien sam inicjować pobieranie danych, a nie wystawiać się na połączenia z produkcji. Ruch w drugą stronę skraca drogę ransomware do repozytorium.
Jak odmiejscowić backup, krok po kroku
Jak odmiejscowić backup w firmie, która już robi codzienny backup na dysk, da się rozpisać bez wymiany całego stosu.
- Wybierz zbiór, bez którego firma nie wraca do pracy: księgowość, poczta, kontroler domeny, bazy, szablony maszyn. Nie całą serwerownię na raz.
- Ustal RPO i RTO dla tego zbioru. RPO mówi, ile danych wolno stracić. RTO mówi, ile godzin wolno czekać na fizyczny zwrot nośnika.
- Nagraj kopię na inny nośnik niż kopia operacyjna. Taśma LTO albo zestaw dysków z rotacją.
- Odłącz nośnik. Kaseta wychodzi z slotu. Dysk schodzi z półki roboczej.
- Przekaż go poza budynek: drugi oddział z osobnym alarmem albo depozyt z ewidencją. To jest odmiejscowienie, nie „inna szafa na korytarzu”. W DataCare ten punkt wygląda tak: konwój odbiera nośnik, wpisuje numer seryjny i odstawia go do magazynu poza firmą.
- Zapisz w rejestrze: zadanie backupu, numer nośnika, hash albo etykieta, osoba, data, planowana data zwrotu.
- Co kwartał odtwórz losowy system z nośnika, który wrócił z depozytu. Nie z kopii, która leży pod ręką.
Jeśli punkt 5 odpada, masz rotację nośników w serwerowni. To lepsze niż jeden dysk, ale nadal ten sam pożar, ta sama ekipa sprzątająca i ten sam atakujący w budynku.
Jak przechowywać taśmy LTO, żeby nośnik przeżył retencję
Taśma jest tania na terabajt i dobrze znosi lata na półce, pod jednym warunkiem: fizyka. Fujifilm dla długoterminowego składowania kaset Ultrium podaje 16–25 °C i 20–50 proc. wilgotności względnej. Dla nowszych generacji, od LTO-9, częściej pojawia się 15–25 °C przy tych samych 20–50 proc. RH, bez skraplania. Gwałtowne skoki temperatury i wilgotności są gorsze niż stałe, nieidealne 22 °C.
Jak przechowywać taśmy LTO poza tabelką klimatyczną:
- kasety stoją pionowo, w opakowaniu, z dala od źródeł pola magnetycznego i kurzu,
- po transporcie nośnik leży w klimatyzowanym pomieszczeniu, zanim trafi do napędu — LTO-9 jest na to szczególnie wrażliwe,
- napęd i kaseta są z tej samej, udokumentowanej generacji; LTO-9 czyta LTO-8 i LTO-9, nie czyta dowolnej historycznej taśmy z magazynu,
- klucze szyfrowania AES-256, wbudowanego w napędy od LTO-4, nie mieszkają na tej samej kasecie co dane i nie wiszą w otwartym folderze na serwerze backupu,
- wariant WORM wybierasz tam, gdzie kopia ma być nie do skasowania nawet przez własnego administratora.
Sama szafa ognioodporna w serwerowni nie zastępuje drugiej lokalizacji. Chroni nośnik przed żarem, nie przed kimś z uprawnieniami root. Firmy, które nie chcą stawiać własnego skarbca, oddają kasety do depozytu. DataCare przechowuje taśmy LTO i dyski w warunkach zgodnych z tabelką producenta, z rotacją według harmonogramu backupu i z wpisem kto, kiedy, jaki numer seryjny.
Ile to trwa i gdzie firmy zwykle się wywracają
Odtworzenie z taśmy jest wolniejsze niż z dysku. To nie wadliwy argument „przeciw LTO”, tylko parametr RTO, który trzeba zapisać. Jeśli księgowość ma wstać w dwie godziny, depozyt musi mieć nocną procedurę wydania, a nie „odbiór w dni robocze do 16”. Jeśli akceptujecie dobę, taśma w magazynie poza miastem jest wystarczająca.
Najczęstsze błędy przy wdrażaniu offline:
- biblioteka taśmowa stoi w sieci i nikt nie wysuwa kaset, więc air-gap istnieje tylko w ofercie,
- rotacja jest, ewidencji nie ma, po roku nikt nie wie, która kaseta ma który tydzień,
- test odtworzenia robi się z kopii dyskowej, bo „taśma jest niewygodna”,
- klucze szyfrujące giną razem z serwerem backupu.
Każdy z tych punktów da się złapać na jednej ćwiczeniowej niedzieli. Lepiej tam niż w pierwszym tygodniu po incydencie.
Co z tego wynika w poniedziałek rano
Nie trzeba od razu wymieniać oprogramowania. Trzeba wskazać jedną kopię, która po nagraniu wychodzi z budynku i nie wraca do gniazda USB „na wszelki wypadek”. Jeśli nie macie drugiej lokalizacji, DataCare odbiera ten nośnik i trzyma go offline poza firmą. Jeśli dziś takiej kopii nie ma, ransomware nie musi być wyrafinowany. Wystarczy, że znajdzie ten sam share, który IT uważa za bezpieczny, bo nazywa się Backup.