NIS2: Podnieś poprzeczkę bezpieczeństwa swoich danych.

Kiedy pytamy naszych klientów o kopie zapasowe, zwykle jesteśmy zapewniani, że wszystkie ważne dane są bezpiecznie przechowywane i że wszystko jest pod opieką. Jednak późniejsza głębsza dyskusja często ujawnia, że dane nie są wcale bezpieczne.

Backup danych to oczywiste zadanie działu IT, a firma czy organizacja powinna polegać na kopiach zapasowych w razie jakiegokolwiek incydentu - czy to przypadkowego usunięcia ważnych plików, awarii sprzętu, utraty laptopa lub telefonu, czy też, coraz częściej w dzisiejszych czasach, ataku ransomware. Wymóg tworzenia kopii zapasowych, a przede wszystkim możliwość przywracania danych, wynika również z dyrektywy NIS2Dyrektywa  i powiązana z nią nowa ustawa o cyberbezpieczeństwie, gdzie rozwiązanie do tworzenia kopii zapasowych i przywracania danych jest również wymagane jako integralna część środków bezpieczeństwa cybernetycznego. Jak się często okazuje w praktyce, niektóre kopie zapasowe są przechowywane praktycznie wszędzie.Jednak nie zawsze są one w takim stanie, że w przypadku błędu, awarii lub cyberataku można je naprawdę wykorzystać do najszybszej możliwej korekty. Dlaczego tak jest i jakie są najczęstsze błędy i pomyłki podczas tworzenia kopii zapasowych?

Obsługiwany jest tylko backup, ale nie odzyskiwanie danych

Wiele firm i organizacji ma zasadniczo dobrze opracowane strategie tworzenia kopii zapasowych danych, ale nie ma planów ich przywracania w razie potrzeby. Jednocześnie plan tworzenia kopii zapasowych musi koniecznie zawierać plan odzyskiwania - tj. dokładny opis tego, jak i gdzie przechowywane są kopie zapasowe, ile czasu zajmuje przywrócenie różnych systemów i danych, gdzie występują wąskie gardła w procesie odzyskiwania i jakie procedury należy zastosować w przypadku awarii. W rezultacie dopiero po awarii podejmowana jest decyzja o tym, co można przywrócić, skąd i na jak długo. To jednak tylko wydłuża czas przestoju i zwiększa straty.

Kopia zapasowa danych nie jest stale sprawdzana

Istniejąca kopia zapasowa danych niekoniecznie oznacza, że możliwe będzie pomyślne przywrócenie danych z takiej kopii zapasowej. W przypadku każdej kopii zapasowej konieczne jest zatem regularne sprawdzanie jej funkcjonalności - tj. możliwości pomyślnego odzyskania danych. Funkcje sprawdzania kopii zapasowych są często częścią rozwiązań do tworzenia kopii zapasowych, ale często się o nich zapomina - jest to dodatkowa praca dla działu IT, a w większości organizacji funkcjonalność kopii zapasowych, podobnie jak rzeczywisty czas potrzebny na przywrócenie kluczowych systemów, jest testowana tylko sporadycznie.

Niejasna architektura lub błędna implementacja kopii zapasowych.

Niektóre przyszłe problemy z odzyskiwaniem danych, jeśli zajdzie taka potrzeba, mają swoją przyczynę już na samym początku - w niewłaściwie zaprojektowanej strategii tworzenia kopii zapasowych i jej ogólnym postrzeganiu na poziomie zarządzania. Solidne i niezawodne rozwiązanie do tworzenia kopii zapasowych nie może być traktowane wyłącznie jako inwestycja, jak często postrzega je kierownictwo, ale jako forma ubezpieczenia .

Samo tworzenie kopii zapasowych nie ochroni firmy przed awarią i nie może wygenerować żadnych zysków - podobnie jak ubezpieczenie na wypadek pożaru lub powodzi. Jeśli jednak dojdzie do wypadku, rolą kopii zapasowej jest zapewnienie jak najszybszej naprawy przy jak najmniejszych konsekwencjach - podobnie jak w przypadku ubezpieczenia.

Ponieważ kopia zapasowa nie jest inwestycją, która bezpośrednio generuje zysk, nie można obliczyć jej zwrotu. Jednak większość firm powinna być w stanie obliczyć koszty i straty, jeśli nie mają kopii zapasowej lub staje się ona bezużyteczna. W związku z tym konieczne jest zaprojektowanie strategii tworzenia kopii zapasowych, która musi odzwierciedlać różne poziomy ważności danych pod względem ich dostępności i szybkości odzyskiwania. Często okazuje się, że nie jest konieczne korzystanie z dużej pojemności najszybszej (najdroższej) pamięci masowej, ale dzięki odpowiedniej klasyfikacji danych i kombinacji pamięci masowych organizacja może znacznie obniżyć koszty niezawodnego tworzenia kopii zapasowych.

Otwarta brama dla ransomware

Funkcjonalne kopie zapasowe stanowią jedyną naprawdę skuteczną obronę przed skutkami ataków ransomware, których intensywność rośnie z każdym rokiem. Z raportu Veeam 2023 Ransomware Trends Report wynika jednak, że "w prawie wszystkich (93%) incydentach cybernetycznych przestępcy próbują zaatakować pamięć masową do przechowywania kopii zapasowych, w wyniku czego 75% organizacji traci przynajmniej część swojej pamięci masowej do przechowywania kopii zapasowych podczas ataku, a ponad jedna trzecia (39%) pamięci masowej do przechowywania kopii zapasowych zostaje całkowicie utracona".

Niestety oznacza to, że przy niewłaściwie zaprojektowanej strategii i architekturze kopii zapasowych, nawet kopie zapasowe, które miały być wykorzystane do szybkiego odzyskania danych po ataku, są atakowane i niszczone przez atakującego podczas ataku ransomware (ponownie mówimy o ubezpieczeniu i minimalizacji skutków , a nie o obronie przed cyberatakiem).

Najczęstszą przyczyną jest włączenie serwera kopii zapasowych do struktury Active Directory przedsiębiorstwa, co stanowi zaproszenie i otwarte drzwi dla atakujących. Skuteczna kopia zapasowa w przypadku ransomware musi być utrzymywana oddzielnie od sieci korporacyjnej w postaci tak zwanej niezmiennej kopii zapasowej, której nie można zniszczyć ani zaszyfrować.

Kopie zapasowe danych w chmurze nie są tworzone automatycznie

Obecnie dane korporacyjne znajdują się w tak wielu miejscach i na tak wielu nośnikach, że często trudno jest je wszystkie znaleźć (najlepiej, organizacja powinna mieć przegląd i klasyfikować swoje dane, co czasami jest prawdziwym wyzwaniem).co czasami jest prawdziwym wyzwaniem). Należy pamiętać, że zapisanie danych na dysku zewnętrznym, pendrive czy nawet w chmurze nie jest kopią zapasową . Jasne, w sytuacji kryzysowej dysk zapomniany w szufladzie biurka może uratować życie - ale kto może polegać na tym, że taki dysk akurat gdzieś leży?

Podobnie nie możemy polegać na przechowywaniu danych w usługach w chmurze. W końcu wszyscy poważni dostawcy usług w chmurze stwierdzają w swoich warunkach, że dane przechowywane w usługach takich jak Microsoft 365 nie są archiwizowane i że właściciel danych musi zadbać o ich kopię zapasową (być może w innej dedykowanej usłudze w chmurze). To samo dotyczy późniejszej długoterminowej archiwizacji tych kopii zapasowych (ze względów prawnych lub jako "złotej kopii zapasowej", gdy wszystko inne zawiedzie).

Jeśli organizacja nie zadba o klasyfikację danych i tworzenie kopii zapasowych danych, a następnie ich archiwizację, pracownik może na przykład całkowicie usunąć swoją skrzynkę e-mail i dane w firmowym SharePoint lub OneDrive, opuszczając firmę, nieodwracalnie niszcząc ważne dokumenty. Jednak dane przechowywane w chmurze mogą również zostać utracone z powodu nieostrożności lub awarii centrum danych.