Ransomware zatrzymał w ostatnich latach dziesiątki polskich urzędów, szpitali i wodociągów. W każdej z nich pierwsze pytanie po ataku brzmiało tak samo: „Czy mamy działającą kopię zapasową?”. Zbyt często odpowiedź brzmiała: „mamy, ale…”. Ten artykuł pokazuje, jak zaprojektować backup w JST tak, żeby po ataku odtworzenie było kwestią godzin, a nie tygodni — i jak sprawdzić, że plan naprawdę działa.

Dlaczego JST jest atrakcyjnym celem dla ransomware

Jednostki samorządu terytorialnego mają wszystko, czego szuka grupa ransomware: dane wrażliwe (rejestry mieszkańców, świadczenia, akta), presję na szybkie przywrócenie usług publicznych, ograniczone budżety na cyberbezpieczeństwo i rozproszoną infrastrukturę (urząd, jednostki oświatowe, OSP, spółki komunalne). Do tego często brak segmentacji sieci — jedna zainfekowana stacja w szkole może się rozejść po całej domenie urzędu.

Skutek ataku to nie tylko okup. To także przerwa w obsłudze mieszkańców, zgłoszenie do UODO w razie wycieku danych osobowych, obowiązek raportowania do CSIRT NASK oraz osobista odpowiedzialność kierownika jednostki wynikająca z ustawy o KSC. Koszt reputacyjny lokalnie potrafi być wyższy niż finansowy.

Zasada 3-2-1-1-0 w praktyce urzędu

Klasyczna zasada 3-2-1 (3 kopie, 2 nośniki, 1 poza lokalizacją) w erze ransomware jest za słaba. Nowoczesny standard to 3-2-1-1-0:

3 — trzy niezależne kopie danych

Kopia produkcyjna i dwie kopie zapasowe. Kopie muszą obejmować pełny zakres: systemy dziedzinowe (EZD, systemy podatkowe, świadczenia), pocztę, udziały plikowe, konfiguracje serwerów, bazy danych i katalogi Active Directory.

2 — dwa różne nośniki

Np. dysk sieciowy plus taśma, albo dysk plus chmura. Chodzi o to, aby awaria jednego typu nośnika nie zabrała wszystkich kopii jednocześnie.

1 — jedna kopia poza lokalizacją

Off-site: druga serwerownia, chmura polskiego operatora, kopia u zaufanego dostawcy. Kopia w tym samym pomieszczeniu co serwer produkcyjny nie chroni przed pożarem ani zalaniem.

1 — jedna kopia offline lub immutable

To jest kluczowy element w erze ransomware. Kopia musi być niedostępna z sieci produkcyjnej — na taśmie, w chmurze z blokadą WORM (Write Once Read Many) albo na macierzy z funkcją immutable snapshots. Ransomware nie usunie tego, do czego nie ma połączenia.

0 — zero błędów w teście odtworzenia

Kopia, której nie można odtworzyć, nie istnieje. Test restore należy wykonywać co najmniej kwartalnie i dokumentować w rejestrze SZBI.

Co należy backupować w urzędzie — mapa krytyczności

Nie wszystko wymaga takiego samego RPO (dopuszczalna utrata danych) i RTO (dopuszczalny czas odtworzenia). Warto podzielić zasoby na trzy poziomy:

• Poziom 1 — krytyczne: EZD, systemy finansowe, systemy świadczeń, ewidencja ludności. RPO ≤ 4 h, RTO ≤ 8 h. Backup ciągły lub co godzinę, replikacja do drugiej lokalizacji.
• Poziom 2 — ważne: poczta, udziały plikowe wydziałów, systemy kadrowe. RPO ≤ 24 h, RTO ≤ 48 h. Backup dobowy.
• Poziom 3 — pomocnicze: archiwa, stacje robocze użytkowników. RPO ≤ 7 dni. Backup tygodniowy lub obraz systemu przy zmianie użytkownika.

Klasyfikacja musi być zatwierdzona przez kierownika jednostki i zaktualizowana co roku — nowe systemy wchodzą, stare wychodzą z eksploatacji.

Test odtworzenia — najczęściej pomijany element

Z naszej praktyki audytowej: 80% urzędów ma zaplanowany backup, ale mniej niż 20% regularnie testuje odtworzenie. Test powinien obejmować:

1. Wybór losowego zasobu z każdego poziomu krytyczności.
2. Odtworzenie do środowiska izolowanego (nie produkcyjnego).
3. Weryfikacja integralności — czy baza danych startuje, czy dokumenty są otwieralne, czy poczta zawiera oczekiwane wiadomości.
4. Pomiar rzeczywistego RTO — ile realnie zajęło odtworzenie.
5. Zapis w rejestrze SZBI z podpisem administratora.

Wyniki testów są cennym dokumentem podczas audytu KSC i kontroli NIK — pokazują, że urząd nie tylko posiada plan, ale go weryfikuje.

Plan Disaster Recovery — kiedy backup to za mało

Backup odtwarza dane. Plan DR odtwarza usługę dla mieszkańca. Musi opisywać kolejność uruchamiania systemów, zależności między nimi (np. AD przed EZD), zapasowe stanowiska pracy dla urzędników i tryb awaryjnej obsługi kasy urzędu. Dobry plan ciągłości działania w JST mieści się na 20–30 stronach i jest ćwiczony raz w roku.

Jeżeli Twoja jednostka ma wątpliwości, czy backup wytrzyma prawdziwy atak — najtaniej sprawdzić to na sucho, w warunkach kontrolowanych. Pomagamy JST projektować politykę kopii zapasowych, wdrażać kopie immutable i przeprowadzać kontrolowane testy odtworzenia.