O dáta neprídete pri katastrofe, ale pri obyčajnom bežnom dni — zlyhaní disku, kliknutí na phishing či zmazaní priečinka. Ukážeme praktickú stratégiu, ktorá firemné dáta ochráni a dá sa reálne otestovať.
Firemné dáta — účtovníctvo, zmluvy, databáza zákazníkov, objednávky, projektová dokumentácia — sú dnes rovnako cenné ako sklad alebo stroje. Rozdiel je v tom, že o ne prídete v priebehu sekúnd: zlyhaním disku, chybou zamestnanca, ransomvérom alebo obyčajným zmazaním nesprávneho priečinka. Kým výpadok webu na hodinu firmu nahnevá, strata dát ju môže položiť.
Väčšina malých a stredných firiem má ochranu dát v jednom z dvoch stavov: buď „nejaké zálohy niekde bežia“ a nikto presne nevie aké, alebo sa spoliehajú na to, že hosting to nejako rieši za nich. Oboje je riziko. V tomto článku prejdeme praktickú stratégiu, ktorá sa dá zaviesť aj bez veľkého rozpočtu — a hlavne sa dá otestovať.
Overený štandard záloh sa volá 3-2-1 a je jednoduchý na zapamätanie: majte 3 kópie dát, na 2 rôznych typoch média, pričom 1 kópia je mimo lokality (offsite). Prečo práve takto?
Moderná obmena pridáva ešte pravidlo „1 kópia offline alebo nemenná“ (immutable) — teda taká, ktorú útočník ani pri plnom prístupe do siete nezmaže. Práve nemenné zálohy sú dnes najsilnejšia obrana proti ransomvéru.
V praxi to pre menšiu firmu nemusí byť drahé ani zložité: produkčné dáta bežia na serveri, jedna automatická kópia sa ukladá na samostatný disk alebo NAS v kancelárii a tretia šifrovaná kópia putuje každú noc do cloudového úložiska u iného poskytovateľa. Dôležité je, aby celý proces bežal automaticky a bez ručného zásahu — zálohy, na ktoré si musí niekto spomenúť, sa skôr či neskôr prestanú robiť.
Záloha, ktorá sa dostane do nesprávnych rúk, je únik dát. Preto by mala byť šifrovaná v pokoji (at rest) aj počas prenosu (in transit). V praxi to znamená, že zálohovacie súbory sa zašifrujú ešte pred odoslaním do cloudu a prenášajú sa výhradne cez TLS. Kľúč na dešifrovanie pritom nesmie ležať na tom istom serveri ako dáta — inak nemá šifrovanie zmysel.
Rovnako dôležité je šifrovanie produkčných diskov a databáz a HTTPS na všetkých službách. Toto nie je len otázka útočníkov zvonka — chráni vás aj pri odovzdaní hardvéru do servisu či jeho vyradení. Ako do seba zapadá hosting, zálohy a prevádzková spoľahlivosť, rozoberáme aj v článku Prečo je hosting a DevOps dôležitý.
Najčastejší a najbolestivejší omyl: firma roky poctivo zálohuje, no v deň havárie zistí, že zálohy sú poškodené, neúplné alebo sa z nich nedá reálne naštartovať systém. Záloha má hodnotu až vtedy, keď z nej viete obnoviť.
Preto k stratégii patrí pravidelné skúšobné obnovenie — ideálne automatizované — kde sa záloha rozbalí do izolovaného prostredia a overí sa, že dáta sedia a aplikácia beží. Súčasťou by mali byť aj dva jasné parametre:
Tieto dve čísla určujú, ako často zálohovať a koľko investovať do rýchlosti obnovy. Bez nich je „zálohujeme denne“ len pocit, nie plán.
Štatisticky nespôsobuje najviac škody hacker, ale vlastný zamestnanec — omylom zmazaný priečinok, kliknutie na podvodný e-mail, heslo napísané na papieriku. Technika tu pomáha len čiastočne, zvyšok je disciplína:
Väčšina úspešných útokov nevyužíva geniálnu novú dieru, ale známu zraniteľnosť, na ktorú existuje záplata už mesiace. Pravidelné aktualizácie operačného systému, knižníc a aplikácií sú preto najlacnejšia bezpečnostná investícia vôbec. Ideálne je mať proces, ktorý bezpečnostné záplaty nasadzuje automaticky a testovane, nie „keď si niekto spomenie“.
Proti ransomvéru — ktorý zašifruje dáta a pýta výkupné — funguje kombinácia opatrení: nemenné offsite zálohy (útočník ich nezmaže), segmentácia siete, obmedzené práva, 2FA a školenie ľudí v rozpoznávaní phishingu. Ak máte overenú, čistú zálohu mimo dosahu útočníka, ransomvér sa mení z katastrofy na nepríjemnosť. Pri vlastných aplikáciách sa tieto princípy oplatí zabudovať už do návrhu — čomu sa venujeme pri vývoji softvéru na mieru.
Ak spracúvate osobné údaje zákazníkov či zamestnancov — a to robí takmer každá firma — máte zákonnú povinnosť ich primerane chrániť. GDPR nevyžaduje konkrétnu technológiu, ale „primerané technické a organizačné opatrenia“: šifrovanie, riadené prístupy, zálohy a schopnosť obnoviť dostupnosť dát po incidente. Vážny únik navyše podlieha ohlasovacej povinnosti do 72 hodín. Dobrá správa je, že opatrenia z tohto článku — zálohy 3-2-1, šifrovanie, riadené práva, testovaná obnova — sú presne to, čo GDPR od firmy očakáva. Bezpečnosť dát a súlad s predpismi tak idú ruka v ruke.
Nemusíte zaviesť všetko naraz. Praktický prvý krok je audit súčasného stavu: čo, kam a ako často sa zálohuje, kto má k čomu prístup a či ste obnovu vôbec niekedy skúšali. Z toho vznikne krátky zoznam priorít podľa rizika a nákladov. Nastavíme vám automatické šifrované zálohy podľa 3-2-1, pravidelné testy obnovy a rozumné prístupové práva — bez zbytočnej byrokracie. Ak chcete mať istotu, že vaše firemné dáta prežijú aj zlý deň, ozvite sa nám alebo si pozrite našu službu hosting a DevOps.
Závisí od toho, koľko dát si môžete dovoliť stratiť (parameter RPO). Pre bežnú firmu je minimum denná automatická záloha, pri intenzívne meniacich sa dátach (e-shop, objednávky) aj niekoľkokrát denne. Dôležitejšie než frekvencia je, aby zálohy boli šifrované, mimo lokality a pravidelne testované.
Nie. Jeden disk je jediný bod zlyhania — zlyhá hardvér, ukradnú ho, alebo ho zašifruje ransomvér spolu so serverom. Riaďte sa pravidlom 3-2-1: tri kópie, dve rôzne médiá, jedna mimo lokality. Ideálne aspoň jedna kópia nemenná alebo offline.
Kľúčová je nemenná (immutable) offsite záloha, ktorú útočník nezmaže ani pri plnom prístupe do siete. K tomu patria aktualizácie systému, obmedzené prístupové práva, dvojfaktorové overenie a školenie ľudí proti phishingu. S čistou, overenou zálohou sa útok mení z katastrofy na nepríjemnosť.
Ozvite sa a do pár dní máte návrh riešenia aj s časovým plánom. Bez záväzkov, bez rečí okolo.
