Kopia zapasowa danych: zasada 3-2-1 w domu i w małej firmie

Wystarczy jeden upadek laptopa, jedna kradzież z samochodu albo jeden otwarty załącznik z fałszywej faktury, żeby zniknęły zdjęcia z dziesięciu lat, umowy z klientami i cała korespondencja firmy. Większość osób wie, że powinna mieć kopię zapasową. Mniej osób wie, że kopia na dysku podłączonym na stałe do komputera przed częścią tych zdarzeń wcale nie chroni.

Ataków szyfrujących dane przybywa: 179 w 2025 roku

Ransomware to złośliwe oprogramowanie, które szyfruje pliki i żąda okupu za klucz do ich odszyfrowania. Według raportu rocznego CERT Polska w 2025 roku zespół odnotował 179 takich ataków, wobec 147 w 2024 roku i 161 w rekordowym dotąd 2023 roku. 129 zgłoszeń przyszło od firm prywatnych, 30 od instytucji publicznych, a 20 od osób prywatnych.

Ta liczba obejmuje tylko przypadki zgłoszone. W całym 2025 roku CERT Polska otrzymał 658 320 zgłoszeń i zarejestrował na ich podstawie 260 783 unikalne incydenty bezpieczeństwa. W raporcie zwraca też uwagę jeden szczegół: operatorzy ransomware zwykle starają się zniszczyć kopie zapasowe, zanim zażądają zapłaty. Kopia, do której atakujący ma dostęp, jest dla niego po prostu kolejnym celem.

Ransomware najczęściej wchodzi przez niezałatane usługi, słabe hasła i maile

CERT Polska wymienia trzy najczęstsze źródła ataku. Pierwszym są luki w usługach dostępnych z internetu, takich jak VPN, zdalny pulpit czy serwer pocztowy, wykorzystywane często w ciągu godzin albo dni od ujawnienia. Drugim są słabo zabezpieczone, zwykle słabym hasłem, kanały zdalnego dostępu. Trzecim są maile, które nakłaniają do otwarcia załącznika albo pliku z linku. Aktualizacje i dobre hasła zmniejszają ryzyko, ale go nie usuwają, dlatego ostatnią linią obrony zostaje kopia.

Zasada 3-2-1: trzy kopie, dwa nośniki, jedna odizolowana

Poradnik ransomware CERT Polska, przygotowany dla małych organizacji i osób prywatnych, opisuje regułę 3-2-1 w trzech punktach:

• trzymaj co najmniej trzy kopie danych,
• co najmniej dwie z nich przechowuj na różnych nośnikach,
• co najmniej jedną odizolowaną, żeby złośliwe oprogramowanie nie mogło jej zaszyfrować.

Trzecia kopia jest najważniejsza i najczęściej jej brakuje. Dysk zewnętrzny, który po wykonaniu kopii zostaje w szufladzie, jest odizolowany. Ten sam dysk podłączony na stałe już nie. CERT Polska zaleca wprost, żeby kopia zapasowa nie była podłączona jako zasób sieciowy w sieci roboczej, bo wtedy ransomware traktuje ją jak każdy inny folder.

Jak zastosować 3-2-1 w domu

Pierwszą kopią są dane, na których pracujesz na co dzień, w komputerze albo w telefonie. Drugą może być dysk zewnętrzny, na który raz na jakiś czas kopiujesz zdjęcia i dokumenty, a potem go odłączasz. Trzecia powinna leżeć gdzie indziej: na drugim dysku trzymanym poza domem albo w usłudze przechowywania danych w internecie.

Przy usługach internetowych warto odróżnić kopię od synchronizacji. Folder, który na bieżąco odzwierciedla zawartość komputera, powtórzy także zaszyfrowanie albo skasowanie pliku. Warunek izolacji spełnia dopiero kopia, której zmiana na komputerze nie nadpisze od razu.

Jak zastosować 3-2-1 w małej firmie

CERT Polska radzi zacząć od kilku pytań: czy firma w ogóle ma procedurę tworzenia kopii, czy kopie są aktualne, czy powstają regularnie, czy są przechowywane w sposób trwały i czy rzeczywiście pozwalają odtworzyć pracę. Poradnik wymienia dane, o które trzeba zadbać w pierwszej kolejności: informacje o kontrahentach, dane kadrowo-płacowe, a także obrazy systemów i oprogramowania, na którym pracują ludzie.

W praktyce oznacza to listę: co kopiujemy, jak często, na jaki nośnik, kto za to odpowiada i gdzie leży kopia odizolowana. Faktury wystawione w KSeF system przechowuje przez 10 lat, ale umowy, korespondencja i pliki robocze nadal są po stronie firmy. Piszemy o tym w tekście o tym, co KSeF zmienia w małej firmie.

Kopia, której nikt nie sprawdził, bywa bezużyteczna

CERT Polska zaleca regularne testowanie kopii pod kątem przywrócenia danych. Chodzi o to, żeby po ataku nie odkryć, że kopia wprawdzie istnieje, ale z powodu błędu nie da się z niej wrócić do stanu sprzed infekcji. Test polega na odtworzeniu kilku plików albo całego folderu na innym urządzeniu i sprawdzeniu, czy się otwierają.

Bez kopii w ponad 95 procentach przypadków nie da się pomóc

Ministerstwo Cyfryzacji w poradniku o skutkach ataków ransomware nie zostawia złudzeń: ofierze, która nie ma kopii zapasowej, w ponad 95 procentach przypadków nie da się pomóc. Szansa pojawia się tylko wtedy, gdy przestępca popełnił błąd. Ministerstwo ostrzega też przed firmami, które obiecują odzyskanie danych, a w praktyce pośredniczą w płaceniu okupu.

Gdy do ataku dojdzie, poradnik zaleca kolejno: odłączyć zainfekowane urządzenia od sieci, nie wyłączać komputera, zrobić zdjęcie komunikatu przestępców i zgłosić incydent do CERT Polska przez stronę incydent.cert.pl. Na stronie nomoreransom.org można sprawdzić, czy dla danego rodzaju ransomware istnieje bezpłatne narzędzie do odszyfrowania. Dane przywraca się z kopii dopiero po sprawdzeniu, że ona sama nie jest zainfekowana.

Kopia to także archiwum na lata

Kopia zapasowa chroni nie tylko przed atakiem. Dokumenty sprzed lat bywają potrzebne w sprawach, o których dziś nikt nie myśli. Stara umowa zlecenia może po zmianach z 2026 roku wydłużyć staż pracy i urlop, jeśli ZUS nie ma danych o tamtym okresie. Dowody wpłat przydają się, gdy po latach odzywa się wierzyciel, a Ty musisz policzyć, czy dług nie jest już przedawniony. W obu sytuacjach wygrywa ten, kto potrafi pokazać dokument z datą.