Ochrona przed ransomware Katowice

Co się dzieje na hali w godzinach, gdy systemy nie odpowiadają

Odtworzenie środowiska liczy się w godzinach, czasem w dniach. Przez ten czas zakład nie znika, tylko dalej ma zmianę na stanowiskach, towar na rampie i przewoźnika, który podjechał pod bramę o wyznaczonej porze. Pytanie brzmi więc nie tylko, jak szybko wróci system, ale też co robi firma, zanim wróci.

Odpowiedź improwizowana w pierwszej godzinie jest najdroższą częścią całego zdarzenia. Nikt nie wie, czy wolno wydać towar bez dokumentu z systemu, czy zapisywać coś ręcznie, czy zatrzymać linię, czy prowadzić ją dalej. Decyzje zapadają wtedy pojedynczo, na poziomie brygad, i po powrocie systemów zaczyna się drugi problem, czyli wprowadzenie do nich tego, co działo się w międzyczasie.

Dlatego ta usługa ma dwie połowy. Pierwsza dotyczy powrotu, druga tego, co dzieje się przed nim.

Co zmiana musi mieć pod ręką, żeby pracować bez systemów

Potrzeba	Skąd bierze się normalnie	Co przygotowujemy wcześniej
Plan produkcji na najbliższą dobę	system planowania	zestawienie odświeżane automatycznie poza środowiskiem
Lista zleceń do wydania	system magazynowy	wydruk albo plik na sprzęcie poza siecią produkcyjną
Dane kontaktowe przewoźników	książka adresowa w poczcie	lista w kopii dostępnej bez logowania do domeny
Parametry nastaw dla wyrobu	dokumentacja w systemie	komplet kart w wersji papierowej przy stanowisku
Zapis wykonania zmiany	terminal na hali	formularz do wypełnienia ręcznie i wprowadzenia później
Potwierdzenie wydania towaru	dokument z systemu	ustalona zasada, czy wolno wydać i na jakiej podstawie
Kontakt do osoby decyzyjnej	komunikator i poczta	numery telefonów w wersji niezależnej od informatyki

Ostatni wiersz wygląda banalnie i bywa najczęstszym punktem, na którym ćwiczenie się zatrzymuje. Numery leżą w książce adresowej, która jest częścią systemu pocztowego, a system pocztowy jest jednym z tych, które właśnie przestały odpowiadać.

Jak przygotowujemy repozytorium, którego nie skasuje przejęte konto

Typowy scenariusz nie zaczyna się od szyfrowania. Zaczyna się od przejęcia konta z uprawnieniami, od rozejrzenia się po środowisku i od usunięcia kopii, bo bez tego kroku ofiara ma wybór. Szyfrowanie jest ostatnie.

Dlatego repozytorium ustawiamy tak, żeby przejęte konto niczego w nim nie zmieniło. Blokada zapisu na zadany okres, poświadczenia spoza domeny, brak możliwości logowania z codziennego konta administratora. W firmie z kilkoma obiektami dokładamy do tego rzecz, która nic nie kosztuje, a zmienia wiele: repozytorium stoi w innej lokalizacji niż chronione dane. Łącze między obiektami zwykle już istnieje, bo systemy i tak się przez nie widzą.

Pracujemy na Veeam albo Proxmox Backup Server, zależnie od tego, na czym stoi środowisko, i nie zmieniamy narzędzia, jeśli obecne robi swoje. Do tego dokładamy utrudnienia po stronie wejścia: dostępy firm serwisowych otwierane na czas zgłoszenia, konta administracyjne bez skrzynki pocztowej oraz wyłączone makra z internetu na stanowiskach biurowych.

Dlaczego ćwiczenie prowadzimy razem z brygadą

Próba odtworzenia sprawdza część techniczną i robimy ją co kwartał, na osobnym środowisku, kończąc jedną liczbą godzin. Ta liczba jest potrzebna zarządowi i planowaniu, ale nie mówi nic o tym, co przez te godziny dzieje się na hali.

Dlatego raz w roku przechodzimy scenariusz z ludźmi, którzy będą wtedy pracować. Ogłaszamy, że systemy są niedostępne, i patrzymy, co robi zmiana: gdzie szuka planu, kogo pyta o zgodę na wydanie, jak notuje wykonanie i po jakim czasie ktoś w ogóle powiadamia kierownictwo. Pierwszy przebieg zwykle pokazuje, że dokument opisujący tryb awaryjny istnieje w wersji elektronicznej, w miejscu, do którego przy odciętym IT nie ma dostępu.

Poprawki po takim ćwiczeniu bywają prozaiczne. Wydrukowana kartka przy stanowisku mistrza, telefon zapisany w dwóch miejscach, jedna zasada dotycząca wydania towaru zatwierdzona przez zarząd na piśmie. Kosztują niewiele i skracają pierwsze godziny bardziej niż jakiekolwiek narzędzie.

Co dzieje się w pierwszych godzinach zdarzenia

Odcinamy zasięg, czyli izolujemy stacje, wyłączamy wejścia zdalne i odłączamy repozytorium kopii od sieci produkcyjnej. Równolegle uruchamiacie tryb pracy awaryjnej w obiektach, których zdarzenie dotyczy, według wcześniej ustalonych zasad.

Potem ustalamy zakres i punkt przywracania, uruchamiamy odtwarzanie w zapisanej kolejności i powiadamiamy tych, którzy muszą wiedzieć: zarząd, utrzymanie ruchu, planowanie, obsługę klienta. Jeżeli firma podlega obowiązkowi zgłoszenia, procedura zgodności rusza równolegle, bo terminy biegną od wykrycia, a nie od zakończenia odtwarzania.

Przebieg zdarzenia zapisujemy na bieżąco, ponieważ po trzech dniach nikt nie odtworzy z pamięci, o której godzinie co zrobił, a właśnie o to zapyta zarówno organ nadzoru, jak i ubezpieczyciel.

Czego w tej usłudze nie obiecujemy

Nie obiecujemy, że atak się nie uda, bo cała konstrukcja stoi na założeniu odwrotnym. Nie rozmawiamy w Waszym imieniu z osobami stojącymi za atakiem i nie obsługujemy płatności na ich rzecz. Zabezpieczaniem materiału dowodowego dla sądu i biegłych też się nie zajmujemy, bo wymaga to innego warsztatu.

Nie sprzedajemy również całodobowej reakcji człowieka w kwocie miesięcznej. Nadzór techniczny trwa przez całą dobę, natomiast decyzje podejmuje człowiek w godzinach pracy helpdesku, a dyżur poza nimi kupuje się osobno i ustala z wyprzedzeniem. Tryb pracy awaryjnej piszemy właśnie z tego powodu w formie, którą zmiana uruchomi samodzielnie.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, warstwę na komputerach prowadzi ochrona stacji roboczych i serwerów, a wymagania regulacyjne dla ciągłości działania rozpisuje NIS 2. Pierwszą próbę odtworzenia umówimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026