Ochrona przed ransomware Kielce

Który termin biegnie dalej, kiedy Wasze pliki są zaszyfrowane?

Rozmowę o ransomware w firmie wykonawczej najlepiej zacząć od kalendarza, a nie od techniki. Zdarzenie nie zatrzymuje bowiem tego, co dla tej firmy najdroższe, czyli terminów zapisanych w umowach.

Zgłoszenie gotowości do odbioru ma datę. Dostarczenie dokumentacji powykonawczej ma datę. Faktura za etap, bez której nie ruszy płatność, wymaga protokołu, a protokół leży na serwerze. Rozliczenie podwykonawców ma swoje terminy, a ich przekroczenie kosztuje odsetki i zaufanie ludzi, z którymi pracuje się przez lata. Do tego dochodzi postępowanie z terminem składania ofert, którego nikt nie przesunie dlatego, że firma ma awarię.

Dlatego pytanie „jak szybko wrócą systemy” jest w tej branży pytaniem wtórnym. Pierwsze brzmi: co musi wrócić najpierw, żeby nie przepadł żaden termin, przy którym stoją pieniądze. Odpowiedź na nie zapisuje się przed zdarzeniem, bo w trakcie nikt nie ma spokoju, żeby ją wymyślić.

Co wraca jako pierwsze w firmie prowadzącej trzy budowy naraz?

System	Co blokuje jego brak	Miejsce w kolejce
Katalog czynnych inwestycji	odbiory, protokoły, praca kierowników na placach	pierwsze
Poczta	kontakt z inwestorem, nadzorem i dostawcami	pierwsze
Program kosztorysowy	oferty z terminem złożenia w tym tygodniu	drugie, chyba że termin jest bliżej
System fakturowy	płatności za etapy i rozliczenia podwykonawców	drugie
Katalog ofertowy	wyceny w przygotowaniu	trzecie
Archiwum zamkniętych kontraktów	sprawy z rękojmi i roszczenia	ostatnie
Dane kadrowe i szkolenia BHP	wejścia ludzi na plac budowy	zależnie od tego, czy trwa mobilizacja

Kolejność ustala kierownictwo, nie my, i właśnie w tym rzecz. Ostatni wiersz w jednej firmie stoi na końcu, a w drugiej wskakuje na początek, bo w danym miesiącu trwa rozruch nowej budowy i bez dokumentów nikogo nie wpuszczą na teren. Tabela jest szablonem do wypełnienia, a nie gotową odpowiedzią.

Dlaczego kopia w kontenerze na placu nie jest drugą lokalizacją?

Bo napastnik nie porusza się po budynkach, tylko po sieci i po uprawnieniach. Kontener na budowie jest podłączony tunelem do biura w Kielcach, korzysta z tej samej domeny i tych samych kont, więc konto z uprawnieniami sięga tam dokładnie tak samo jak do serwera w centrali. Dwadzieścia kilometrów odległości nie zmienia w tym niczego.

Sensowna druga kopia ma trzy cechy. Leży poza siecią, w której pracują dane. Ma własne poświadczenia, nieznane domenie i niedostępne z codziennego konta administratora. I ma blokadę zapisu na zadany okres, dzięki której nawet poprawnie uwierzytelniona próba usunięcia nie zadziała.

Prowadzimy to na Veeam albo na Proxmox Backup Server, zależnie od tego, na czym stoi środowisko, i nie wymieniamy narzędzia, jeśli obecne robi swoje. Repozytorium ustawiamy w centrum danych, ponieważ firma wykonawcza rzadko ma drugi własny obiekt, a barak na placu nim nie jest. Ta sama zasada porządkuje kopie dokumentacji projektowej z wersjonowaniem, żeby dało się wrócić do stanu sprzed poprawek, a nie tylko do wczorajszego.

Co robimy z wejściami projektantów i podwykonawców, zanim coś się stanie?

Statystyka zdarzeń w małych firmach wykonawczych jest mało romantyczna: napastnik zwykle nie łamie niczego, tylko wchodzi cudzym kontem. W tej branży kont z zewnątrz jest wyjątkowo dużo, bo każda inwestycja otwiera kolejne, a komputery, z których korzystają ich właściciele, nie należą do Was i nie podlegają Waszym zasadom.

Robimy z tym trzy rzeczy. Ograniczamy zasięg, więc konto podwykonawcy widzi folder swojej branży i nic poza nim, a już na pewno nie repozytorium kopii. Wiążemy dostęp z terminem kontraktu, dzięki czemu lista czynnych wejść nie rośnie w nieskończoność. I wymagamy drugiego składnika przy każdym wejściu z zewnątrz, co opisuje osobno logowanie wieloskładnikowe Kielce.

Do tego dochodzą utrudnienia po stronie własnej: konta administracyjne bez skrzynki pocztowej, wyłączone makra w dokumentach z internetu oraz zdalne wejścia firm serwisowych otwierane na czas zgłoszenia, a nie na stałe.

Jak wygląda próba odtworzenia prowadzona z Krakowa?

Nie mamy biura w Kielcach i przy tej usłudze nie ma to znaczenia, bo próba odtworzenia jest pracą do wykonania przez sieć. Uruchamiamy odtworzenie wskazanego systemu na osobnym środowisku, mierzymy czas i zapisujemy wszystko, co go wydłużyło: wolne łącze, brak miejsca w repozytorium, brakujące poświadczenia, zależność od maszyny, o której nikt nie pamiętał.

Wynik jest liczbą, a nie deklaracją, i to jest cała różnica między planem ciągłości a kartką w segregatorze. Po pierwszej próbie firma zwykle dowiaduje się dwóch rzeczy: że odtworzenie trwa dłużej, niż zakładano, i że da się to skrócić prostymi zmianami, na przykład rozdzieleniem archiwum od czynnych inwestycji.

Od Was potrzebujemy przy tym jednej osoby, która potwierdzi, że odtworzona dokumentacja jest tą właściwą. Wyjazd inżyniera z Krakowa planujemy wyłącznie wtedy, gdy zdarzenie wymaga rąk przy sprzęcie, i mówimy o tym w umowie, zamiast obiecywać obecność w godzinę.

Czego nie znajdziecie w tej umowie?

Nie znajdziecie obietnicy, że atak się nie uda, bo cała ta konstrukcja stoi na założeniu odwrotnym. Nie prowadzimy negocjacji z osobami stojącymi za zdarzeniem i nie obsługujemy płatności w ich stronę. Nie zajmujemy się też zabezpieczaniem materiału dowodowego dla sądu ani biegłych, bo to inny warsztat i inna odpowiedzialność.

Nie ma tu wreszcie całodobowej reakcji człowieka w kwocie miesięcznej. Nadzór techniczny trwa bez przerwy, decyzje zapadają w godzinach pracy helpdesku, a dyżur poza nimi kupuje się osobno i ustala z wyprzedzeniem. Stan wyjściowy pokazuje audyt bezpieczeństwa IT Kielce, a rozmowę o pierwszej próbie odtworzenia zaczniemy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026