Ochrona przed ransomware Kraków

Co w tej pracy jest terminem, którego nikt nie przesunie

Firma handlowa liczy przestój utraconym obrotem i ta liczba rośnie równomiernie z każdą godziną. W kancelarii oraz w centrum usług wspólnych rachunek wygląda inaczej, bo obok strat bieżących stoją daty ustalone poza firmą. Sąd wyznaczył rozprawę. Deklaracja ma termin ustawowy. Wypłaty mają dzień wskazany w regulaminie. Sprawozdanie do właściciela ma datę zapisaną w kalendarzu grupy, a od niej zależy zamknięcie okresu w kilku spółkach naraz.

Te daty nie negocjują się z awarią. Przestój trwający trzy dni w połowie miesiąca bywa kosztowny, ale możliwy do odrobienia. Ten sam przestój przypadający na ostatni tydzień okresu rozliczeniowego jest zupełnie innym zdarzeniem, choć technicznie wygląda identycznie.

Dlatego pierwsze pytanie w tym projekcie nie dotyczy serwerów. Brzmi ono, które terminy w najbliższych trzech miesiącach są nie do przesunięcia i co musi działać, żeby zostały dotrzymane.

Co blokuje który termin, gdy systemy nie odpowiadają

Termin nie do przesunięcia	Co go blokuje przy odciętych systemach	Co przywracamy najpierw
Rozprawa albo termin procesowy	brak dostępu do materiałów sprawy	przestrzeń z dokumentami wraz z uprawnieniami
Deklaracja albo rozliczenie okresowe	narzędzie do rozliczeń i dane źródłowe	baza systemu rozliczeniowego i jej integracje
Wypłata wynagrodzeń	system kadrowy oraz kanał do banku	dostęp do systemu kadrowego i poświadczenia płatnicze
Sprawozdanie do właściciela	zestawienia i narzędzie raportujące	dane z zamkniętego okresu, choćby w wersji roboczej
Płatność do dostawcy z karą za zwłokę	obieg faktur i akceptacje	obieg dokumentów wraz z historią zatwierdzeń
Odpowiedź na pismo z terminem	poczta i archiwum korespondencji	skrzynki oraz zapis korespondencji z ostatnich lat
Powiadomienie obsługiwanego podmiotu	dane o zakresie zdarzenia	zapisy zdarzeń, które muszą przetrwać odtwarzanie

Wiersz ostatni jest specyficzny i łatwo go pominąć. Zapisy potrzebne do ustalenia, czyich danych zdarzenie dotyczyło, leżą zwykle w tym samym środowisku, które właśnie odtwarzacie. Dlatego trafiają do osobnego zadania, z retencją liczoną w latach i z kopią poza tym środowiskiem.

Dlaczego kolejność odtwarzania zatwierdza zarząd

Zespół techniczny odtwarza naturalnie od tego, co idzie najszybciej, ponieważ w dniu zdarzenia daje to poczucie postępu i pierwszy widoczny wynik. Jest to odruch całkowicie zrozumiały i prawie zawsze niezgodny z tym, czego firma w danym tygodniu potrzebuje.

Lista, którą przygotowujemy, powstaje więc poza informatyką. Pytamy osoby prowadzące procesy, co muszą oddać w najbliższych dniach i komu, a potem tłumaczymy tę odpowiedź na systemy. Wychodzi z tego zwykle kolejność zaskakująca dla obu stron, bo poczta spada na trzecie albo czwarte miejsce, a wysoko wchodzi narzędzie, o którym zespół techniczny wiedział, że istnieje, i nie wiedział, że wisi na nim termin ustawowy.

Listę przeglądamy raz na kwartał, ponieważ kalendarz obowiązków się zmienia. Przy każdej pozycji stoi także nazwisko osoby, która potwierdzi, że odtworzony system zawiera właściwe dane. Bez tego wskazania odtworzone środowisko czeka, aż ktoś odważy się powiedzieć, że można na nim pracować.

Jak budujemy repozytorium, do którego przejęte konto nie ma drogi

Przebieg zdarzenia rzadko zaczyna się od szyfrowania. Zaczyna się od przejęcia konta z uprawnieniami, potem idzie rozeznanie w środowisku, potem usunięcie kopii, a szyfrowanie jest ostatnie. Kolejność jest celowa, bo dopóki kopie istnieją, ofiara ma wybór.

Repozytorium ustawiamy więc tak, żeby konto przejęte w Waszej sieci nie miało do niego dojścia. Zapis blokowany na zadany okres, poświadczenia niepochodzące z katalogu tożsamości, brak logowania z konta używanego na co dzień do administrowania. Narzędzie dobieramy do środowiska, czyli Veeam z utwardzonym repozytorium Linux, Proxmox Backup Server z ochroną migawek albo przestrzeń obiektowa z blokadą obiektów.

Jeden egzemplarz trzymamy poza aglomeracją. W spółce z jednym biurem to zwykle jedyny sposób, żeby zdarzenie dotyczące budynku nie objęło danych i ich kopii naraz. Do tego dochodzą utrudnienia po stronie wejścia, czyli dostęp dostawców otwierany na czas zgłoszenia, konta administracyjne bez skrzynki pocztowej oraz wyłączone makra z internetu.

Czego dowiaduje się firma po pierwszej próbie powrotu

Plan zapisany w dokumencie zakłada, że poświadczenia są aktualne, obraz maszyny się uruchomi, a połączenia z systemami klientów ożyją same. Próba weryfikuje te założenia i kończy się listą rzeczy, które okazały się nieprawdziwe.

W spółkach usługowych powtarzają się cztery. Klucze do integracji leżały wyłącznie w środowisku, które właśnie odtwarzacie. Połączenie z systemem obsługiwanego podmiotu wymagało ponownej autoryzacji po jego stronie, a osoba uprawniona do jej udzielenia pracuje w innej strefie czasowej. Kopia obejmowała pliki bazy, ale nie jej ustawień. Odtworzenie poszło szybko, natomiast sprawdzenie poprawności danych zajęło pół dnia, bo nikt nie był wskazany do potwierdzenia.

Próbę prowadzimy raz na kwartał, poza okresem zamknięcia miesiąca, i kończymy jedną liczbą godzin. Ta liczba jest jedyną uczciwą odpowiedzią na pytanie klienta, który przed podpisaniem umowy chce wiedzieć, jak długo trwałaby przerwa u jego dostawcy.

Czego ta usługa nie obiecuje

Nie obiecuje, że żadna próba się nie powiedzie, bo cała konstrukcja stoi na odwrotnym założeniu. Nie prowadzimy rozmów z osobami stojącymi za atakiem i nie uczestniczymy w żadnej płatności na ich rzecz. Zabezpieczaniem materiału dowodowego dla sądu i biegłych również się nie zajmujemy, ponieważ wymaga to warsztatu innego niż odtwarzanie środowiska.

Nie sprzedajemy również całodobowej obecności człowieka w kwocie miesięcznej. Blokada rozpoznanego zagrożenia działa o każdej porze, sprawę prowadzi inżynier w godzinach pracy helpdesku, a dyżur poza nimi jest osobno płatny i ustalany z wyprzedzeniem.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, sprzęt obejmuje konsolą ochrona stacji roboczych i serwerów, a obowiązki wynikające z przepisów o ciągłości działania rozpisuje NIS 2. Pierwszą próbę powrotu umówimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026