Ochrona przed ransomware Rzeszów

Co w zakładzie kosztuje najwięcej po zaszyfrowaniu serwerów?

Nie licencje i nie sprzęt. Kosztuje przestój liczony zmianami i to, że zobowiązania wobec odbiorcy biegną dalej, choć hala stoi. Zakład pracujący jako poddostawca ma zwykle harmonogram dostaw uzgodniony na tygodnie do przodu i kary umowne za opóźnienie, więc rachunek robi się szybko.

Druga strata jest mniej oczywista i pojawia się dopiero po kilku dniach. Wyrób produkowany na podstawie cudzej dokumentacji wymaga wykazania, jak powstał: która wersja programu, jakie parametry, jakie wyniki pomiarów. Utrata tych zapisów oznacza, że partii wykonanej w zeszłym miesiącu nie da się udokumentować, a to bywa problemem większym niż sam postój, bo dotyczy wyrobu, który już wyjechał.

Dlatego ta warstwa ma dwie połowy. Jedna utrudnia wejście, druga gwarantuje powrót, i to na tę drugą kładziemy nacisk, bo pierwsza kiedyś zawiedzie.

W jakiej kolejności wraca zakład?

Kolejność	Co odtwarzamy	Co przez to rusza	Docelowy czas
1	serwer z programami na obrabiarki	możliwość uruchomienia produkcji	kilka godzin
2	system zleceń i raportowania	wiadomo, co i w jakiej ilości robić	ten sam dzień
3	magazyn i wysyłka	wyjazd gotowych partii do odbiorcy	ten sam dzień
4	serwer plików biura technicznego	przygotowanie nowych zleceń	do doby
5	poczta i kontakt z odbiorcami	odpowiedzi na pytania i awizacje	do doby
6	system handlowy i księgowość	fakturowanie i rozliczenia	do trzech dni
7	pozostałe systemy biurowe	reszta pracy administracyjnej	według możliwości

Ta tabela jest jedyną częścią planu, którą naprawdę trzeba uzgodnić z zarządem, bo to nie jest decyzja techniczna. Odwrócenie dwóch pierwszych wierszy oznacza zakład, który wie, co ma robić, i nie potrafi uruchomić maszyn. Kolejność ustalona alfabetycznie albo według wielkości plików nie ma z produkcją nic wspólnego, a właśnie tak wygląda odtwarzanie prowadzone bez planu.

Dlaczego kopia dokumentacji wymaga innej retencji niż reszta?

Bo pytania o nią przychodzą po latach. Zwykły serwer plików wystarczy odtworzyć w wersji sprzed dnia lub dwóch, bo nikt nie potrzebuje wersji sprzed roku. Z programami na maszyny i dokumentacją wyrobu jest odwrotnie: potrzebna bywa dokładnie ta wersja, na podstawie której wykonano konkretną partię.

Powody są dwa i oba praktyczne. Reklamacja dotyczy wyrobu z konkretnego miesiąca i trzeba wykazać, jak wtedy wyglądał proces. Powtórzenie zlecenia po dwóch latach ma dać identyczny wyrób, więc program musi być ten sam, nie podobny.

Dlatego dla tych zbiorów ustalamy osobną politykę: dłuższą retencję, wersje zamiast nadpisywania i opisany sposób odszukania wersji z podanej daty. Odtworzenie polegające na przeglądaniu katalogów i zgadywaniu po nazwach plików nie jest odtworzeniem, tylko poszukiwaniami.

Jak budujemy repozytorium, do którego napastnik nie ma drogi?

Zasada jest prosta w opisie i pracochłonna we wdrożeniu: kopia nie może być dostępna dla konta, które właśnie zostało przejęte. Sam fakt, że leży na innym serwerze, nie wystarcza, jeżeli oba są w tej samej domenie i ten sam administrator ma do nich dostęp.

Repozytorium stoi więc poza domeną, ma własne konta i własne hasła, a zapisy są niemodyfikowalne przez ustalony czas, czyli nie da się ich skasować ani nadpisać nawet z uprawnieniami administracyjnymi. Do tego dochodzi kopia w drugiej lokalizacji, poza zakładem, bo pożar i zalanie serwerowni nadal zdarzają się częściej niż ataki.

Osobno ograniczamy drogi rozejścia się po sieci. Konto administratora domeny nie loguje się na stacjach roboczych, segmenty biura i hali są rozdzielone, a dostęp zdalny wymaga drugiego składnika. To trzy zmiany, które nie kosztują sprzętu, a skracają zasięg zdarzenia z całej firmy do jednego działu.

Co powiecie odbiorcy, gdy zapyta o swoją dokumentację?

To pytanie pada zawsze i przychodzi wcześniej, niż firma się spodziewa, bo o zdarzeniu i tak trzeba poinformować. Odpowiedź „nie wiemy” jest najgorsza z możliwych, ponieważ odbiorca musi wtedy założyć najgorszy wariant i zacząć własne postępowanie.

Odpowiedź konkretna wymaga zapisów zbieranych przed zdarzeniem: co działo się na serwerach, jaki ruch wychodził przez urządzenie brzegowe, które konta się logowały i skąd, co widziała konsola ochrony. Trzymamy je przez ustalony czas poza systemami, których dotyczą, bo napastnik czyści je w pierwszej kolejności.

Do planu należy też lista telefonów: kto u odbiorcy odbiera taką informację, kto po Waszej stronie ją przekazuje i w jakim terminie. Zdarzenie objęte obowiązkiem zgłoszenia ma osobną ścieżkę, opisaną przy NIS 2 Rzeszów, a zawiadomienie kontrahenta bywa pilniejsze, bo jego własny termin zaczyna biec od chwili, w której się dowie.

Czego nie obiecujemy?

Nie obiecujemy, że nic się nie wydarzy, bo taka obietnica jest sygnałem, że ktoś sprzedaje Wam coś zupełnie innego. Obiecujemy skrócenie zasięgu zdarzenia i powrót z kopii w czasie, który zmierzyliśmy wcześniej w Waszym środowisku.

Nie odzyskujemy danych zaszyfrowanych przez napastnika, nie negocjujemy i nie pośredniczymy w zapłacie okupu. Nie prowadzimy też analizy dowodowej dla sądu, bo to praca dla biegłego z innym warsztatem, i mówimy o tym, zanim zaczniemy cokolwiek robić na dyskach.

Stan wyjściowy dróg wejścia pokazuje audyt bezpieczeństwa IT Rzeszów, komputery pilnuje ochrona stacji roboczych i serwerów Rzeszów, a wszystkie warstwy w jednej umowie bezpieczeństwo IT dla firm Rzeszów. Plan powrotu ułożymy po rozmowie przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026