Ochrona przed ransomware Szczecin

Co musi wrócić, żeby pierwszy kierowca wjechał na plac

Rozmowa o odtwarzaniu zaczyna się zwykle od pytania o serwery. To złe pytanie. Właściwe brzmi: co musi działać, żeby firma znów zaczęła zarabiać, i w jakiej kolejności to uruchamiać.

W firmie spedycyjnej odpowiedź jest zaskakująco konkretna. Potrzebna jest lista zleceń w toku, kontakt do kierowców, możliwość wystawienia dokumentu i sposób wpuszczenia pojazdu na teren. Cała reszta, łącznie z rozliczeniami i raportowaniem, może poczekać kilka dni bez zatrzymania ruchu.

Dlatego pierwszym dokumentem, jaki powstaje w tym wdrożeniu, nie jest konfiguracja kopii, tylko jednostronicowa lista powrotu. Powstaje przy stole z dyspozytornią, kierownikiem magazynu i osobą od rozliczeń. Każdy wskazuje, co zatrzymuje jego pracę natychmiast, a co da się obejść.

Jak wygląda tryb awaryjny, zanim systemy wrócą

Czynność	Normalnie	Na trybie awaryjnym
Lista zleceń w toku	ekran w systemie	wydruk z ostatniego zamknięcia doby
Awizacja pojazdu	slot w portalu	telefon i lista przy bramie
Dokument przewozowy	wydruk z systemu	druk papierowy uzupełniany ręcznie
Kontakt do kierowcy	karta w systemie	wykaz numerów u dyspozytora
Potwierdzenie odbioru	skan do systemu	teczka do wprowadzenia później
Informacja dla zleceniodawcy	automatyczny status	telefon i wiadomość z prywatnego kanału

Ten wykaz drukujemy i zostawiamy w dyspozytorni, a raz na kwartał sprawdzamy, czy numery i druki są aktualne. Kosztuje to kilkanaście minut, a decyduje o pierwszych godzinach, w których nikt jeszcze niczego nie odtworzył.

Dlaczego kopia widoczna dla administratora nie jest zabezpieczeniem

Atak nie zaczyna się od szyfrowania. Zaczyna się od przejęcia konta i rozglądania po środowisku, czasem przez wiele dni. Szyfrowanie jest ostatnim krokiem i poprzedza je zawsze to samo: usunięcie tego, z czego dałoby się wrócić.

Kopia widoczna dla konta administratora znika w tym momencie razem z resztą. Kopia z blokadą zapisu po stronie repozytorium nie znika, bo przez ustalony czas nie da się jej zmienić ani skasować, i nie może tego zrobić nikt, także my. To jedyna różnica, która realnie decyduje o wyniku incydentu.

Drugą warstwą jest oddzielenie fizyczne. Kopia leżąca w tej samej szafie co serwer chroni przed skasowaniem pliku i przed niczym więcej. Dlatego przy wdrożeniu ustalamy, gdzie stoi drugi egzemplarz i jak długo trwa jego sprowadzenie, bo przy dużych bazach transfer bywa dłuższy od samej awarii.

Co pokazuje ćwiczenie, czego nie widać w planie

Ćwiczenie robimy cyklicznie i za każdym razem wychodzi coś nowego. Najczęściej brakująca licencja potrzebna do uruchomienia bazy na innym sprzęcie. Hasło do konsoli wirtualizatora znane jednej osobie, która akurat jest na urlopie. Zależność systemu spedycyjnego od usługi katalogowej, o której nikt nie pamiętał, bo działała od siedmiu lat.

Mierzymy przy tym czas i zapisujemy go w raporcie. Liczba z pomiaru zmienia rozmowę z zarządem, bo zamiast dyskusji o teoretycznej odporności pojawia się konkret: pierwszy krytyczny system wraca w tyle a tyle godzin, całe środowisko w tyle a tyle dni.

Przy ćwiczonym planie celujemy w cztery godziny dla pierwszego systemu, ale liczba ta ma sens wyłącznie wtedy, gdy pochodzi z próby przeprowadzonej w Waszym środowisku, a nie z ogólnego założenia.

Gdzie kończy się nasza rola przy incydencie

Odcinamy zainfekowane maszyny, zabezpieczamy ślady, ustalamy punkt czasowy sprzed infekcji i odtwarzamy z kopii nietkniętej po tym punkcie. Równolegle szukamy drogi wejścia, bo powrót bez zamknięcia luki kończy się powtórką.

Nie prowadzimy negocjacji z atakującym i nie pośredniczymy w żadnej płatności. Nie zajmujemy się zgłoszeniami do organów ani powiadamianiem klientów, choć przygotowujemy dane techniczne, których takie zgłoszenie wymaga. Obowiązki wynikające z przepisów opisuje NIS 2 dla firm w Szczecinie.

Warstwę wykrywania na samych komputerach prowadzi ochrona stacji i serwerów, a najczęstszą drogę wejścia zamyka ochrona poczty. Stan przygotowania sprawdza audyt bezpieczeństwa IT. Rozmowę o zakresie zaczniemy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026