Ochrona przed ransomware Toruń

Co w zakładzie przetwórczym traci się bezpowrotnie?

Rozmowa o ransomware zaczyna się zwykle od pytania, jak długo firma nie będzie pracować. W przetwórstwie ważniejsze jest inne pytanie: co z tego, co zniknie, nie da się odtworzyć z niczego innego. Część zbiorów w każdej firmie ma bowiem kopię w świecie zewnętrznym, a część nie ma jej nigdzie.

Zbiór	Skąd dałoby się go odzyskać	Co z tego wynika
Faktury sprzedaży	z systemu odbiorcy i z urzędu	strata odwracalna, kosztuje pracę
Zamówienia z ostatniego tygodnia	z portalu i poczty kontrahenta	strata częściowa, do złożenia ręcznie
Dane kadrowe	z dokumentów papierowych i z urzędu	odtwarzalne, choć czasochłonne
Receptury i parametry procesu	znikąd, o ile nie ma kopii	strata nieodwracalna
Zapisy z rejestracji temperatur	znikąd, o ile nie ma kopii	brak dowodu wobec odbiorcy
Wyniki badań laboratoryjnych	częściowo z laboratorium zewnętrznego	zależy od tego, kto je wykonywał
Konfiguracja wag i etykieciarek	od serwisu producenta, za dopłatą i po czasie	odtwarzalne, ale nie tego samego dnia

Cztery ostatnie wiersze decydują o tym, jak ustawiamy kopie. Zbiór, którego nie odzyska się znikąd, dostaje dłuższą retencję, osobne zadanie i miejsce poza terenem zakładu, nawet jeśli waży ułamek tego, co zajmują pliki biurowe.

Dlaczego kopia w tej samej hali nie jest kopią?

W firmie z jednym zakładem serwer i dysk z kopią stoją zwykle obok siebie, czasem w tej samej szafie. Taki układ chroni wyłącznie przed skasowaniem pliku przez człowieka, czyli przed najłagodniejszym z możliwych zdarzeń.

Nie chroni przed niczym innym. Dzieli z serwerem zasilanie, sieć, ryzyko pożaru i ryzyko zalania, które w zakładzie mytym wodą nie jest teoretyczne. Przede wszystkim jednak dzieli z nim domenę, a typowy przebieg ataku nie zaczyna się od szyfrowania, tylko od przejęcia konta z uprawnieniami i od usunięcia kopii. Bez tego kroku ofiara ma wybór i nie ma powodu płacić.

Dlatego repozytorium ustawiamy z blokadą zapisu na zadany okres, z poświadczeniami spoza domeny i bez możliwości zalogowania się z codziennego konta administratora. Pracujemy na Veeam albo na Proxmox Backup Server, zależnie od tego, na czym stoi środowisko, i nie wymieniamy narzędzia, jeżeli obecne robi swoje. Do tego dochodzi egzemplarz poza terenem zakładu, w centrum danych, replikowany po łączu.

Co robi zakład w godzinach, gdy systemy nie odpowiadają?

Produkcja nie zatrzymuje się sama z siebie, bo linie pracują niezależnie od serwerów. Zatrzymuje się to, co je otacza: przyjęcie dostawy, rejestracja parametrów, wydruk etykiet, awizacja transportu i potwierdzenie wydania.

W zakładzie spożywczym ma to jedną konsekwencję, której nie ma w firmie handlowej. Surowiec w drodze i towar w komorze mają swój własny zegar, więc decyzja „poczekamy do jutra” bywa droższa niż samo zdarzenie. Ustalamy zatem wcześniej trzy rzeczy: czy wolno przyjąć dostawę bez rejestracji w systemie i na jakim dokumencie zastępczym, kto może wydać towar bez potwierdzenia oraz w jakiej formie zapisujemy odczyty z komór, żeby dało się je później wprowadzić.

Zestaw danych potrzebnych na te godziny przygotowujemy wcześniej i odświeżamy automatycznie poza środowiskiem produkcyjnym. Bez tego pierwsza godzina schodzi na szukaniu numeru telefonu do przewoźnika w książce adresowej, która jest częścią systemu pocztowego, czyli jednego z tych, które właśnie przestały odpowiadać.

Jak ustalamy, co wraca jako pierwsze?

Kolejność powrotu spisujemy z produkcją i z działem jakości, nigdy sami, bo to decyzja biznesowa udająca techniczną. W zakładzie sezonowym wygląda inaczej w szczycie i poza nim, więc zapisujemy dwa warianty.

Zwykle pierwsze wraca to, co pozwala przyjmować i wydawać towar, drugie to rejestracja parametrów wymaganych przez odbiorcę, trzecie systemy planowania, a dopiero potem poczta, kadry i księgowość. Ta kolejność bywa zaskoczeniem dla osób, które spodziewają się poczty na pierwszym miejscu, i właśnie dlatego warto ją rozstrzygnąć przy stole, a nie w trakcie zdarzenia.

Raz na kwartał odtwarzamy wskazany system na osobnym środowisku i zapisujemy zmierzony czas oraz to, co go wydłużyło. Liczba z takiej próby jest jedyną, którą warto podawać zarządowi i ubezpieczycielowi.

Co robimy, gdy grożą ujawnieniem dokumentacji?

Druga część wymuszenia dotyczy dziś częściej danych niż samego szyfrowania, a w zakładzie produkującym pod marką odbiorcy uderza w najczulsze miejsce. Groźba publikacji receptury albo cennika dla sieci handlowej działa niezależnie od tego, czy kopie zapasowe zadziałały bez zarzutu.

Technicznie po fakcie nie da się zrobić nic i nie udajemy inaczej. Przed faktem robimy trzy rzeczy. Ograniczamy krąg osób mających dostęp do dokumentacji technologicznej i rozdzielamy go od dostępu do danych odbiorców. Włączamy rejestrowanie kopiowania plików z tych zasobów, z okresem przechowywania liczonym w miesiącach, a nie w dniach. Spisujemy listę osób i kontrahentów, którzy mają zostać powiadomieni, żeby w razie ujawnienia nie zaczynać od ustalania, kto do kogo dzwoni.

Warstwę na komputerach prowadzi ochrona stacji roboczych i serwerów, drogę wejścia najczęstszą w tym scenariuszu zamyka ochrona poczty, a obowiązki zgłoszeniowe rozpisuje NIS 2.

Czego nie da się w tej usłudze kupić?

Nie da się kupić gwarancji, że atak się nie powiedzie, bo cała konstrukcja stoi na założeniu odwrotnym. Nie prowadzimy rozmów z osobami stojącymi za atakiem i nie obsługujemy płatności na ich rzecz. Nie zabezpieczamy też materiału dowodowego dla sądu i biegłych, bo to inny warsztat i inne uprawnienia.

Nie sprzedajemy również całodobowej decyzji człowieka w kwocie miesięcznej. Monitoring i automatyczne blokowanie rozpoznanych zagrożeń działają bez przerwy, natomiast decyzje po naszej stronie podejmuje człowiek w dni robocze od 8:00 do 18:00, a dyżur poza tymi godzinami kupuje się osobno i ustala z wyprzedzeniem. Właśnie dlatego plan pracy przy odciętych systemach piszemy w formie, którą zmiana uruchomi bez naszego telefonu. Pierwszą próbę odtworzenia umówimy przez kontakt albo w biurze przy Grudziądzkiej 136.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026