Ochrona przed ransomware Warszawa

Przed kim odpowiadacie, gdy systemy staną na trzy dni

W firmie produkcyjnej przestój liczy się przede wszystkim własną stratą. W warszawskiej firmie usługowej rachunek jest podwójny, bo obok utraconego przychodu stoją zobowiązania podpisane wobec klientów: dostępność systemu, termin przekazania wyniku pracy, poufność powierzonych materiałów, obowiązek poinformowania o zdarzeniu w określonym czasie.

To zmienia sposób przygotowania. Pytanie nie brzmi wyłącznie, jak szybko wrócimy do pracy, tylko które elementy trzeba przywrócić najpierw, żeby nie uruchomić zapisów z umowy, oraz co i komu trzeba będzie powiedzieć w pierwszej dobie.

Co z umowy uruchamia się w którym momencie

Zobowiązanie z umowy z klientem	Kiedy zaczyna być naruszone	Co je zamyka po naszej stronie
Dostępność systemu udostępnianego klientowi	od pierwszych godzin przestoju	usługa na początku listy powrotu
Termin przekazania efektu pracy	po utracie dnia albo dwóch	kopia z krótkim odstępem punktów odtworzenia
Poufność powierzonych materiałów	przy wyprowadzeniu danych na zewnątrz	kontrola ruchu wychodzącego i alert o dużym transferze
Obowiązek powiadomienia o zdarzeniu	od chwili ustalenia zakresu	gotowy opis techniczny do przekazania
Zachowanie zapisów zdarzeń	przy braku danych do wyjaśnienia	wydłużona retencja logów, poza odtwarzanym środowiskiem
Ciągłość dostępu zespołu klienta	przy zablokowanych kontach	odtworzenie tożsamości przed aplikacjami
Zwrot albo usunięcie danych po zakończeniu	przy nieuporządkowanych kopiach	opisana retencja i wykaz miejsc przechowywania

Kolumna środkowa jest powodem, dla którego kolejność odtwarzania zatwierdza zarząd. Zespół techniczny odtwarza naturalnie od tego, co najprostsze, bo w dniu zdarzenia daje to poczucie postępu. Umowa premiuje coś innego i to musi być ustalone wcześniej, na spokojnie.

Dlaczego kopia w tym samym miejscu co dane nie jest kopią

Najczęstszy układ w firmie bez serwerowni wygląda tak: dane w usłudze dostawcy, migawki obok nich, wszystko dostępne z jednego konta z pełnymi uprawnieniami. Taki zestaw chroni przed awarią i przed skasowaniem pliku przez użytkownika. Przed atakiem nie chroni w ogóle, bo to samo konto, którym napastnik działa, ma prawo usunąć migawki, i robi to przed jakimkolwiek szyfrowaniem.

Rozwiązaniem jest oddzielenie uprawnień i czasu. Repozytorium przyjmuje zapis, ale przez ustalony okres nie pozwala niczego zmienić ani skasować, także nam. W praktyce budujemy to na Veeam z utwardzonym repozytorium Linux, na Proxmox Backup Server z ochroną migawek albo na przestrzeni obiektowej z blokadą obiektów. Do tego jeden egzemplarz poza dostawcą, u którego stoi produkcja, i poza aglomeracją, żeby zdarzenie dotykające jednego węzła nie objęło obu miejsc naraz.

Co ćwiczenie powrotu pokazuje, a plan przemilcza

Dokument zakłada, że poświadczenia są aktualne, obraz maszyny się uruchomi, a integracje ożyją same. Ćwiczenie sprawdza to naprawdę i kończy się listą rzeczy, które wywróciło. W firmach usługowych powtarzają się trzy: sekrety i klucze przechowywane wewnątrz środowiska, które właśnie odtwarzacie, integracje wymagające ponownej autoryzacji u drugiej strony oraz konfiguracja infrastruktury opisana wyłącznie w czyjejś pamięci.

Test prowadzimy obok produkcji, na osobnym środowisku, i zamykamy jedną liczbą: ile czasu minęło od decyzji do momentu, w którym z usługi da się korzystać. Ta liczba jest jedyną uczciwą odpowiedzią na pytanie zarządu i na pytanie klienta, który przed podpisaniem umowy chce wiedzieć, jak długo potrwałaby przerwa.

Co przygotowujemy, zanim cokolwiek się wydarzy

Dwie rzeczy, obie po to, żeby pierwsze godziny nie były improwizacją. Pierwsza to krótka karta postępowania dla Waszego zespołu: kogo zawiadomić, co odłączyć od sieci i czego nie wyłączać, bo wyłączenie maszyny kasuje ślady potrzebne do ustalenia drogi wejścia. Druga to szablon opisu zdarzenia, w którym pola techniczne uzupełniamy my, a decyzje i oświadczenia pozostają po stronie zarządu.

Podział ról zapisujemy przy wdrożeniu. Kto prowadzi sprawę techniczną, kto rozmawia z klientami, kto z prawnikiem, kto podejmuje decyzję o odtwarzaniu i o kolejności. Ustalenie tego przed zdarzeniem kosztuje jedno spotkanie, a w trakcie zdarzenia oszczędza pół dnia.

Na co nie damy gwarancji

Nie gwarantujemy, że żadna próba się nie powiedzie, bo całe wdrożenie stoi na założeniu odwrotnym. Gwarantujemy, że macie z czego wrócić, wiecie w jakiej kolejności i znacie czas z pomiaru. Rozmów z atakującymi nie prowadzimy i nie bierzemy udziału w żadnej płatności na ich rzecz. Badania śledczego przygotowywanego pod potrzeby sądu również nie wykonujemy, bo to osobna specjalność z własnymi wymaganiami dowodowymi.

Warstwę wykrywania na komputerach opisuje ochrona stacji roboczych i serwerów, drogę wejścia przez skrzynkę zamyka ochrona poczty, a wymagania regulacyjne dla ciągłości działania rozpisuje NIS 2. Plan powrotu ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026