Zálohovanie a bezpečnosť firemných dát

Prečo je bezpečnosť dát existenčná otázka

Firemné dáta — účtovníctvo, zmluvy, databáza zákazníkov, objednávky, projektová dokumentácia — sú dnes rovnako cenné ako sklad alebo stroje. Rozdiel je v tom, že o ne prídete v priebehu sekúnd: zlyhaním disku, chybou zamestnanca, ransomvérom alebo obyčajným zmazaním nesprávneho priečinka. Kým výpadok webu na hodinu firmu nahnevá, strata dát ju môže položiť.

Väčšina malých a stredných firiem má ochranu dát v jednom z dvoch stavov: buď „nejaké zálohy niekde bežia“ a nikto presne nevie aké, alebo sa spoliehajú na to, že hosting to nejako rieši za nich. Oboje je riziko. V tomto článku prejdeme praktickú stratégiu, ktorá sa dá zaviesť aj bez veľkého rozpočtu — a hlavne sa dá otestovať.

Stratégia 3-2-1 ako základ

Overený štandard záloh sa volá 3-2-1 a je jednoduchý na zapamätanie: majte 3 kópie dát, na 2 rôznych typoch média, pričom 1 kópia je mimo lokality (offsite). Prečo práve takto?

• Tri kópie — originál plus dve zálohy znižujú šancu, že o dáta prídete naraz, na zanedbateľnú úroveň.
• Dve média — napríklad lokálny disk a cloudové úložisko. Keď zlyhá jeden typ, druhý drží.
• Jedna offsite — kópia v inej fyzickej lokalite vás chráni pred požiarom, krádežou serverov aj pred ransomvérom, ktorý zašifruje všetko dostupné v sieti.

Moderná obmena pridáva ešte pravidlo „1 kópia offline alebo nemenná“ (immutable) — teda taká, ktorú útočník ani pri plnom prístupe do siete nezmaže. Práve nemenné zálohy sú dnes najsilnejšia obrana proti ransomvéru.

V praxi to pre menšiu firmu nemusí byť drahé ani zložité: produkčné dáta bežia na serveri, jedna automatická kópia sa ukladá na samostatný disk alebo NAS v kancelárii a tretia šifrovaná kópia putuje každú noc do cloudového úložiska u iného poskytovateľa. Dôležité je, aby celý proces bežal automaticky a bez ručného zásahu — zálohy, na ktoré si musí niekto spomenúť, sa skôr či neskôr prestanú robiť.

Šifrovanie: v pokoji aj počas prenosu

Záloha, ktorá sa dostane do nesprávnych rúk, je únik dát. Preto by mala byť šifrovaná v pokoji (at rest) aj počas prenosu (in transit). V praxi to znamená, že zálohovacie súbory sa zašifrujú ešte pred odoslaním do cloudu a prenášajú sa výhradne cez TLS. Kľúč na dešifrovanie pritom nesmie ležať na tom istom serveri ako dáta — inak nemá šifrovanie zmysel.

Rovnako dôležité je šifrovanie produkčných diskov a databáz a HTTPS na všetkých službách. Toto nie je len otázka útočníkov zvonka — chráni vás aj pri odovzdaní hardvéru do servisu či jeho vyradení. Ako do seba zapadá hosting, zálohy a prevádzková spoľahlivosť, rozoberáme aj v článku Prečo je hosting a DevOps dôležitý.

Testovanie obnovy — záloha, ktorú ste neskúšali, neexistuje

Najčastejší a najbolestivejší omyl: firma roky poctivo zálohuje, no v deň havárie zistí, že zálohy sú poškodené, neúplné alebo sa z nich nedá reálne naštartovať systém. Záloha má hodnotu až vtedy, keď z nej viete obnoviť.

Preto k stratégii patrí pravidelné skúšobné obnovenie — ideálne automatizované — kde sa záloha rozbalí do izolovaného prostredia a overí sa, že dáta sedia a aplikácia beží. Súčasťou by mali byť aj dva jasné parametre:

• RPO (Recovery Point Objective) — koľko dát si môžete dovoliť stratiť (napr. maximálne 24 hodín, teda denná záloha).
• RTO (Recovery Time Objective) — ako rýchlo musíte byť späť v prevádzke (napr. do 4 hodín).

Tieto dve čísla určujú, ako často zálohovať a koľko investovať do rýchlosti obnovy. Bez nich je „zálohujeme denne“ len pocit, nie plán.

Prístupové práva a ľudský faktor

Štatisticky nespôsobuje najviac škody hacker, ale vlastný zamestnanec — omylom zmazaný priečinok, kliknutie na podvodný e-mail, heslo napísané na papieriku. Technika tu pomáha len čiastočne, zvyšok je disciplína:

• Princíp najmenších oprávnení — každý má prístup len k tomu, čo naozaj potrebuje. Účtovník nepotrebuje práva správcu servera.
• Dvojfaktorové overenie (2FA) na všetkých kritických službách — e-mail, cloud, administrácie, banka. Samotné heslo dnes nestačí.
• Odchod zamestnanca = okamžité zrušenie prístupov. Aktívne účty bývalých kolegov sú tichá diera v bezpečnosti.
• Správca hesiel namiesto zdieľaných hesiel v tabuľke či e-maile.

Aktualizácie a ochrana pred ransomvérom

Väčšina úspešných útokov nevyužíva geniálnu novú dieru, ale známu zraniteľnosť, na ktorú existuje záplata už mesiace. Pravidelné aktualizácie operačného systému, knižníc a aplikácií sú preto najlacnejšia bezpečnostná investícia vôbec. Ideálne je mať proces, ktorý bezpečnostné záplaty nasadzuje automaticky a testovane, nie „keď si niekto spomenie“.

Proti ransomvéru — ktorý zašifruje dáta a pýta výkupné — funguje kombinácia opatrení: nemenné offsite zálohy (útočník ich nezmaže), segmentácia siete, obmedzené práva, 2FA a školenie ľudí v rozpoznávaní phishingu. Ak máte overenú, čistú zálohu mimo dosahu útočníka, ransomvér sa mení z katastrofy na nepríjemnosť. Pri vlastných aplikáciách sa tieto princípy oplatí zabudovať už do návrhu — čomu sa venujeme pri vývoji softvéru na mieru.

GDPR a základná zodpovednosť za osobné údaje

Ak spracúvate osobné údaje zákazníkov či zamestnancov — a to robí takmer každá firma — máte zákonnú povinnosť ich primerane chrániť. GDPR nevyžaduje konkrétnu technológiu, ale „primerané technické a organizačné opatrenia“: šifrovanie, riadené prístupy, zálohy a schopnosť obnoviť dostupnosť dát po incidente. Vážny únik navyše podlieha ohlasovacej povinnosti do 72 hodín. Dobrá správa je, že opatrenia z tohto článku — zálohy 3-2-1, šifrovanie, riadené práva, testovaná obnova — sú presne to, čo GDPR od firmy očakáva. Bezpečnosť dát a súlad s predpismi tak idú ruka v ruke.

Kde začať bez zbytočnej paniky

Nemusíte zaviesť všetko naraz. Praktický prvý krok je audit súčasného stavu: čo, kam a ako často sa zálohuje, kto má k čomu prístup a či ste obnovu vôbec niekedy skúšali. Z toho vznikne krátky zoznam priorít podľa rizika a nákladov. Nastavíme vám automatické šifrované zálohy podľa 3-2-1, pravidelné testy obnovy a rozumné prístupové práva — bez zbytočnej byrokracie. Ak chcete mať istotu, že vaše firemné dáta prežijú aj zlý deň, ozvite sa nám alebo si pozrite našu službu hosting a DevOps.