96% ataków ransomware celuje w backup. 
Nie w serwery.

To nie jest metafora. 96% ataków ransomware w pierwszej kolejności celuje w środowisko backupowe - bo atakujący wiedzą dokładnie to samo co każdy administrator: ten, kto ma aktualną kopię, ma wyjście. Cel jest więc prosty: zabrać wyjście przed zaszyfrowaniem reszty.

Organizacja, dla której realizowaliśmy ten projekt, jest jedną z największych instytucji IT w polskim sektorze publicznym. Przez jej systemy przepływają miliardy złotych miesięcznie. Tysiące użytkowników, setki serwerów, ponad petabajt danych. Godzina przestoju to nie koszt operacyjny - to bezpośrednia konsekwencja dla milionów ludzi.

Przez lata odpowiedź na pytanie o bezpieczeństwo brzmiała: mamy backup. I to było prawdą. Problem w tym, że hakerzy potrafią przebywać w sieci ofiary przez przeciętnie 9 miesięcy przed uderzeniem. Przez 9 miesięcy rozpoznają infrastrukturę, mapują systemy backupowe, czekają. Kiedy w końcu działają - atakują wszystko jednocześnie, łącznie z kopiami.

Tradycyjny backup nie chroni przed tym scenariuszem, bo kopiuje dane i kopiuje infekcję, która jest w nich od miesięcy. Pytanie zmieniło się z "czy mamy backup" na "czy nasz backup przeżyje atak". I nikt nie umiał odpowiedzieć z pewnością opartą na faktach.

Zasada działania: izolowane środowisko przechowywania danych otwiera się od środka - jednostronnym kanałem, na 15-40 minut podczas okna synchronizacji. Po tym czasie fizycznie lub logicznie znika z sieci. Nie ma adresu, do którego można trafić z zewnątrz. Infekcja w systemach produkcyjnych nie ma fizycznej drogi do Bunkra.

Zanim uruchomiono Bunkier, organizacja miała backup i miała deklarację bezpieczeństwa. Dziś ma coś innego: udokumentowany, mierzony i powtarzalny czas odtworzenia każdego z krytycznych systemów. Mierzony - bo testowany. Powtarzalny - bo przeprowadzany regularnie. Audytowalny - bo każda sesja testowa generuje pełną dokumentację.

Nieplanowanym efektem ubocznym była radykalna uproszczenie architektury zarządzania kopiami. Kilkanaście rozproszonych narzędzi backupowych zastąpił jeden, logicznie zaprojektowany system z centralnym monitoringiem i automatycznym raportowaniem. Mniej miejsc, w których może pójść coś nie tak. Mniej decyzji podejmowanych ręcznie pod presją czasu.

NIS2 weszła w życie. DORA zdefiniowała nowe wymogi dla sektora finansowego. W Polsce, zgodnie z danymi CERT Polska, liczba incydentów cyberbezpieczeństwa w sektorze publicznym rośnie rok do roku. Pytanie nie brzmi już "czy mamy procedury". Brzmi: "czy te procedury były kiedykolwiek przetestowane pod warunkami realnego ataku?"

Ten projekt jest jednym z największych wdrożeń cyber recovery w polskim sektorze publicznym. Pokazuje, że odporność na ransomware da się zaprojektować od podstaw, zbudować w środowisku tej skali i udokumentować w sposób, który akceptuje zarząd, audytor i regulator. Że "to niemożliwe" to często tylko "jeszcze tego nie robiliśmy".

Dla Engave to potwierdzenie tezy, w którą wierzymy od lat: bezpieczeństwo danych mierzy się powtarzalnymi wynikami testów - nie deklaracjami, nie certyfikatami, nie liczbą wdrożonych narzędzi. Reszta to literatura.