Predstavte si moment, keď váš systémový administrátor s bledou tvárou oznámi, že primárny server s databázou klientov bol zasiahnutý ransomwareom a vaše jediné zálohy na lokálnom NAS (sieťovo pripojenom úložisku) boli v tej istej sekunde zašifrované, pretože mali zapnuté oprávnenia na zápis.
V tejto sekunde prestávate byť firmou s digitálnymi aktívami a stávate sa firmou, ktorá len dúfa, že útočník bude milosrdný.
Straty dát nie sú otázkou „či“, ale „kedy“. Hardvérová chyba (zlyhanie), ľudská chyba alebo kybernetický útok sú nevyhnutné. Rozdiel medzi krátkym výpadkom a definitívnym koncom podnikania je v implementácii stratégie 3-2-1.
Čo je v skutočnosti pravidlo 3-2-1?
Tento štandard nie je len odporúčaním, ale matematickým prístupom k minimalizovaniu rizika. Definuje tri základné piliere:
- 3 kópie dát: Pôvodný súbor a dve nezávislé zálohy. Ak máte len jednu zálohu, v prípade jej poškodenia máte 0 % šancu na obnovu. Pri dvoch zálohách dramaticky znižujete pravdepodobnosť simultánneho výpadku všetkých médií.
- 2 rôzne typy médií: Nikdy neukladajte všetky zálohy na rovnaký hardvér. Ak máte dve kópie na jednom RAID vrstvení (zápisovom poli), jeden elektrický impulz alebo chyba v kontroléri môže zničiť obe. Kombinujte napríklad SSD/HDD disk v serveri, externý NAS a magnetickú pásku (LTO) alebo cloud.
- 1 kópiu mimo lokality (Off-site): Jedna záloha musí byť fyzicky mimo vašej budovy. Požiar, povodeň alebo krádež serverov z kancelárie vymaže všetko, čo máte v jednej miestnosti. Tu prichádza na rad cloud alebo fyzický prepravovaný disk v trezore.
Technická implementácia a reálne náklady (TCO)
Pre väčšinu stredne veľkých podnikov v SR je najčastejším problémom „falošná bezpečnosť“. Majú zálohy, ale nemajú stratégiu. Poďme rozobrať konkrétny scenár pre firmu s dátovým objemom 5 TB kritických dát.
Lokálna vrstva (Rýchlosť obnovy)
Prvá chyba je spoliehať sa len na RAID (redundantné polia diskov). RAID nie je záloha, je to nástroj pre dostupnosť (availability). Ak niekto omylom zmaže priečinok, RAID ho zmaže v reálnom čase vo všetkých kópiách. * Odporúčanie: Implementujte snapshoty (momentky) na úrovni súborového systému (ZFS alebo Btrfs). * Náklady: Investícia do kvalitného NAS (napr. Synology alebo TrueNAS) s Enterprise diskami (Exos/Gold) – cca 1 200 € až 2 500 €.
Off-site vrstva (Bezpečnosť pred katastrofou)
Tu sa firmy často rozhodujú medzi cloudom a fyzickým prepravovaním. * Cloudové úložisko: Služby ako AWS S3 Glacier alebo Azure Archive sú extrémne lacné na ukladanie, ale drahé pri obnovení (egress fees). * Príklad: Uložiť 5 TB v S3 Glacier stojí približne 2 € až 5 € mesačne, ale vyťahovanie týchto dát späť do firmy vás môže stáť desiatky eur plus čas na sťahovanie. * Fyzický off-site: Rotácia dvoch externých diskov, ktoré sa striedajú medzi kanceláriou a domovom administrátora. Náklad je minimálny (cena diskov), ale riziko ľudského zlyhania (zabudnutý disk) je vysoké.
Pasce, na ktoré si nedáte pozor
Ako analytik v oblasti infraštruktúry vidím tri kritické chyby, ktoré menia pravidlo 3-2-1 na prázdny papier:
1. Chýbajúca nemennosť (Imutabilita) Moderné ransomwarey najprv hľadajú zálohy a zmažú ich, aby vás prinútili platiť. Ak je vaša cloudová záloha prepojená cez API s plnými právami na zápis/mazanie, útočník ju vymaže spolu s produkčným serverom. * Riešenie: Použite Object Lock (v S3) alebo WORM (Write Once Read Many). Dáta sú v stave „read-only“ po dobu X dní a nikto – ani administrátor – ich nemôže zmazať.
2. Testovanie obnovy (RTO a RPO) Záloha, ktorá nebola úspešne obnovená, nie je zálohou, ale len súborom s nádejou. * RPO (Recovery Point Objective): Koľko dát si môžeme dovoliť stratiť? (Napr. 1 hodina práce). * RTO (Recovery Time Objective): Ako dlho môže firma stáť, kým systémy nabehnú? (Napr. 4 hodiny). Ak sťahujete 5 TB z cloudu cez 100 Mbps linku, váš RTO je približne 5 dní. To je pre biznis neprijateľné.
3. GDPR a šifrovanie Pri presúvaní dát off-site (do cloudu alebo na externý disk) musíte dodržiavať EÚ regulácie. Dáta musia byť zašifrované pred odoslaním (client-side encryption). Ak použijete len šifrovanie poskytovateľa, v prípade kompromitácie kľúčov u poskytovateľa sú vaše dáta v ohrození.
Porovnanie prístupov: Cloud vs. On-premise (Lokálne)
| Parametre | Lokálny NAS + Disk | Hybridný Cloud (S3/Azure) | Magnetická páska (LTO) |
|---|---|---|---|
| Rýchlosť obnovy | Extrémne vysoká | Stredná až nízka (závisí od linky) | Nízka (manuálna manipulácia) |
| Bezpečnosť pred ransomwarem | Nízka (ak nie je air-gapped) | Vysoká (pri Object Lock) | Maximálna (fyzicky odpojené) |
| TCO (3 roky) | Stredné (hardvér + elektrina) | Variabilné (mesačné poplatky) | Vysoké (vstupná investícia do mechaniky) |
| Škálovateľnosť | Obmedzená fyzickým slotom | Prakticky nekonečná | Vysoká (lacné kazety) |
Richardov biznis verdikt: ako si zálohovanie nastaviť a prestať naň myslieť
Pravidlo 3-2-1 nie je trend, ktorý vyprší; je to základná hygiena digitálneho podnikania. Ak k nemu pristupujete len ako k „IT úlohe“, robíte chybu. Je to poistenie proti existenčnej kríze.
Moje odporúčanie pre prax: Ak ste stredne veľká firma, choďte cestou hybridnej nemennosti. 1. Lokálny snapshot na ZFS (pre okamžitý návrat). 2. Druhá lokálna kópia na samostatný NAS v inom VLAN segmente. 3. Tretia kópia v cloude s aktivovaným Object Lock (S3 Glacier Deep Archive), aby ste mali „nukleárny kryt“ v prípade totálneho útoku na vašu infraštruktúru.
Nasadenie je okamžite nevyhnutné. Každý deň bez nemennej off-site zálohy je hazardom s hodnotou celej vašej firmy.
