Kopia zapasowa w małej firmie: 179 ataków ransomware w rok, kosz w chmurze znika po 30 dniach. Zasada 3-2-1 i test odtworzenia przed końcem roku

Chmura i kosz to nie kopia zapasowa

Najczęstsze zdanie, jakie słyszymy w małych firmach, brzmi: „wszystko mamy na dysku w chmurze”. To prawda i zarazem pułapka. Dysk Google, OneDrive czy Dropbox synchronizują folder z komputerem. Gdy plik zostanie uszkodzony, nadpisany albo zaszyfrowany, program synchronizujący zrobi to, do czego go stworzono: wyśle nową, zepsutą wersję do chmury. Kopia zapasowa to coś innego. To osobny zestaw plików, zapisany w innym miejscu, którego codzienna praca nie dotyka.

Kosz też nie uratuje wszystkiego. Według pomocy Google pliki przeniesione do kosza Dysku są usuwane na zawsze po 30 dniach. W OneDrive na koncie służbowym lub szkolnym pliki można przywrócić z kosza w ciągu 93 dni, chyba że administrator ustawił inny okres, a na koncie prywatnym w ciągu 30 dni. To wystarczy na przypadkowe skasowanie faktury w zeszłym tygodniu. Nie wystarczy, gdy awarię odkryjesz w marcu, albo gdy ktoś celowo opróżni kosz.

Kto atakuje i po co niszczy kopie

Raport roczny CERT Polska za 2025 r. przynosi rekord: 179 ataków ransomware, czyli szkodliwego oprogramowania, które szyfruje dane i żąda okupu. Rok wcześniej było ich 147, a poprzedni rekord z 2023 r. wynosił 161. Aż 129 zgłoszeń przyszło od podmiotów prywatnych, 30 od instytucji publicznych, 20 od osób fizycznych. Najczęściej spotykane rodziny to Qilin, Proxima, Makop i LockBit.

Dwa zdania z tego raportu warto przeczytać dwa razy. Pierwsze: operatorzy ransomware podczas ataku starają się zniszczyć kopie zapasowe, żeby ofiara nie miała wyboru i zapłaciła za klucz. Drugie: wiele grup najpierw wykrada dane, a dopiero potem je szyfruje, żeby szantażować ofiarę publikacją. Wniosek dla małej firmy jest prosty. Kopia, do której komputer ma stały dostęp, jest dla przestępcy kolejnym folderem do zaszyfrowania. Kopia musi być odłączona albo zapisana tak, żeby z zainfekowanego komputera nie dało się jej skasować.

Skala całego zjawiska też rośnie. CERT Polska zarejestrował w 2025 r. 260 783 incydenty, o 152 proc. więcej niż rok wcześniej. Większość to oszustwa i phishing, o których pisaliśmy przy fałszywych zapytaniach ofertowych. Ransomware jest rzadszy, ale to on zatrzymuje firmę na tygodnie.

Co kopiować: lista na jedną kartkę

Zanim kupisz dysk, zrób listę. Zapytaj siebie, bez czego w poniedziałek nie wystawisz faktury, nie zapłacisz ludziom i nie obsłużysz klienta. U większości małych firm wychodzi ta sama lista: baza programu księgowego albo fakturowego, faktury zakupowe i sprzedażowe spoza KSeF, umowy z klientami i dostawcami, teczki kadrowe i listy płac, poczta, baza klientów i ofert, strona internetowa ze sklepem, zdjęcia produktów, projekty, hasła i dostępy.

Część z tego trzymasz z obowiązku, nie z wygody. Ustawa o rachunkowości każe przechowywać księgi rachunkowe i zatwierdzone sprawozdania finansowe co najmniej 5 lat, a karty wynagrodzeń tak długo, jak wymagają przepisy emerytalne i podatkowe, nie krócej niż 5 lat. Z faktur ustrukturyzowanych ten ciężar częściowo zdejmuje państwo: ustawa o VAT mówi, że faktury przesłane do KSeF są w nim przechowywane przez 10 lat od końca roku, w którym je wystawiono. Ale to dotyczy tylko faktur w systemie. Umowy, kadry, poczta, strona i baza klientów są wyłącznie Twoje. RODO dokłada do tego wymóg, żebyś umiał przywrócić dane osobowe po awarii. Kontrola nie przyjmie tłumaczenia, że dysk padł.

Zasada 3-2-1 po polsku

Amerykańska agencja CISA od lat powtarza zasadę 3-2-1: trzy kopie każdego ważnego pliku (jedna robocza i dwie zapasowe), na dwóch różnych rodzajach nośników, z czego jedna kopia poza siedzibą firmy. W małej firmie wygląda to tak:

Kopia pierwsza, automatyczna. Program do kopii zapasowych na komputerze księgowej albo na firmowym serwerze, który codziennie w nocy zapisuje wybrane foldery i bazę programu księgowego na zewnętrzny dysk albo dysk sieciowy. Automat jest ważny, bo kopia robiona „jak sobie przypomnę” kończy się w marcu.

Kopia druga, odłączona. Dwa zwykłe dyski zewnętrzne, używane na zmianę. Jeden jest podpięty i przyjmuje kopie przez tydzień. Drugi leży w szufladzie albo w sejfie, odłączony od wszystkiego. W piątek się je zamienia. Dysk w szufladzie jest poza zasięgiem ransomware, bo nie ma kabla.

Kopia trzecia, poza firmą. Albo usługa kopii zapasowej w chmurze (to inna rzecz niż folder synchronizowany: taka usługa trzyma wiele wersji pliku i nie pozwala ich skasować z komputera), albo zwyczajnie ten drugi dysk, który właściciel w piątek zabiera do domu. Pożar, zalanie i włamanie nie pytają, czy kopia leżała w tym samym pokoju co serwer.

Trzy kopie, dwa rodzaje nośników (dysk zewnętrzny i chmura albo dysk sieciowy), jedna poza siedzibą. Zasada spełniona, a cały zestaw dla firmy z kilkoma komputerami to koszt dwóch dysków i jednego abonamentu.

Test odtworzenia: zrób go w grudniu

Kopia, której nikt nigdy nie odtworzył, to nadzieja, nie zabezpieczenie. Dlatego raz w roku, najlepiej w spokojniejszym tygodniu grudnia, zrób próbę. Weź inny komputer niż ten, na którym pracujesz. Odtwórz z kopii trzy losowe pliki, jedną umowę sprzed roku i bazę programu księgowego. Sprawdź, czy program ją otwiera i czy widać faktury z ostatniego miesiąca. Zmierz, ile to trwało. Jeśli odtworzenie bazy zajęło cztery godziny, wiesz, że w razie ataku firma stoi co najmniej cztery godziny, i możesz to zaplanować.

Przy okazji odpowiedz na trzy pytania. Kto wie, gdzie są kopie i jakie mają hasło? Jeśli tylko jedna osoba, to na jej urlopie firma nie ma kopii. Czy hasło do kopii leży w tym samym komputerze, który może zostać zaszyfrowany? Czy ktoś odchodzący z firmy nadal ma dostęp do dysku z kopią? O przekazywaniu kluczy do kont firmowych pisaliśmy przy przejęciu fanpage’a i ta sama lista działa dla kopii.

Ostatnia rzecz to kartka. Dosłownie: jedna strona w segregatorze z informacją, co jest kopiowane, gdzie leżą dyski, jak nazywa się usługa w chmurze, kto zna hasło i kiedy był ostatni test. W dniu ataku nikt nie będzie miał głowy, żeby to zgadywać.

Co z tego dla Ciebie

1. Spisz na jednej kartce, bez czego firma nie pracuje w poniedziałek: program księgowy, faktury spoza KSeF, umowy, kadry, poczta, baza klientów, strona, hasła.
2. Sprawdź, czy to, co nazywasz kopią, nie jest tylko folderem synchronizowanym z chmurą. Jeśli tak, ustaw program do kopii z codziennym harmonogramem.
3. Kup dwa dyski zewnętrzne i wymieniaj je co tydzień. Ten odłączony trzymaj poza firmą.
4. W grudniu odtwórz z kopii bazę księgową i kilka plików na innym komputerze. Zapisz, ile to trwało.
5. Ustal, kto oprócz Ciebie zna miejsce i hasło do kopii, i wpisz to na kartkę w segregatorze.

Stan na: 01.11.2026. Tekst nie jest poradą prawną.