Backupul firmei și ransomware-ul: regula 3-2-1

01Cele cinci feluri în care o firmă își pierde datele

Aproape toți se gândesc la backup ca la o protecție împotriva defecțiunii: discul care se strică, calculatorul care nu mai pornește. Este cazul cel mai ușor de imaginat, dar nu singurul și nici cel mai perfid. Datele unei afaceri, adică fișele clienților, facturile, rezervările, proiectele, arhivele de ani de zile, se pierd în cinci feluri diferite, iar fiecare îi cere altceva copiei de siguranță.

Încearcă să-ți imaginezi o luni dimineață oarecare. Pornești calculatorul de la birou și fișierele au nume ciudate, niciunul nu se deschide, pe desktop e un mesaj care cere o plată. Sau, mai banal, contabilul îți cere foaia cu cheltuielile din martie și descoperi că cineva a scris peste ea în iunie. În acel moment o singură întrebare contează: de unde repornesc? Acest capitol te ajută să ai răspunsul pregătit înainte să vină acea zi de luni.

• Defecțiunea. Discurile, sursele de alimentare și plăcile se strică, chiar și cele noi. Un disc SSD nu te avertizează: într-o zi funcționează, a doua zi nu mai este recunoscut.
• Eroarea umană. Fișierul suprascris cu versiunea greșită, dosarul tras în locul greșit, foaia ștearsă ca să faci loc. Este cauza cea mai frecventă în viața de zi cu zi și adesea îți dai seama după săptămâni.
• Furtul sau pierderea. Laptopul lăsat în mașină, telefonul uitat în cafenea. Dacă datele stau doar acolo, pleacă odată cu el.
• Ransomware-ul. Un program rău-intenționat cifrează fișierele și cere o răscumpărare ca să le dea înapoi; tot mai des le copiază și în altă parte și amenință că le publică. Îl vedem în detaliu mai departe.
• Dezastrul local. Un incendiu, o inundație, un trăsnet în instalația electrică. Tot ce se află în aceeași clădire dispare deodată, inclusiv backupurile.

Cele trei lucruri care par backup și nu sunt

Înainte de a vorbi despre cum se face un backup, merită să dăm la o parte trei neînțelegeri foarte răspândite, pentru că dau o siguranță care nu există.

02Regula 3-2-1 și versiunea ei modernă

Regula cea mai folosită pentru organizarea backupurilor se ține minte prin trei numere și a devenit un standard de fapt pentru că răspunde, una câte una, amenințărilor pe care tocmai le-am văzut.

• 3 copii ale datelor: originalul pe care lucrezi plus două copii de siguranță. Două copii, pentru că și o copie se poate deteriora tocmai când ai nevoie de ea.
• 2 suporturi de tipuri diferite: de exemplu discul serverului și un NAS, sau un disc extern și un spațiu în cloud. Un defect sau un eveniment care lovește un tip de suport cu greu îl lovește și pe celălalt.
• 1 copie în alt loc: departe de birou, ca un incendiu, o inundație sau un furt să nu ia totul deodată.

În ultimii ani, odată cu răspândirea ransomware-ului care vânează backupurile, regula s-a lungit în 3-2-1-1-0:

• +1 copie offline sau imuabilă: o copie care nu este conectată la rețea sau pe care sistemul unde se află nu permite s-o modifici ori s-o ștergi până la o anumită dată. Un atac care intră în calculatoarele biroului nu o poate atinge.
• 0 erori: backupurile sunt verificate și restaurarea este încercată. Un backup niciodată restaurat este o speranță, nu o garanție.

03Complet, incremental, diferențial: cât copiezi de fiecare dată

Să copiezi tot în fiecare noapte este modul cel mai simplu, dar pe măsură ce arhiva crește devine lent și ocupă mult spațiu. De aceea există trei feluri de a face copia, care aproape întotdeauna se combină între ele.

• Complet (full): copiază toate datele, de fiecare dată. Restaurarea este cea mai simplă, pentru că ajunge o singură copie; prețul este timpul și spațiul.
• Incremental: după un backup complet, copiază doar ce s-a schimbat de la ultimul backup de orice tip. Este cel mai rapid și cel mai ușor; ca să restaurezi însă ai nevoie de completul și de toate incrementalele de după el, în ordine.
• Diferențial: după un backup complet, copiază tot ce s-a schimbat de la ultimul complet. Crește puțin în fiecare zi, dar ca să restaurezi ajung două bucăți: completul și ultimul diferențial.

Câte versiuni să păstrezi

O copie de ieri nu ajunge. Eroarea umană se descoperă adesea după săptămâni, iar un ransomware poate sta ascuns zile întregi înainte de a se activa: în ambele cazuri copia de ieri conține deja problema. De aceea se păstrează mai multe versiuni eșalonate, o schemă care în domeniu se numește „bunic, tată, fiu”:

• copiile zilnice din ultimele șapte sau paisprezece zile;
• copiile săptămânale din ultimele patru sau cinci săptămâni;
• copiile lunare din ultimele douăsprezece luni și, pentru unele arhive, o copie pe an.

Cât păstrezi depinde de tipul datelor și, pentru cele personale sau contabile, și de cât timp cere legea să le păstrezi sau să le ștergi: un backup conține aceleași date personale ca originalul, cu aceleași obligații. Vorbesc despre asta în capitolul despre GDPR și cookie-uri pentru site-ul unei afaceri mici.

04RPO și RTO: cele două numere care decid backupul

„Cât de des trebuie să fac backup?” nu are un răspuns la fel pentru toți. Răspunsul corect vine din două întrebări pe care orice afacere ar trebui să și le pună la rece, înainte să se întâmple ceva.

• RPO (Recovery Point Objective, obiectivul punctului de recuperare): câte date îmi permit să pierd? Dacă backupul se face noaptea și defecțiunea vine la șase seara, se pierde munca unei zile. Dacă o zi de rezervări sau de comenzi pierdute este inacceptabilă, backupul trebuie să fie mai des.
• RTO (Recovery Time Objective, obiectivul timpului de recuperare): cât timp pot sta oprit? Să refaci un calculator de la zero poate cere o zi; un portal cu rezervări, dacă rămâne oprit o zi, pierde clienți și reputație. Cu cât RTO-ul este mai scurt, cu atât restaurarea trebuie pregătită și automatizată.

Sunt exemple ca să te orientezi, nu reguli: numerele potrivite le decide cine cunoaște afacerea, punând în balanță cât costă o oră de oprire și cât costă soluția care o evită. Odată scrise, RPO și RTO devin caietul de sarcini al backupului: frecvența, suporturile, instrumentele și probele de restaurare se aleg ca să le respecte.

05Cum acționează un ransomware și de ce vânează backupurile

Un ransomware este un program rău-intenționat care face fișierele inutilizabile cifrându-le, adică transformându-le în date ilizibile fără o cheie pe care o are doar cel care a lansat atacul, și apoi cere o răscumpărare ca s-o dea înapoi. În atacurile recente, cifrării i se adaugă aproape întotdeauna furtul datelor, cu amenințarea că vor fi publicate: este așa-numita dublă extorcare.

Să cunoști etapele unui atac te ajută să înțelegi unde face backupul diferența.

1. Intrarea. În marea majoritate a cazurilor atacul intră pe o ușă foarte obișnuită: un mail de phishing cu un atașament sau un link, o parolă furată sau refolosită, un acces de la distanță lăsat deschis pe Internet, un program neactualizat. Ușile de intrare și cum le închizi sunt tema capitolului despre parole, autentificare în doi factori și passkey.
2. Deplasarea. Odată intrat într-un calculator, atacul încearcă să le atingă pe celelalte din aceeași rețea și mai ales conturile cu mai multe privilegii, cum sunt cele de administrator.
3. Vânătoarea de backupuri. Este pasul care face ransomware-ul diferit de o defecțiune. Ghidul comun al agențiilor americane CISA, FBI și NSA o spune explicit: multe variante de ransomware caută backupurile accesibile ca să le șteargă sau să le cifreze. Un disc extern mereu conectat sau un dosar de rețea în care ajung copiile sunt găsite în câteva minute.
4. Cifrarea și furtul. Fișierele devin ilizibile și adesea o copie este scoasă afară înainte de cifrare.
5. Cererea. Un mesaj explică cum să plătești. Plata nu garantează că primești datele înapoi, nici că nu vor fi publicate oricum, și finanțează atacul următor.

Ce salvează cu adevărat

Recomandarea autorităților este mereu aceeași: să păstrezi copii offline și cifrate ale datelor importante și să verifici regulat că pot fi restaurate. Offline înseamnă o copie care, în momentul atacului, nu este conectată și nu poate fi atinsă: un disc care se conectează doar cât durează backupul, apoi se deconectează și se duce în altă parte, sau un spațiu de stocare imuabil, în care sistemul însuși împiedică modificarea sau ștergerea copiilor înainte de o dată stabilită, chiar și pentru cine are parola. Același ghid amintește să folosești imuabilitatea cu judecată, verificând că păstrarea respectă obligațiile legale privind datele.

06Unde ții copiile: suporturi comparate

Nu există suportul perfect: există combinația potrivită ca să respecți regula 3-2-1 cu propriile RPO și RTO. Iată opțiunile cele mai obișnuite pentru o afacere mică sau mijlocie, cu punctele lor tari și limitele lor.

Backupul serverelor și al portalurilor

Pentru un site sau un portal care rulează pe un server sunt valabile aceleași reguli, cu câteva atenții în plus. Mulți furnizori oferă instantanee (snapshot) ale mașinii: sunt comode ca să te întorci după o actualizare care a mers prost, dar trăiesc la același furnizor, uneori în același centru de date, iar dacă contul este compromis pot fi șterse. Backupul adevărat al unui portal iese din mașină și de la furnizor. Cum alegi și cum administrezi serverul, cu responsabilitățile care vin odată cu el, explic în capitolul despre VPS și găzduirea partajată.

Pentru bazele de date există un detaliu tehnic care face diferența: să copiezi fișierele bazei de date în timp ce lucrează poate produce o copie incoerentă. Se folosesc instrumentele de export ale bazei de date înseși sau funcțiile ei de backup la cald, care garantează o fotografie coerentă chiar și în timp ce portalul primește comenzi.

Cifrarea copiilor și unde ții cheia

O copie din alt loc conține toate datele firmei, inclusiv cele personale ale clienților: trebuie cifrată, ca cine o găsește sau o fură să nu o poată citi. Cheia însă trebuie să stea într-un loc sigur, diferit de calculatorul pe care îl protejezi, și să fie cunoscută de cel puțin două persoane de încredere. O copie cifrată a cărei cheie s-a pierdut este o copie pierdută.

Date într-un format care se poate citi

Mai este un ultim aspect, adesea uitat: copia folosește dacă datele pot fi citite și fără programul care le-a creat sau dacă acel program rămâne disponibil. Un program de gestiune care exportă datele în formate deschise, ca fișierele CSV sau o bază de date standard, îți permite să repornești chiar și schimbând furnizorul. Este unul dintre punctele de verificat înainte de a semna, cum povestesc în capitolul despre cine deține cu adevărat site-ul tău, codul și datele.

07Planul de restaurare: ce faci în ziua cea mai grea

Backupul este jumătate din muncă. Cealaltă jumătate este să știi dinainte ce faci când ai nevoie de el. În ziua cea mai grea nu improvizezi: urmezi o foaie scrisă la rece, cu nume, numere de telefon și pași în ordine.

1. Izolezi. Scoți din rețea calculatoarele lovite, fără să le oprești dacă se poate: oprirea poate șterge urme utile ca să înțelegi ce s-a întâmplat. Deconectezi imediat eventualele discuri de backup încă atașate.
2. Evaluezi. Ce calculatoare, ce date, de când. Este momentul în care versiunile păstrate în timp își arată valoarea: trebuie găsită ultima copie sigur curată.
3. Anunți. Tehnicianul de încredere, înainte de toate. Dacă în Italia sunt implicate date personale și încălcarea prezintă un risc pentru persoane, operatorul trebuie s-o notifice Garante per la protezione dei dati personali (autoritatea italiană pentru protecția datelor) în 72 de ore de când a aflat de ea, prin procedura online a Garante; dacă riscul este ridicat, trebuie informate și persoanele vizate. Un incident informatic poate fi semnalat și la CSIRT Italia al Agenzia per la Cybersicurezza Nazionale (agenția națională italiană de securitate cibernetică), iar o infracțiune trebuie denunțată la poliție.
4. Cureți. Reinstalezi de la zero sistemele lovite, pornind de la instalări curate și actualizate. Autoritățile recomandă să ții pregătite „imagini” actualizate ale sistemelor critice tocmai pentru acest moment.
5. Restaurezi. Aduci datele din copia bună, începând cu cele de care ai nevoie ca să repornești, după RTO-ul hotărât dinainte.
6. Verifici și schimbi cheile. Controlezi că datele restaurate sunt complete și se deschid, schimbi toate parolele care puteau fi expuse și notezi ce a funcționat și ce nu, ca să corectezi planul.

Proba de restaurare

Toate acestea funcționează doar dacă au fost încercate. Din când în când, cel puțin o dată la câteva luni și după fiecare schimbare importantă, alegi un fișier la întâmplare, un dosar sau întreaga bază de date a portalului și îl restaurezi cu adevărat într-un loc de probă. Măsori cât timp durează și compari cu RTO-ul. Este singurul mod de a descoperi într-o zi liniștită că o copie era goală, că cheia de cifrare nu se mai găsește sau că restaurarea cere de două ori mai mult timp decât era prevăzut.

Backupurile protejează datele când ceva a mers deja prost. Ca să meargă prost cât mai puțin, apărarea începe de la ușa de intrare: accesele, parolele și factorii de autentificare, care sunt tema capitolului următor. Dacă vrei o părere despre backupul afacerii tale, îți povestesc cum lucrez.

Întrebări frecvente

Surse

1. CISA, FBI, NSA, MS-ISAC, «#StopRansomware Guide» (în engleză): backupuri offline și cifrate, probe de restaurare, imagini ale sistemelor critice, stocare imuabilă.
2. Garante per la protezione dei dati personali, «Violazioni di dati personali (data breach)» (în italiană): notificarea în 72 de ore și procedura online.
3. Regulamentul (UE) 2016/679 (GDPR) (în italiană): articolele 32, 33 și 34 despre securitate, notificarea și comunicarea încălcărilor.
4. Agenzia per la Cybersicurezza Nazionale, «CSIRT Italia» (în italiană): echipa de răspuns la incidente și semnalarea incidentelor informatice.
5. ENISA, «Threat Landscape for Ransomware Attacks» (în engleză): cum acționează atacurile ransomware și dubla extorcare.

Capitol actualizat în octombrie 2026. Tabelele despre RPO și RTO sunt exemple ca să te orientezi, nu prescripții; pentru obligațiile de notificare în cazul tău concret fac fede textul Garante și cel al Regulamentului european.