01 Co je pravidlo 3-2-1
3 kopie dat
Originální data + dvě zálohy. Jedna kopie nestačí — selže ve chvíli, kdy ji nejvíce potřebujete.
2 různá média
Různé typy úložišť — disk + cloud, NAS + páska. Eliminuje selhání jednoho typu média.
1 kopie off-site
Minimálně jedna záloha na jiném fyzickém místě. Požár nebo krádež serverovny nevymaže vše.
Modernizace: pravidlo 3-2-1-1-0
- 3 kopie dat
- 2 různá média
- 1 kopie off-site
- 1 kopie offline / immutable — air-gap nebo neměnitelná záloha v cloudu
- 0 chyb ověřeno — každá záloha pravidelně testována na obnovu
02 Proč většina zálohovacích strategií selhává
Zdroj: University of Texas. Ztráta dat není jen IT problém — je to existenční hrozba.
- Záloha na stejném místě jako data — hoří nebo se šifruje spolu s primárními daty
- Záloha připojená k síti non-stop — ransomware šifruje i zálohy přes mapované disky
- Záloha nikdy nebyla testována — job hlásil success, ale soubory byly prázdné
- Záloha bez verzování — záloha přepsala již zašifrovaná data
- Záloha dat bez konfigurací — data zálohována, ale konfigurace serverů ne
- RPO/RTO není definováno — firma neví, kolik dat si může dovolit ztratit
03 Typy zálohovacích médií
| Médium | Výhody | Nevýhody | Vhodné pro |
|---|---|---|---|
| HDD / SSD | Rychlost, nízká cena | Stejná lokace, riziko ransomwaru | 1. záloha (lokální) |
| NAS | Pohodlí, automatizace, RAID | Stále na síti — riziko ransomwaru | 2. záloha s offline snapshoty |
| Cloud (S3, Azure…) | Off-site, škálovatelnost, versioning | Náklady na objem, závislost na připojení | Povinná off-site záloha |
| Magnetická páska (LTO) | Offline, dlouhá životnost, nízká cena/TB | Pomalá obnova, nutný hardware | Archivace, large-scale zálohy |
| Immutable cloud (WORM) | Nelze přepsat ani smazat po dobu X | Vyšší náklady | Ochrana před ransomwarem |
04 Krok za krokem: implementace 3-2-1
- Inventarizujte, co zálohovát
Databáze, sdílené složky, konfigurace serverů, e-mailové archivy, ERP/CRM data. Definujte RTO a RPO.
- Nastavte lokální zálohu (1. kopie)
NAS v serverovně nebo zálohovací server. Denní přírůstkové zálohy, týdenní plné. Min. 30 denních verzí.
- Nastavte cloud zálohu (2. kopie, off-site)
Backblaze B2, AWS S3, Azure Blob. Zapněte object versioning a object lock. Šifrujte na straně klienta.
- Vytvořte offline / air-gap zálohu (3. kopie)
Páska nebo USB disk fyzicky odpojený od sítě. Alespoň týdenní rotace. Jedna sada mimo budovu.
- Automatizujte a monitorujte
Zálohy nesmějí záviset na manuálním spuštění. Notifikace o úspěchu i selhání.
- Zdokumentujte obnovovací postup
Kde jsou zálohy? Jak se obnoví? Dokumentace dostupná i bez přístupu k zálohovaným systémům.
05 Nástroje a software
| Nástroj | Typ | Vhodné pro | Cena |
|---|---|---|---|
| Veeam Backup | Firemní řešení | VMware, Hyper-V, fyzické servery | Od ~200 $/rok/socket |
| Acronis Cyber Protect | Záloha + endpoint security | SMB, kombinace zálohy a antiviru | Od ~85 $/zařízení/rok |
| Restic | Open-source CLI | Linux servery, technicky zdatní | Zdarma |
| Duplicati | Open-source GUI | Malé firmy, cloud zálohy | Zdarma |
| Synology Active Backup | NAS zálohovací sada | Firmy se Synology NAS | Zdarma (součástí NAS) |
06 Zálohy vs. ransomware
Útočníci tráví v síti průměrně 24 dní a hledají zálohovací systémy. Zálohy připojené k síti jsou šifrovány nebo mazány. Jedinou ochranou je offline nebo immutable záloha.
- Immutable cloud storage — AWS S3 Object Lock, Azure Immutable Blob. Zálohy nelze přepsat po nastavenou dobu
- Air-gap záloha — fyzicky odpojená od sítě. USB v rotaci nebo LTO pásky
- Oddělený zálohovací účet — zálohovací software pod dedikovaným účtem bez přístupu k produkci
- Verzování záloh — uchovávejte 30+ verzí. Starší než 30 dní jsou pravděpodobně čisté
- Monitoring zálohovacích jobů — náhlé zastavení je varovný signál útoku
07 Testování a ověřování záloh
A naděje není strategie.
Doporučený testovací plán
- Denně: Automatické ověření integrity zálohovacího jobu
- Týdně: Obnova náhodně vybraného souboru a ověření obsahu
- Měsíčně: Obnova celé databáze nebo VM do testovacího prostředí
- Čtvrtletně: Full DR test — simulace výpadku, kompletní obnova z nuly
- Ročně: Test obnovy z off-site zálohy
08 Zálohovací checklist
Strategie
- Definovány RPO a RTO pro všechny kritické systémy
- Zálohovací strategie 3-2-1-1-0 zdokumentována
- Alespoň 2 různé typy zálohovacích médií
- Alespoň 1 záloha off-site (mimo primární lokalitu)
- Alespoň 1 záloha offline nebo immutable
Implementace & testování
- Zálohovací joby plně automatizovány
- Zálohy šifrovány (klíče uloženy bezpečně mimo zálohy)
- Zálohy testovány na obnovu v posledních 30 dnech
- Full DR test proveden v posledních 12 měsících
- Dokumentace obnovy dostupná offline
Klíčové závěry
- Záloha na stejném místě nebo připojená k síti nestačí — ransomware ji zašifruje také
- Immutable cloud nebo air-gap záloha je jedinou spolehlivou ochranou před ransomwarem
- Netestovaná záloha = žádná záloha. Testujte pravidelně a dokumentujte
- Definujte RTO a RPO předem — víte, kolik dat si firma může dovolit ztratit?