Backup po Windows 10 i ransomware: jak MŚP przebudować kopie zapasowe po końcu wsparcia

Dlaczego temat backupu zmienia się po końcu wsparcia Windows 10

Windows 10 osiągnął koniec wsparcia 14 października 2025 r. Po tej dacie system nadal może działać, ale Microsoft nie zapewnia już dla niego wsparcia technicznego, aktualizacji oprogramowania ani aktualizacji i poprawek zabezpieczeń. Microsoft wskazuje też, że urządzenia z Windows 10 po końcu wsparcia są bardziej narażone na wirusy i złośliwe oprogramowanie. Z perspektywy MŚP oznacza to, że rozmowa o wymianie komputerów nie wyczerpuje tematu. Trzeba równolegle uporządkować kopie zapasowe oraz sposób odtwarzania środowiska po incydencie.

Źródła z Microsoft potwierdzają również, że po zakończeniu wsparcia Windows 10 organizacje są kierowane do migracji na wspieraną wersję systemu albo do wymiany urządzeń. To ważny kontekst dla planowania kopii zapasowych: jeśli część stacji roboczych nadal działa poza pełnym cyklem wsparcia, backup staje się elementem ograniczania skutków awarii lub ataku, a nie tylko rutynową czynnością administracyjną.

Proponujemy więc potraktować koniec wsparcia Windows 10 jako moment przeglądu całego procesu ochrony danych. W praktyce warto sprawdzić, czy kopie obejmują nie tylko dane produkcyjne, ale też zasoby potrzebne do szybkiego przywrócenia działania po incydencie oraz czy zespół umie odróżnić zwykłe odzyskanie pliku od odtworzenia środowiska po ransomware.

Jak uporządkować architekturę kopii zapasowych w MŚP

Materiał CERT Polska wskazuje zasadę 3-2-1 jako podstawową praktykę zarządzania kopiami bezpieczeństwa. W skrócie oznacza ona posiadanie co najmniej trzech kopii danych, korzystanie z co najmniej dwóch systemów przechowywania oraz przechowywanie jednej kopii w innej lokalizacji. To podejście nie mówi, jakiego konkretnego produktu użyć, ale porządkuje minimalną logikę odporności.

CERT Polska zwraca jednocześnie uwagę, że sama deklaracja zgodności z zasadą 3-2-1 nie wystarcza, bo bardzo często bywa ona wdrażana nieprawidłowo. W tym samym materiale opisano rozszerzenie 3-2-1-1-1. Obejmuje ono dodatkowo jedną kopię w wersji WORM lub immutable oraz jedną kopię całkowicie offline. Dla małej i średniej firmy to cenna wskazówka przy projektowaniu środowiska odporniejszego na skutki ataku, który próbuje usuwać lub szyfrować również backup.

Praktycznie oznacza to, że warto rozdzielić myślenie o kopiach na trzy warstwy. Pierwsza to kopie operacyjne, potrzebne do codziennych przywróceń. Druga to kopia odseparowana lokalizacyjnie. Trzecia to kopia, której nie da się łatwo zmodyfikować albo która pozostaje offline. Proponujemy sprawdzić, czy obecny dostawca IT potrafi jasno wskazać, która kopia spełnia każdą z tych ról, zamiast opisywać cały system jednym ogólnym hasłem „mamy backup”.

CERT Polska podaje też prosty, ale istotny punkt kontrolny: serwer kopii pracuje w trybie offline. W realiach MŚP nie zawsze da się utrzymywać wszystko stale odłączone, ale ten kierunek dobrze porządkuje rozmowę o separacji backupu od środowiska produkcyjnego. Jeśli kopie są stale osiągalne z tych samych kont, sieci i mechanizmów administracyjnych co zasoby produkcyjne, ryzyko ich naruszenia rośnie razem z ryzykiem naruszenia środowiska podstawowego.

Ransomware i kolejność działań przy odtwarzaniu

Materiał CERT Polska dotyczący zgłaszania incydentów opisuje kategorię ransomware jako zdarzenie, które może szyfrować dane, blokować dostęp do systemów albo wykradać informacje w celu wymuszenia okupu. Jednocześnie źródło podkreśla, że nie zawsze zaszyfrowane zostają wszystkie pliki oraz że dla części rodzin ransomware istnieją publicznie dostępne dekryptory. Najważniejszy z punktu widzenia odtwarzania jest jednak inny fragment: odzyskiwanie danych z kopii zapasowych należy rozpocząć dopiero po ograniczeniu dostępu atakującego i usunięciu przyczyny incydentu.

To jedna z najważniejszych korekt perspektywy po 2025 r. W wielu firmach backup bywa nadal postrzegany głównie jako narzędzie do szybkiego „podniesienia” systemu. Tymczasem przy ransomware zbyt wczesne przywracanie może odtworzyć środowisko, do którego napastnik nadal ma dostęp. Z tego powodu proponujemy ułożyć plan odtworzenia w kolejności: najpierw odseparowanie i ograniczenie dostępu, potem analiza przyczyny, następnie decyzja o odtworzeniu i dopiero na końcu walidacja przywróconych usług.

Warto też rozdzielić dwa cele, które w praktyce często się mieszają. Jeden cel to odzyskanie danych. Drugi to odzyskanie zaufanego środowiska pracy. Kopia zapasowa może pomóc w pierwszym, ale nie zastępuje analizy incydentu potrzebnej do drugiego. Dlatego proponujemy, by procedura przywracania zawierała wyraźny punkt decyzyjny: kto i na jakiej podstawie uznaje, że można już rozpocząć odtwarzanie z backupu.

Jeżeli incydent wymaga zgłoszenia, baza wiedzy CERT Polska wskazuje, że podstawowym kanałem komunikacji i metodą zgłaszania incydentów cyberbezpieczeństwa do CERT Polska lub CSIRT NASK są formularze w serwisie incydent.cert.pl. W samym opisie formularza wskazano także osobną kategorię zgłoszenia dla ransomware. Dla MŚP oznacza to przede wszystkim potrzebę wcześniejszego ustalenia, kto w firmie odpowiada za ocenę, czy zdarzenie trzeba eskalować i zgłosić.

Jak testować backup i o co pytać dostawcę IT

CERT Polska opisuje także rozszerzenie 3-2-1-1-0, gdzie ostatnie „0” oznacza zero błędów, a wykonane kopie powinny być testowane, by upewnić się, że w razie potrzeby będą niezawodne. To ważna wskazówka dla MŚP, ponieważ sama informacja o powodzeniu zadania backupu nie potwierdza jeszcze, że odtworzenie rzeczywiście się powiedzie.

Proponujemy zatem rozmawiać o testach w dwóch poziomach. Pierwszy poziom to test techniczny: czy da się odczytać kopię i przywrócić wskazany zasób. Drugi poziom to test operacyjny: czy organizacja wie, w jakiej kolejności uruchamiać systemy i jak sprawdzić, że przywrócone środowisko jest gotowe do pracy. Tego podziału nie należy traktować jako oficjalnego standardu, lecz jako prosty sposób uporządkowania odpowiedzialności w małej lub średniej firmie.

W relacji z dostawcą IT lub integratorem proponujemy sprawdzić kilka kwestii. Po pierwsze, czy potrafi on wskazać, gdzie dokładnie spełniona jest zasada 3-2-1 i czy istnieje kopia offline albo niemodyfikowalna. Po drugie, czy w procedurze odtworzenia uwzględniono warunek z materiału CERT Polska, aby nie zaczynać odzyskiwania danych przed ograniczeniem dostępu atakującego i usunięciem przyczyny incydentu. Po trzecie, czy organizacja ma ustaloną ścieżkę zgłoszenia incydentu przez incydent.cert.pl, jeśli zajdzie taka potrzeba.

Na końcu warto zadać jedno praktyczne pytanie porządkujące cały projekt: czy obecny model backupu służy tylko do przywrócenia pojedynczych danych, czy rzeczywiście wspiera odzyskanie działania po incydencie bezpieczeństwa. Po końcu wsparcia Windows 10 to rozróżnienie ma większe znaczenie, bo ryzyko związane z dalszą eksploatacją niewspieranych systemów nie znika samo wraz z poprawnie wykonanym zadaniem kopii zapasowej.