Disaster recovery w firmie — jak zbudować plan odtwarzania systemów IT

Disaster recovery to uporządkowany zbiór procedur i technologii, które pozwalają przywrócić działanie systemów po awarii macierzy dyskowej, ataku ransomware, zalaniu serwerowni lub błędzie administratora. Dobrze zaprojektowany disaster recovery nie kończy się na kopii zapasowej zapisanej na dysku zewnętrznym, lecz opiera się na dwóch mierzalnych parametrach: RTO, czyli dopuszczalnym czasie przestoju, oraz RPO, czyli akceptowalnej utracie danych liczonej w minutach lub godzinach. Dla sklepu internetowego generującego 40 000 zł obrotu dziennie każda godzina niedostępności kosztuje około 1 700 zł utraconej sprzedaży, nie licząc obsługi reklamacji i spadku zaufania klientów. Ten poradnik pokazuje, jak policzyć realne ryzyko, dobrać architekturę kopii i replikacji, odtworzyć stanowiska pracy oraz przetestować cały scenariusz, zanim wydarzy się awaria. Znajdziesz tu konkretne widełki kosztów w złotówkach, gotową tabelę priorytetów i listę kontrolną, którą można wdrożyć w firmie zatrudniającej od pięciu do dwustu osób.

Czym różni się disaster recovery od zwykłego backupu

Backup i disaster recovery to nie synonimy. Kopia zapasowa odpowiada na pytanie, czy dane przetrwały; plan odtwarzania odpowiada na pytanie, po jakim czasie firma znów fakturuje, wysyła paczki i obsługuje zgłoszenia. Dane zapisane na taśmie, ale pozbawione środowiska, w którym można je uruchomić, nie generują przychodu.

RTO określa maksymalny czas od wystąpienia awarii do przywrócenia usługi. RPO wskazuje, ile pracy wolno stracić — jeśli kopia wykonuje się raz na dobę o trzeciej w nocy, a awaria nastąpi o siedemnastej, tracisz czternaście godzin wprowadzonych zamówień, korekt i wiadomości od klientów.

Oba parametry ustala się osobno dla każdej usługi, bo koszt rośnie wykładniczo wraz z ich zaostrzaniem. RTO na poziomie czterech godzin dla serwera plików bywa tanie, natomiast piętnaście minut dla bazy transakcyjnej wymaga replikacji synchronicznej i drugiego ośrodka, co potrafi potroić roczny rachunek.

RTO i RPO — parametry, które ustalają budżet

Zanim podpiszesz umowę z dostawcą, wypisz pięć procesów krytycznych i przypisz każdemu wartość jednej godziny przestoju w złotówkach. Ta liczba, a nie moda na chmurę, decyduje, czy potrzebujesz replikacji ciągłej, czy wystarczy nocna kopia przyrostowa z retencją trzydziestu dni.

Analiza ryzyka: co naprawdę psuje się w firmach

Statystyka bywa nieintuicyjna: znacznie częściej niż pożar serwerowni zdarza się skasowanie katalogu przez pracownika, uszkodzenie kontrolera RAID, wygaśnięcie certyfikatu albo zaszyfrowanie zasobów przez ransomware z załącznika. Analizę ryzyka zaczynaj od scenariuszy prawdopodobnych, nie od tych najbardziej spektakularnych.

Skutki przestoju wychodzą daleko poza dział IT. Kilkudniowa niedostępność witryny potrafi cofnąć wyniki, jakie dało wcześniejsze pozycjonowanie strony w Google, bo roboty indeksujące trafiają na błędy 5xx, a konkurencja przejmuje pozycje organiczne. Odzyskanie widoczności zajmuje tygodnie, a budżet reklamowy musi nadrabiać stracony ruch.

W handlu elektronicznym dochodzi warstwa integracji. Zablokowane konto Google Merchant po wielogodzinnej awarii feedu produktowego oznacza wstrzymanie kampanii, a przywrócenie statusu zatwierdzonego trwa od jednego do kilku dni roboczych — nawet gdy sklep już działa poprawnie. Dlatego integracje zewnętrzne wpisuje się do planu jako osobne pozycje.

Firmy, dla których podstawą przychodu jest projektowanie stron internetowych, ponoszą dodatkowo ryzyko cudze: awaria jednego serwera zatrzymuje kilkadziesiąt witryn klientów naraz. Umowa SLA powinna rozdzielać odpowiedzialność za kopie kodu, bazy danych i plików multimedialnych, ponieważ każdy z tych zbiorów odtwarza się zupełnie inaczej.

Architektura kopii zapasowych i replikacji

Fundamentem pozostaje reguła 3-2-1, rozszerzana obecnie do 3-2-1-1-0. Trzy kopie danych, na dwóch różnych nośnikach, jedna poza siedzibą firmy, jedna niezmienialna lub offline oraz zero błędów w zweryfikowanym odtworzeniu. Ostatni element bywa pomijany i to właśnie on najczęściej mści się podczas prawdziwej awarii.

Reguła 3-2-1-1-0 w praktyce

• Trzy niezależne kopie: produkcja plus dwie repliki na osobnych zasobach.
• Dwa różne nośniki: macierz dyskowa i magazyn obiektowy lub taśma LTO.
• Jedna kopia poza budynkiem, oddalona o co najmniej kilkadziesiąt kilometrów.
• Jedna kopia niezmienialna albo odłączona fizycznie od sieci.
• Zero błędów w cyklicznym teście odtworzenia, potwierdzonym raportem.

Kopię poza siedzibą najtaniej realizuje się na zdalnym serwerze. Niedrogi OVH VPS z dyskiem 160 GB kosztuje od kilkudziesięciu złotych miesięcznie i wystarcza jako repozytorium kopii przyrostowych dla kilkunastu witryn, o ile transfer szyfrujesz, a dostęp ograniczasz kluczem SSH zamiast hasła.

Niezmienialność chroni przed ransomware, który w pierwszej kolejności szuka repozytoriów kopii i kasuje migawki. Blokada zapisu na okres od czternastu do trzydziestu dni w magazynie obiektowym kosztuje zwykle kilka groszy za gigabajt i pozostaje najtańszym ubezpieczeniem w całym planie odtwarzania.

Replikacja stanowi osobną warstwę: kopiuje stan maszyny wirtualnej co kilka minut do drugiej lokalizacji, skracając RTO do kilkunastu minut. Nie zastępuje jednak backupu, ponieważ wiernie powiela także uszkodzenia logiczne i zaszyfrowane pliki, jeśli nie zatrzymasz jej odpowiednio wcześnie.

Odtwarzanie stanowisk pracy, poczty i dostępów

Plany odtwarzania zwykle kończą się na serwerach, tymczasem firma nie pracuje bez stanowisk. Po zalaniu biura trzeba w kilkadziesiąt godzin skompletować sprzęt, przywrócić profile użytkowników, dostęp do poczty i licencje, a dopiero potem myśleć o wydajności środowiska. Lista zakupowa przygotowana wcześniej skraca ten etap o dobę.

Dla działu graficznego priorytetem jest tablet graficzny Wacom i skalibrowany monitor, dla programistów — sprawna klawiatura mechaniczna oraz szybki dysk NVMe. Kompaktowa klawiatura mechaniczna 60 procent zajmuje mniej miejsca w zapasowym biurze, a klawiatura gamingowa mechaniczna posłuży jako awaryjny zamiennik, jeśli akurat leży w magazynie.

Poczta i dokumenty w chmurze wymagają osobnego backupu, ponieważ dostawca odpowiada za infrastrukturę, nie za twoje błędy. W zestawieniach dostawców Google Workspace cena startuje od kilkudziesięciu złotych za użytkownika miesięcznie, jednak usunięta skrzynka znika bezpowrotnie po okresie retencji, dlatego zewnętrzne archiwum jest konieczne.

Osobno zabezpiecz dostęp administracyjny. Po odtworzeniu serwera WordPress logowanie do panelu bywa niemożliwe, bo zmienił się adres IP, wygasł certyfikat albo wtyczka dwuskładnikowa straciła powiązanie z aplikacją. Zapasowe konto administratora i kopia klucza odzyskiwania w sejfie haseł rozwiązują ten problem w pięć minut.

Testy, koszty i dokumentacja planu odtwarzania

Plan disaster recovery, którego nikt nie testował, pozostaje wyłącznie hipotezą. Test odtworzeniowy raz na kwartał, wykonany w izolowanej sieci, weryfikuje trzy rzeczy: czy kopia daje się w ogóle zamontować, czy aplikacja startuje po przywróceniu i czy zmierzony czas mieści się w deklarowanym RTO.

Budżet rozkłada się przewidywalnie. Licencje oprogramowania backupowego to zwykle 300–900 zł rocznie za maszynę, magazyn obiektowy 20–60 zł za terabajt miesięcznie, a drugi ośrodek z replikacją 400–2 000 zł miesięcznie. Suma rzadko przekracza dwa procent rocznych kosztów działu IT.

Dokumentacja musi być czytelna dla kogoś, kto nie budował systemu. Wersja papierowa i kopia na telefonie ratują sytuację, gdy sieć nie działa. Zapisz kolejność uruchamiania usług, dane kontaktowe dostawców, numery umów oraz osobę decydującą o ogłoszeniu awarii. Bez tej roli zespół traci pierwsze godziny na uzgodnienia.

Do zespołu kryzysowego włącz również osoby spoza IT. Specjalista odpowiedzialny za pozycjonowanie strony przygotuje komunikat i stronę zastępczą z kodem 503 zamiast 404, dzięki czemu wyszukiwarki potraktują przerwę jako tymczasową, a nie jako trwałe usunięcie zasobów. Ten szczegół realnie ogranicza straty w ruchu organicznym.

Jak często testować plan odtwarzania po awarii?

Pełny test odtworzeniowy przeprowadzaj raz na kwartał, a skrócony — przywrócenie pojedynczego pliku i jednej skrzynki pocztowej — raz w miesiącu. Kwartalny cykl wynika z tempa zmian w środowisku: w ciągu trzech miesięcy zwykle pojawia się nowa maszyna wirtualna, aktualizacja bazy danych albo zmiana wtyczek, których stara procedura nie obejmuje. Test wykonuj na odizolowanej sieci, żeby przywrócone systemy nie próbowały łączyć się z produkcją. Mierz stoperem realny czas od decyzji do uruchomienia usługi i porównuj go z deklarowanym RTO. Każdy test zamykaj krótkim raportem z listą rozbieżności i terminem ich usunięcia, inaczej te same błędy powtórzą się przy prawdziwej awarii.

Czy kopia zapasowa w chmurze wystarczy zamiast planu odtwarzania?

Sama kopia w chmurze to za mało. Dostawcy usług chmurowych działają w modelu współdzielonej odpowiedzialności: gwarantują dostępność infrastruktury, ale nie odtworzą danych skasowanych przez użytkownika ani zaszyfrowanych przez ransomware po upływie okresu retencji, który zwykle wynosi od trzydziestu do sześćdziesięciu dni. Do tego dochodzi czas pobierania: odtworzenie dwóch terabajtów przez łącze 100 Mb/s zajmuje ponad czterdzieści godzin, co samo w sobie łamie założone RTO. Rozsądny model łączy szybką kopię lokalną, z której odtwarzasz w godzinę, z kopią zdalną i niezmienialną, ratującą sytuację przy pożarze lub kradzieży sprzętu. Chmura jest jednym z filarów, nie całą konstrukcją.

Co powinien zawierać dokument planu odtwarzania systemów?

Dokument zaczyna się od listy usług krytycznych z przypisanymi wartościami RTO i RPO oraz kosztem godziny przestoju wyrażonym w złotówkach. Dalej opisz architekturę kopii: gdzie leżą, jak są szyfrowane, kto ma do nich dostęp i jak długo są przechowywane. Kolejna sekcja to procedury krok po kroku dla trzech scenariuszy — utraty pojedynczego serwera, utraty całej lokalizacji oraz incydentu ransomware — każda z kolejnością uruchamiania usług. Dołącz macierz kontaktów: administratorzy, dostawca łącza, hosting, ubezpieczyciel, numery umów i identyfikatory zgłoszeń. Na końcu umieść dziennik testów z datami i wynikami oraz wskaż osobę uprawnioną do ogłoszenia stanu awarii i przełączenia na ośrodek zapasowy.

Darmowy certyfikat SSL Let’s Encrypt – kompletny przewodnik po instalacji i konfiguracji

Darmowy certyfikat SSL Let’s Encrypt zmienil rynek szyfrowania stron internetowych, bo obnizyl koszt wdrozenia HTTPS z kilkuset zlotych rocznie do zera. Darmowy certyfikat SSL Let’s Encrypt wydawany jest przez organizacje non-profit ISRG i akceptowany przez wszystkie liczace sie przegladarki – Chrome, Firefox, Safari, Edge – dokladnie tak samo jak platne odpowiedniki od DigiCert czy Sectigo. Roznica nie lezy w sile szyfrowania, bo protokol TLS 1.3 z kluczem ECDSA P-256 dziala identycznie niezaleznie od wystawcy. Roznica lezy w okresie waznosci: 90 dni zamiast 12 miesiecy, w braku ubezpieczenia gwarancyjnego oraz w niedostepnosci walidacji rozszerzonej typu EV lub OV. Dla bloga, sklepu na WooCommerce, strony wizytowki czy panelu aplikacji te ograniczenia sa calkowicie nieistotne. Ten przewodnik prowadzi przez caly proces: od wyboru srodowiska, przez wydanie certyfikatu, po automatyzacje odnawiania i typowe bledy konfiguracyjne.

Jak dziala Let’s Encrypt i protokol ACME

Caly mechanizm opiera sie na protokole ACME, ktory automatyzuje weryfikacje wlasnosci domeny. Klient instalowany na serwerze – najczesciej Certbot, acme.sh lub lego – generuje pare kluczy, wysyla zadanie do serwera Let’s Encrypt i otrzymuje wyzwanie do rozwiazania. Po jego spelnieniu urzad wystawia certyfikat waznosci 90 dni, ktory trafia bezposrednio na dysk serwera.

Dostepne sa trzy typy wyzwan. HTTP-01 wymaga umieszczenia pliku w katalogu /.well-known/acme-challenge/ i dostepnosci portu 80. DNS-01 polega na dodaniu rekordu TXT w strefie domeny i jako jedyny umozliwia wydanie certyfikatu wildcard dla *.twojadomena.pl. TLS-ALPN-01 dziala na porcie 443 i przydaje sie, gdy port 80 jest zablokowany przez firewall lub polityke hostingu.

Limity wystawiania sa hojne, ale realne: 50 certyfikatow tygodniowo na zarejestrowana domene, 5 duplikatow tego samego zestawu nazw w ciagu 7 dni i 300 oczekujacych autoryzacji jednoczesnie. W praktyce ogranicza to wylacznie osoby testujace konfiguracje w petli – do takich prob sluzy srodowisko staging, ktore wystawia certyfikaty niezaufane, ale nie zjada limitow produkcyjnych.

Czym rozni sie DV od OV i EV

Let’s Encrypt wydaje wylacznie certyfikaty typu Domain Validation. Potwierdzaja one kontrole nad domena, ale nie weryfikuja tozsamosci firmy stojacej za serwisem. Certyfikaty OV i EV, kosztujace od 300 do ponad 2000 zlotych rocznie, wymagaja przedstawienia dokumentow rejestrowych. Przegladarki od kilku lat nie wyswietlaja juz zielonego paska dla EV, wiec ich przewaga marketingowa praktycznie zniknela.

Wybor srodowiska: hosting wspoldzielony, VPS czy serwer dedykowany

Zanim uruchomisz cokolwiek, ustal, gdzie realnie stoi Twoja strona, bo od tego zalezy metoda instalacji. Pytanie jak wybrac hosting pod wordpress sprowadza sie glownie do tego, czy panel oferuje jednoklikowa integracje z Let’s Encrypt. cPanel, DirectAdmin i Plesk maja ja wbudowana, wiec caly proces trwa okolo trzydziestu sekund i nie wymaga dostepu do konsoli.

Kwestia, czym rozni sie vps od hostingu wspoldzielonego, ma tu wymiar czysto praktyczny. Na hostingu wspoldzielonym za 120-250 zl rocznie nie masz roota, wiec zdajesz sie na narzedzia dostawcy. Na VPS za 25-80 zl miesiecznie instalujesz Certbota samodzielnie, kontrolujesz cipher suite, wlaczasz OCSP stapling i HSTS. Wieksza swoboda oznacza jednak, ze aktualizacje i kopie zapasowe spadaja na Ciebie.

Migracja bywa nieunikniona, gdy dotychczasowy dostawca nie wspiera automatyzacji. Odpowiedz na pytanie, jak przeniesc strone na inny hosting, brzmi: najpierw przenies pliki i baze, uruchom witryne na tymczasowym adresie lub przez plik hosts, wygeneruj certyfikat na nowym serwerze, a dopiero potem przelacz rekordy DNS. Odwrotna kolejnosc konczy sie kilkugodzinna przerwa w dostepnosci HTTPS.

Konfiguracja domeny i DNS przed wydaniem certyfikatu

Certyfikat nie zostanie wydany, jesli domena nie wskazuje na wlasciwy serwer. Zanim uruchomisz klienta ACME, sprawdz propagacje rekordu A poleceniem dig lub nslookup. Warto rowniez ustalic, jak sprawdzic kto jest wlascicielem domeny – baza WHOIS oraz RDAP pokazuja rejestratora, date wygasniecia i serwery nazw, co pozwala potwierdzic, czy w ogole masz uprawnienia do zmian.

Osobna pulapka to wygasla rejestracja. Jesli zastanawiasz sie, jak przedluzyc domene po wygasnieciu, pamietaj o okresie karencji: przez zwykle 30 dni odnowisz ja w standardowej cenie 60-120 zl, potem wchodzi faza redemption z oplata rzedu 300-500 zl. Certyfikat wydany na nieaktywna domene przestanie byc odnawiany, bo weryfikacja ACME zwyczajnie nie znajdzie serwera.

Kluczowa umiejetnoscia jest to, jak skonfigurowac rekordy dns domeny w panelu rejestratora. Ponizsza tabela pokazuje minimalny zestaw wpisow dla typowej strony z poczta i weryfikacja DNS-01.

Co to jest rekord CNAME i kiedy go uzyc

Rekord CNAME tworzy alias jednej nazwy na druga, dzieki czemu zmiana adresu IP wymaga edycji tylko rekordu docelowego. Nie mozna go ustawic na domenie glownej obok innych rekordow, dlatego dla @ stosuje sie A lub ALIAS. Przy weryfikacji DNS-01 czesto deleguje sie _acme-challenge przez CNAME do zewnetrznego serwisu, co upraszcza automatyzacje wildcardow.

Instalacja certyfikatu i wymuszenie HTTPS

Praktyczna odpowiedz na pytanie, jak zainstalowac certyfikat ssl na serwerze, zalezy od oprogramowania. Na Ubuntu z Nginx wystarczy pakiet certbot-nginx i polecenie certbot –nginx -d twojadomena.pl -d www.twojadomena.pl. Klient sam wykryje bloki server, wstawi sciezki do fullchain.pem i privkey.pem oraz zaproponuje przekierowanie ruchu z portu 80.

Po instalacji zostaje ruch mieszany. Wiedza, jak ustawic przekierowanie 301 w htaccess, rozwiazuje problem na Apache: trzy linie z RewriteEngine On, warunkiem RewriteCond %{HTTPS} off i regula RewriteRule kierujaca na https://%{HTTP_HOST}%{REQUEST_URI} z flaga [R=301,L]. Na Nginx odpowiednikiem jest return 301 https://$host$request_uri w bloku nasluchujacym na 80.

Zostaje jeszcze problem mixed content. W WordPressie trzeba podmienic adresy w bazie narzedziem typu Better Search Replace, poprawic stale WP_HOME i WP_SITEURL w wp-config.php oraz przeladowac cache CDN. Bez tego przegladarka zablokuje ladowanie skryptow i klodka nie pojawi sie mimo poprawnie dzialajacego certyfikatu.

Automatyczne odnawianie i diagnostyka sieci

Dziewiecdziesieciodniowy okres waznosci wymusza automatyzacje. Certbot instaluje timer systemd uruchamiany dwa razy dziennie, ktory odnawia certyfikat na 30 dni przed wygasnieciem. Test sucha metoda certbot renew –dry-run potwierdza, ze hook przeladowujacy serwer dziala. Warto tez skonfigurowac powiadomienia e-mail o zblizajacym sie wygasnieciu.

Problemy z HTTPS bywaja mylone z problemami lacza. Zanim zaczniesz debugowac serwer, ustal, jak sprawdzic predkosc internetu rzetelnie: pomiar wykonaj kablem, nie po Wi-Fi, zamknij aplikacje pobierajace dane w tle i powtorz test na dwoch niezaleznych serwerach pomiarowych o roznych porach doby. Pojedynczy wynik nic nie mowi o realnej przepustowosci.

Po stronie lokalnej sieci pomaga wiedza, jak wzmocnic sygnal wifi w domu – router ustawiony centralnie, z dala od luster i urzadzen na 2,4 GHz, plus ewentualny system mesh za 400-900 zl. Rownie istotne jest to, jak zmienic kanal wifi w routerze: w pasmie 2,4 GHz uzywaj kanalow 1, 6 lub 11, a w 5 GHz wybierz mniej obciazony zakres DFS po skanie otoczenia.

• Sprawdz wygasniecie: openssl s_client -connect domena.pl:443 | openssl x509 -noout -dates
• Zweryfikuj lancuch posredni, bo brak fullchain psuje polaczenia na Androidzie
• Wlacz HSTS z max-age 31536000 dopiero po potwierdzeniu stabilnosci HTTPS
• Ustaw rekord CAA, aby zablokowac wystawianie certyfikatow przez inne urzedy
• Monitoruj waznosc zewnetrznym uptime checkerem, nie tylko cronem na serwerze

FAQ

Jak dlugo wazny jest darmowy certyfikat SSL Let’s Encrypt i czy trzeba go odnawiac recznie?

Certyfikat jest wazny dokladnie 90 dni od momentu wydania i nie ma opcji wydluzenia tego okresu – to swiadoma decyzja projektowa, ktora wymusza automatyzacje i ogranicza szkody w razie wycieku klucza prywatnego. Recznego odnawiania w praktyce sie nie stosuje. Certbot, acme.sh i wbudowane mechanizmy paneli hostingowych uruchamiaja proces odnowienia okolo 30 dni przed wygasnieciem, czyli po uplywie 60 dni waznosci. Taki zapas daje miesiac na wykrycie awarii, zmiane rekordow DNS czy naprawe zablokowanego portu 80. Po odnowieniu konieczne jest przeladowanie serwera WWW, dlatego w konfiguracji ustawia sie deploy hook wykonujacy systemctl reload nginx lub apache2. Warto raz na kwartal sprawdzic logi odnowien, bo cicha awaria timera to najczestsza przyczyna nagle wygaslego certyfikatu na produkcji.

Czy darmowy certyfikat SSL jest gorszy od platnego pod wzgledem bezpieczenstwa i SEO?

Pod wzgledem kryptograficznym nie ma zadnej roznicy. Zarowno Let’s Encrypt, jak i certyfikaty za 800 zl rocznie korzystaja z tych samych algorytmow – RSA 2048 lub ECDSA P-256 – i tego samego protokolu TLS 1.2/1.3. Przegladarka pokazuje identyczna klodke, a Google traktuje HTTPS jako sygnal rankingowy niezaleznie od wystawcy. Roznice dotycza warstwy biznesowej: platne certyfikaty oferuja ubezpieczenie gwarancyjne na kwoty od 10 tysiecy do miliona dolarow, wsparcie techniczne z gwarantowanym czasem reakcji oraz walidacje organizacji, ktora potwierdza istnienie firmy w rejestrach. Instytucje finansowe i duze sklepy czesto wybieraja OV wlasnie z powodow proceduralnych i audytowych, a nie technicznych. Dla bloga, portfolio, strony uslugowej czy sredniego sklepu darmowy certyfikat jest rozwiazaniem w pelni wystarczajacym.

Co zrobic, gdy weryfikacja domeny konczy sie bledem i certyfikat nie zostaje wydany?

Zacznij od ustalenia, ktore wyzwanie zawiodlo. Blad przy HTTP-01 najczesciej oznacza, ze port 80 jest zamkniety, ruch jest przekierowywany na HTTPS zanim serwer odda plik weryfikacyjny albo regula w konfiguracji blokuje katalog /.well-known/. Sprawdz, czy plik testowy umieszczony recznie w tym katalogu otwiera sie z przegladarki pod adresem http. Blad przy DNS-01 zwykle wynika z propagacji – rekord TXT _acme-challenge potrzebuje czasu zaleznego od TTL, wiec obniz TTL do 300 sekund przed operacja. Zweryfikuj tez rekord CAA, bo wpis dopuszczajacy tylko innego wystawce natychmiast zablokuje Let’s Encrypt. Jesli korzystasz z CDN lub proxy, na czas wydania wylacz tryb proxy, aby ruch trafial bezposrednio na serwer origin. Testy prowadz w srodowisku staging, zeby nie wyczerpac tygodniowego limitu prob.

Compliance RODO dla stron: jak wdrożyć zgodność w praktyce

Compliance RODO dla stron internetowych to nie jednorazowy audyt, lecz ciągły proces obejmujący warstwę techniczną, prawną i organizacyjną serwisu. Skuteczny compliance rodo dla stron zaczyna się od inwentaryzacji: trzeba wiedzieć, jakie dane zbiera formularz kontaktowy, co zapisuje analityka, jakie identyfikatory trafiają do systemów reklamowych i gdzie fizycznie leżą kopie zapasowe. Dopiero na tej mapie buduje się politykę prywatności, rejestr czynności przetwarzania oraz mechanizm zgód. Praktyka pokazuje, że większość naruszeń nie wynika ze złej woli, lecz z zaniedbań konfiguracyjnych: wtyczka analityczna uruchomiona przed akceptacją banera, formularz wysyłający dane nieszyfrowanym połączeniem, eksport bazy klientów pozostawiony w katalogu publicznym. Ten przewodnik porządkuje wymagania i pokazuje, jak przełożyć je na konkretne ustawienia hostingu, systemu zarządzania treścią i narzędzi marketingowych, z uwzględnieniem kosztów w złotówkach oraz typowych scenariuszy dla małych i średnich serwisów.

Inwentaryzacja danych jako fundament compliance rodo dla stron

Wdrożenie zaczyna się od spisu miejsc, w których serwis dotyka danych osobowych. Formularz kontaktowy, newsletter, koszyk, komentarze, czat na żywo, logi serwera, kopie zapasowe i integracje z systemami zewnętrznymi tworzą razem mapę przepływów. Bez tej mapy polityka prywatności pozostaje dokumentem oderwanym od rzeczywistej konfiguracji technicznej witryny.

Przykład: sklep z peryferiami, którego bestsellerami są klawiatura mechaniczna, monitor do komputera oraz tablet graficzny wacom, przetwarza dane w kilkunastu punktach jednocześnie — w bazie zamówień, bramce płatniczej, API kuriera, feedzie google merchant, narzędziu do e-mail marketingu i panelu analitycznym. Każdy z tych punktów wymaga osobnej podstawy prawnej oraz osobnego okresu retencji.

Inwentaryzację prowadź w arkuszu z kolumnami: kategoria danych, cel, podstawa prawna, okres retencji, odbiorca, lokalizacja serwera. Prosta wizytówka firmowa generuje zwykle piętnaście do dwudziestu wierszy, rozbudowany sklep nawet sto pięćdziesiąt. Ten arkusz staje się później szkieletem rejestru czynności przetwarzania i skraca późniejszy audyt o kilka dni roboczych.

Dane zbierane biernie, o których łatwo zapomnieć

Adresy IP w logach serwera, identyfikatory sesji, odcisk przeglądarki, informacje z map osadzonych w stopce, pliki przesyłane przez formularz rekrutacyjny — wszystko to są dane osobowe albo dane, które w połączeniu z innymi pozwalają zidentyfikować osobę. Standardowa retencja logów na poziomie trzydziestu dni ogranicza ryzyko bez utraty wartości diagnostycznej.

Zgody i baner cookie, które faktycznie działają

Zgoda musi być uprzednia, dobrowolna, granularna i równie łatwa do wycofania jak do udzielenia. Oznacza to, że przycisk odrzucenia znajduje się na tym samym poziomie wizualnym co przycisk akceptacji, a żaden skrypt marketingowy nie uruchamia się przed decyzją użytkownika. Domyślnie zaznaczone pola wyboru są nieważne.

Technicznie realizuje się to przez blokowanie tagów do momentu zdarzenia zgody oraz tryb sterowania zgodą w kontenerze tagów. Po wdrożeniu część ruchu znika ze statystyk i jest to zjawisko normalne. Modelowanie konwersji uzupełnia lukę, ale decyzje dotyczące treści opieraj wtedy głównie na danych z konsoli wyszukiwania.

Utrata części sygnałów behawioralnych wpływa na to, jak planujesz pozycjonowanie strony: mniej precyzyjne dane o ścieżkach użytkowników wymagają większego nacisku na analizę zapytań, mapę intencji i testy nagłówków. Rekord zgody przechowuj z sygnaturą czasową, wersją treści banera oraz zakresem wyborów, przez co najmniej dwa lata od jej udzielenia.

Koszt platformy zarządzania zgodami dla małego serwisu zaczyna się od zera złotych w wariantach otwartoźródłowych i sięga 60–150 zł miesięcznie w rozwiązaniach komercyjnych obsługujących wiele domen. Dla witryny o ruchu poniżej dwudziestu tysięcy odsłon miesięcznie darmowy skrypt z rzetelną blokadą tagów zwykle w zupełności wystarcza.

Warstwa techniczna: hosting, szyfrowanie i kontrola dostępu

Bezpieczeństwo przetwarzania to obowiązek zapisany wprost w rozporządzeniu. Certyfikat TLS na wszystkich subdomenach, wymuszone przekierowanie na HTTPS, nagłówek HSTS oraz szyfrowanie kopii zapasowych stanowią absolutne minimum. Kopia bazy pozostawiona w katalogu dostępnym z poziomu przeglądarki to najczęstsza przyczyna wycieków w małych serwisach firmowych.

Wybierając infrastrukturę, sprawdź lokalizację centrum danych i treść umowy powierzenia. Konfiguracja typu ovh vps w europejskiej lokalizacji upraszcza kwestię transferów poza Europejski Obszar Gospodarczy, a koszt maszyny z dwoma rdzeniami i czterema gigabajtami pamięci mieści się w przedziale 30–70 zł miesięcznie. Hosting współdzielony wymaga sprawdzenia, kto ma dostęp do plików.

Kontrola dostępu do panelu administracyjnego

Panel zarządzania treścią to osobny front obrony. Ścieżka wordpress logowanie prowadzi domyślnie pod przewidywalny adres, więc warto ją przenieść, ograniczyć liczbę prób, wymusić drugi składnik uwierzytelniania i nadawać role zgodnie z zasadą minimalnych uprawnień. Redaktor nie potrzebuje dostępu do eksportu bazy użytkowników ani do instalacji wtyczek.

Dokumentacja: polityka prywatności, rejestr i umowy powierzenia

Polityka prywatności opisuje stan faktyczny: kto jest administratorem, jakie dane zbiera, na jakiej podstawie, komu je przekazuje, jak długo przechowuje i jakie prawa przysługują użytkownikowi. Kopiowanie dokumentu z innej witryny bywa kosztownym błędem, ponieważ lista odbiorców oraz zestaw narzędzi analitycznych są zwykle zupełnie inne.

Umowy powierzenia podpisujesz z każdym podmiotem przetwarzającym dane w Twoim imieniu: hostingiem, biurem rachunkowym, agencją, dostawcą poczty. Przy wyborze skrzynki firmowej samo zestawienie google workspace cena nie wystarcza — liczy się także dokumentacja przetwarzania, którą dostawca udostępnia, bo to ona przesądza o zgodności całego procesu komunikacji.

Skuteczny compliance rodo dla stron zaczyna się już na etapie makiet. Projektowanie stron internetowych zgodne z zasadą prywatności w fazie projektowania oznacza mniej pól w formularzu, brak domyślnych zgód marketingowych, czytelne komunikaty oraz osobne pola wyboru dla newslettera i dla kontaktu handlowego ze strony sprzedaży.

Rejestr czynności przetwarzania prowadź w jednym pliku, aktualizowanym przy każdej nowej integracji. Pojedynczy wpis zawiera cel, kategorie osób, kategorie danych, odbiorców, planowany termin usunięcia i ogólny opis zabezpieczeń. Dla mikrofirmy powstaje zwykle sześć do dziesięciu wpisów, które mieszczą się na dwóch stronach dokumentu.

Prawa użytkowników, incydenty i utrzymanie zgodności

Na żądanie dostępu, sprostowania, usunięcia lub przeniesienia danych odpowiadasz w terminie jednego miesiąca. Przygotuj procedurę: kto odbiera zgłoszenie, jak weryfikuje tożsamość, w których systemach szuka rekordów i kto zatwierdza treść odpowiedzi. Bez tego pierwsze poważne żądanie zamienia się w kilkugodzinną improwizację całego zespołu.

Wyobraź sobie klienta sklepu, który kupił model z kategorii klawiatura gamingowa mechaniczna, a rok później prosi o usunięcie konta. Dane transakcyjne pozostają ze względu na obowiązki podatkowe, ale profil marketingowy, historia rekomendacji dla wariantu klawiatura mechaniczna 60 oraz zapis rozmowy na czacie podlegają usunięciu. Odpowiedź musi ten podział wyjaśniać.

Naruszenie ochrony danych zgłaszasz organowi nadzorczemu w ciągu 72 godzin od stwierdzenia, a osobom, których dotyczy, wtedy gdy ryzyko naruszenia ich praw jest wysokie. Wewnętrzny rejestr incydentów prowadź także wówczas, gdy zgłoszenie nie jest wymagane, bo udokumentowana decyzja chroni podczas ewentualnej kontroli.

Zgodność utrzymuje się cyklicznie. Kwartalny przegląd wtyczek, listy podwykonawców i skryptów obecnych w kodzie zajmuje kilka godzin, a chroni przed sytuacją, w której nowe narzędzie wspierające pozycjonowanie strony w google dokłada własne ciasteczka bez aktualizacji banera zgód i treści polityki prywatności.

Jak sprawdzić, czy moja witryna spełnia wymogi RODO?

Zacznij od trzech testów technicznych. Otwórz witrynę w trybie prywatnym z podglądem żądań sieciowych i sprawdź, czy przed kliknięciem banera nie wychodzą zapytania do domen analitycznych oraz reklamowych. Następnie przejrzyj listę ciasteczek zapisanych po odrzuceniu zgód — powinny zostać wyłącznie niezbędne. Trzeci krok to porównanie polityki prywatności z faktyczną listą narzędzi obecnych w kodzie źródłowym; rozbieżności pojawiają się w większości audytowanych serwisów. Do tego dochodzi część organizacyjna: rejestr czynności, umowy powierzenia z hostingiem i agencją, procedura obsługi żądań oraz dowody zgód marketingowych. Całość zamknij w checkliście i przeglądaj co kwartał, a dodatkowo po każdej większej zmianie wtyczek lub integracji.

Czy każda strona internetowa musi mieć baner cookie?

Nie każda, choć w praktyce dotyczy to zdecydowanej większości serwisów. Obowiązek uzyskania zgody powstaje wtedy, gdy strona zapisuje lub odczytuje informacje na urządzeniu użytkownika w celu innym niż niezbędny do świadczenia żądanej usługi. Statyczna wizytówka bez analityki, bez osadzonych filmów, bez map i bez pikseli reklamowych może działać wyłącznie na ciasteczku sesyjnym i banera nie potrzebuje. Wystarczy jednak jeden osadzony odtwarzacz wideo albo widżet mapy, by pojawiły się ciasteczka podmiotów trzecich. Zamiast szukać sposobu na usunięcie banera, lepiej ograniczyć liczbę skryptów: mniej narzędzi oznacza szybszą witrynę, prostszą dokumentację i mniejsze ryzyko zarzutu przetwarzania bez podstawy prawnej.

Co grozi za brak zgodności z RODO na stronie?

Rozporządzenie przewiduje kary do 20 milionów euro lub czterech procent światowego obrotu, jednak dla małych firm realniejsze są kwoty rzędu kilkunastu do kilkuset tysięcy złotych oraz nakazy usunięcia nieprawidłowości w wyznaczonym terminie. Znacznie częstszym kosztem bywa konsekwencja pośrednia: postępowanie wyjaśniające pochłania czas zespołu, wyciek danych klientów uderza w reputację marki, a spór z użytkownikiem kończy się roszczeniem o zadośćuczynienie. Dochodzą do tego skutki operacyjne, takie jak wstrzymanie kampanii reklamowej, odrzucenie feedu produktowego czy zablokowanie konta w systemie płatności do czasu wyjaśnienia sprawy. Wdrożenie podstawowej zgodności kosztuje zwykle kilka tysięcy złotych i kilkanaście godzin pracy, więc rachunek ryzyka pozostaje jednoznaczny.

Co zrobić po ataku ransomware w firmie — kompletny plan działania

Pytanie, co zrobić po ataku ransomware w firmie, pada zwykle w ciągu pierwszych minut od chwili, gdy na pulpitach pojawia się notatka z żądaniem okupu, a pliki księgowe dostają obce rozszerzenia. Decyzja o tym, co zrobić po ataku ransomware w firmie, rozkłada się na trzy równoległe ścieżki: zatrzymanie dalszego szyfrowania, zabezpieczenie materiału dowodowego i kontrolowane odtworzenie usług na czystej infrastrukturze. Kolejność ma znaczenie, bo pospieszne przywrócenie kopii na zainfekowany serwer kończy się drugim szyfrowaniem w ciągu kilkunastu godzin. W typowej firmie na 30–80 stanowisk pełny powrót do operacyjności zajmuje od czterech dni do trzech tygodni, a koszt odbudowy — łącznie z pracą specjalistów po 180–350 zł za godzinę, nowym sprzętem i licencjami — mieści się zwykle w przedziale 25 000–150 000 zł. Poniższy plan porządkuje kolejne kroki: od odcięcia sieci, przez obowiązki zgłoszeniowe, po odbudowę serwerów, domeny i poczty.

Pierwsza godzina: izolacja, odcięcie i zabezpieczenie dowodów

Odłącz zainfekowane stacje od sieci fizycznie — wyjmij kabel Ethernet i wyłącz Wi-Fi na kontrolerze, zamiast gasić komputery przyciskiem zasilania. Pamięć RAM zawiera klucze i ślady procesu szyfrującego, które przepadną po twardym restarcie. Odetnij też zdalny dostęp: zablokuj port 3389, wyłącz tunele VPN i tymczasowo dezaktywuj konta serwisowe integratorów.

Równolegle odłącz macierze NAS, dyski USB i zamapowane udziały sieciowe, bo ransomware przechodzi po literach dysków w kilka minut. Jeśli firma korzysta z synchronizacji chmurowej typu OneDrive czy Dropbox, wstrzymaj klienta na wszystkich urządzeniach — inaczej zaszyfrowane wersje plików nadpiszą kopie w chmurze i wyczerpią dostępną historię wersji.

Zrób zrzuty ekranu notatki z żądaniem okupu, zanotuj rozszerzenie zaszyfrowanych plików i zachowaj po jednej próbce na nośniku offline. Te dane pozwalają zidentyfikować rodzinę złośliwego oprogramowania w bazie ID Ransomware i sprawdzić, czy istnieje darmowy deszyfrator w projekcie No More Ransom. Nie kasuj logów zapory ani serwera pocztowego.

Czego nie robić w pierwszych godzinach

Nie płać okupu — mediana żądań wobec małych firm to równowartość 30 000–200 000 zł, a otrzymany klucz odszyfrowuje komplet danych w mniej niż połowie przypadków. Nie formatuj dysków, nie instaluj systemu na tych samych wolumenach i nie uruchamiaj przypadkowych narzędzi deszyfrujących pobranych z forów dyskusyjnych.

• Nie loguj się na zainfekowane maszyny kontem administratora domeny.
• Nie wysyłaj próbek plików na prywatne skrzynki i komunikatory.
• Nie przywracaj kopii, zanim nie potwierdzisz, że atakujący stracił dostęp do sieci.
• Nie usuwaj notatki z okupem — to materiał do identyfikacji grupy przestępczej.
• Nie komunikuj się z atakującym bez zgody prawnika i ubezpieczyciela.

Obowiązki formalne: RODO, CERT Polska i zawiadomienie policji

Jeśli szyfrowanie objęło dane osobowe, masz 72 godziny na zgłoszenie naruszenia do Prezesa UODO przez formularz elektroniczny lub ePUAP. Zgłasza się także samą niedostępność danych, nie tylko ich wyciek — utrata dostępu do bazy kadrowej jest naruszeniem dostępności w rozumieniu przepisów o ochronie danych osobowych.

Incydent zgłoś również do CERT Polska przez dedykowany formularz zgłoszeniowy; operatorzy usług kluczowych i podmioty objęte krajowymi przepisami o cyberbezpieczeństwie mają dodatkowe, krótsze terminy. Zawiadomienie o przestępstwie składasz na komendzie lub w prokuraturze — sprawa kwalifikuje się z przepisów o zniszczeniu danych informatycznych i szkodzie majątkowej.

Sprawdź polisę cyber: większość ubezpieczycieli wymaga kontaktu z infolinią w ciągu 24–48 godzin i korzystania z ich zespołu reagowania, inaczej ogranicza wypłatę odszkodowania. Poinformuj kontrahentów, którym mogłeś wysłać zainfekowane załączniki, oraz bank, jeśli na zaszyfrowanych stacjach działały tokeny albo aplikacje do przelewów.

Odtworzenie danych z kopii zapasowych bez ponownej infekcji

Odpowiedź na pytanie, co zrobić po ataku ransomware w firmie, na etapie odzyskiwania zaczyna się od ustalenia wektora wejścia. W polskich firmach dominują trzy: wystawiony pulpit zdalny ze słabym hasłem, niezałatana bramka VPN i makro w załączniku udającym fakturę. Dopóki luka jest otwarta, odtworzone środowisko zostanie zaszyfrowane ponownie.

Kopie sprawdź na odizolowanym stanowisku bez dostępu do sieci produkcyjnej. Veeam Backup, Acronis Cyber Protect i Synology Active Backup pozwalają zamontować obraz w trybie tylko do odczytu i przejrzeć strukturę katalogów przed przywróceniem. Licencja Veeam na trzy hosty to wydatek rzędu 4 000–7 000 zł rocznie w zależności od pakietu.

Przywracaj w kolejności: kontroler domeny, serwer plików, poczta, systemy księgowe, stanowiska użytkowników. Na każdą odtworzoną maszynę wgraj agenta ochrony przed podłączeniem jej do sieci. Zmień wszystkie hasła — konta domenowe i lokalne, klucze API, dostępy do paneli hostingowych i rejestratora domen — bo zwykle wyciekły razem z danymi.

Weryfikacja, czy kopia nie zawiera backdoora

Sprawdź w kopii zadania harmonogramu, wpisy autostartu w rejestrze, nowe konta lokalne i usługi utworzone w ciągu 30 dni przed incydentem. Grupy ransomware pozostają w sieci od kilku dni do kilku tygodni przed uruchomieniem szyfrowania, więc backup sprzed dwóch dni często zawiera już narzędzia zdalnego dostępu.

Odbudowa serwera, strony i domeny na czystym środowisku

Strony firmowej nie przywracaj na ten sam serwer. Jak przenieść stronę na inny hosting po incydencie: postaw czyste konto, wgraj pliki systemu, motywu i wtyczek z oficjalnych repozytoriów, a z kopii odtwórz wyłącznie bazę danych oraz katalog z multimediami. Decydując, jak wybrać hosting pod WordPress, patrz na izolację kont, codzienne kopie i wsparcie techniczne po polsku.

Pytanie, czym różni się VPS od hostingu współdzielonego, ma po ataku wymiar czysto praktyczny: na współdzielonym za 25–40 zł miesięcznie sąsiadujesz z setkami kont i nie kontrolujesz wersji PHP ani reguł zapory, a VPS za 60–200 zł miesięcznie daje własny system, izolację i miejsce na niezależnego agenta bezpieczeństwa.

Zweryfikuj również domenę. Jak sprawdzić, kto jest właścicielem domeny: użyj wyszukiwarki WHOIS w rejestrze krajowym i potwierdź, że abonentem nadal jest firma, a nie były podwykonawca. Jeśli odnowienie przepadło w czasie chaosu, wiedz, jak przedłużyć domenę po wygaśnięciu — po terminie masz kilkanaście dni na zwykłą opłatę, później następuje kwarantanna i przywrócenie za 200–500 zł.

Po migracji zostaje adresowanie. Jak skonfigurować rekordy DNS domeny: ustaw rekord A na nowy adres IP, rekordy MX na odbudowany serwer poczty oraz wpisy SPF, DKIM i DMARC, bo po incydencie domena bywa już na czarnych listach. Co to jest rekord CNAME — to alias wskazujący jedną nazwę na drugą, stosowany dla subdomen takich jak www czy panel CDN.

Adresy podstron mogły się zmienić przy odbudowie serwisu. Jak ustawić przekierowanie 301 w .htaccess: dodaj regułę typu Redirect 301 /stara-sciezka /nowa-sciezka, żeby nie stracić pozycji w wynikach wyszukiwania ani wartości linków zewnętrznych. Propagacja zmian DNS trwa zwykle od 15 minut do 24 godzin, więc zaplanuj ją poza szczytem sprzedaży.

Wzmocnienie zabezpieczeń, żeby scenariusz się nie powtórzył

Przywróć szyfrowanie transmisji od razu przy uruchamianiu serwisu. Jak zainstalować certyfikat SSL na serwerze: w cPanel i DirectAdmin wystarczy moduł AutoSSL, a na VPS narzędzie Certbot wystawia darmowy certyfikat SSL Let’s Encrypt jedną komendą i odnawia go automatycznie co 90 dni. Certyfikaty komercyjne kosztują 150–600 zł rocznie i różnią się głównie zakresem gwarancji.

Wdróż regułę 3-2-1-1: trzy kopie, dwa różne nośniki, jedna poza siedzibą i jedna niezmienialna. Dołóż uwierzytelnianie wieloskładnikowe na VPN, poczcie i panelach administracyjnych, schowaj pulpit zdalny za bramą dostępową i odbierz użytkownikom prawa administratora. Licencja ochrony stacji klasy ESET PROTECT czy Bitdefender GravityZone to 90–180 zł rocznie za stanowisko.

Odbudowę wykorzystaj do audytu łącza i pracy zdalnej. Jak sprawdzić prędkość internetu rzetelnie: testuj po kablu, o różnych porach dnia, na serwerze krajowym i minimum trzy razy, porównując wynik z parametrami z umowy. Przy pracy hybrydowej sprawdź też, jak wzmocnić sygnał WiFi w domu pracownika — pasmo 5 GHz, zmiana kanału i system mesh zamiast wzmacniacza ograniczają zrywanie sesji VPN.

Jak długo trwa pełne odzyskanie firmy po ataku ransomware?

Pierwsze usługi krytyczne — poczta i dostęp do plików — wracają zwykle po 24–72 godzinach, o ile kopie zapasowe są sprawne i przechowywane poza zaatakowaną siecią. Kontroler domeny i serwer plików to najczęściej pierwsza doba pracy zespołu wdrożeniowego.

Pełne odtworzenie stanowisk, systemów księgowych, integracji i uprawnień zajmuje od czterech dni do trzech tygodni. Czas rośnie, gdy trzeba zamawiać sprzęt, odzyskiwać licencje od producentów albo rekonstruować dokumenty z wersji papierowych i skrzynek pocztowych kontrahentów.

Planując, co zrobić po ataku ransomware w firmie, przyjmij dodatkowy miesiąc na czynności okołoformalne: korespondencję z organem nadzorczym, likwidację szkody z polisy, wymianę haseł u wszystkich partnerów oraz wdrożenie brakujących zabezpieczeń, które zapobiegną powtórce incydentu.

Czy warto płacić okup i czy dane na pewno wrócą?

Płatność okupu nie daje gwarancji odzyskania danych. Otrzymany deszyfrator bywa wolny, uszkadza duże pliki bazodanowe i nie obejmuje wszystkich zaszyfrowanych rozszerzeń, przez co i tak konieczna jest ręczna rekonstrukcja części zasobów przez zespół techniczny.

Zapłata nie usuwa też skutku prawnego. Jeśli dane osobowe zostały wcześniej wykradzione, obowiązek zgłoszenia naruszenia pozostaje, a przestępcy dysponują kopią bazy i wracają z kolejnym żądaniem. Firmy, które zapłaciły, bywają atakowane ponownie w perspektywie kilku miesięcy.

Rozsądniejsze jest zainwestowanie tej samej kwoty w odbudowę i zabezpieczenia: niezmienialne kopie, ochrona stacji roboczych, segmentacja sieci i audyt konfiguracji. Roczny koszt takiego pakietu dla 50 stanowisk to zwykle 15 000–35 000 zł, czyli ułamek typowego żądania okupu.

Co zrobić po ataku ransomware w firmie, gdy nie ma żadnej kopii zapasowej?

Najpierw zabezpiecz nośniki w stanie nienaruszonym i wykonaj ich obrazy sektorowe. Część wariantów zostawia oryginalne pliki w obszarze nieprzydzielonym, więc odzysk danych w laboratorium bywa skuteczny — koszt takiej usługi zaczyna się od 800 zł za dysk i rośnie wraz z pojemnością.

Sprawdź identyfikator rodziny szkodnika w publicznych bazach deszyfratorów. Dla kilkudziesięciu wariantów istnieją darmowe narzędzia udostępnione po przejęciu serwerów przestępców przez służby, a klucze bywają publikowane nawet wiele miesięcy po ataku, dlatego zaszyfrowane kopie warto zachować.

Równolegle odbuduj dane ze źródeł zewnętrznych: skrzynek pocztowych, systemów bankowych, platform sprzedażowych, dokumentów u księgowej i kontrahentów. Faktury, umowy i kartoteki klientów da się w dużej części zrekonstruować, a odzyskaną strukturę od razu obejmij nowym harmonogramem kopii offline.