Varmuuskopiointi kiristyshaittaohjelman varalta: 5 vaatimusta palautuskykyiselle ratkaisulle

05 loka Varmuuskopiointi kiristyshaittaohjelman varalta: 5 vaatimusta palautuskykyiselle ratkaisulle

Varmuuskopiointi kiristyshaittaohjelman varalta tarkoittaa käytännössä sitä, että yrityksellä on sellainen varmistusmalli, josta tiedot voidaan palauttaa myös silloin, kun hyökkäys kohdistuu tuotantoympäristön lisäksi varmuuskopioihin. Pelkkä backup ei siis riitä, jos kopiot ovat samassa ympäristössä, jatkuvasti kirjoitettavissa tai ilman valvontaa. Toimiva ratkaisu perustuu eriytettyihin sijainteihin, palautuksen testaukseen, selkeisiin palautustavoitteisiin ja jatkuvaan seurantaan. Kun nämä ovat kunnossa, kiristyshaittaohjelma ei välttämättä pysäytä liiketoimintaa pitkäksi aikaa, vaan tiedot ja palvelut saadaan palautettua hallitusti.

Miksi kiristyshaittaohjelma muuttaa varmuuskopioinnin vaatimuksia?

Kiristyshaittaohjelma ei ole tavallinen tiedostojen katoamistilanne. Sen tavoitteena on estää pääsy dataan, levitä ympäristössä mahdollisimman laajalle ja joskus myös tuhota tai salata varmuuskopiot. Siksi yrityksen tavallinen varmistusmalli voi näyttää paperilla hyvältä mutta epäonnistua juuri silloin, kun sitä eniten tarvitaan.

Riskit kasvavat erityisesti silloin, jos varmuuskopiointi on rakennettu vain helppoa arkikäyttöä varten eikä hyökkäystilanteita ajatellen. Tällöin ongelmaksi nousee usein se, että palautuspisteitä ei ole riittävästi, kopiot eivät ole erillään tuotannosta tai kukaan ei huomaa epäonnistuneita varmistuksia ajoissa.

• Haittaohjelma voi salata myös jaetut levyt ja palvelimet.
• Hyökkääjä voi pyrkiä poistamaan backup-kopioita ennen varsinaista salausta.
• Palautus voi viivästyä, jos palautusprosessia ei ole testattu etukäteen.
• Liiketoiminnan keskeytys pitenee, jos vastuut ja toimintamalli ovat epäselvät.

Siksi ransomware-tilanteisiin varautuminen on osa laajempaa yrityksen varmuuskopiointipalvelun ja jatkuvuuden suunnittelua, ei pelkkä tekninen lisäominaisuus.

5 vaatimusta toimivalle varmuuskopioinnille kiristyshaittaohjelman varalta

Jos tavoitteena on palautuskykyinen ratkaisu, seuraavat viisi vaatimusta ovat käytännössä tärkeimmät.

1. Varmuuskopioiden pitää olla erillään tuotantoympäristöstä

Jos tuotantopalvelin, käyttäjätunnukset ja varmuuskopiot ovat saman hallinnan piirissä ilman riittävää erottelua, hyökkäys voi ulottua myös varmistuksiin. Tämän vuoksi tarvitaan vähintään erillinen sijainti ja mielellään myös erillisiä suojausmekanismeja.

Hyvä käytäntö on hyödyntää offsite-ajattelua sekä useampaa kopiota eri ympäristöissä. Tätä periaatetta käsitellään myös NIS2-vaatimuksia käsittelevällä sivulla, jossa korostuvat palautussuunnitelma, testaus ja 3-2-1-1-0-ajattelu.

2. Kopioiden pitää olla suojattuja muutoksilta ja poistamiselta

Kiristyshaittaohjelman kannalta paras backup on sellainen, jota ei voi helposti muuttaa tai poistaa. Käytännössä tämä voi tarkoittaa esimerkiksi muuttumattomia varmuuskopioita, aikarajoitettuja säilytyksiä tai muita ratkaisuja, jotka rajoittavat kirjoitusoikeuksia varmistusdataan.

Tärkeää on ymmärtää, että varmuuskopioiden tietoturva ei ole vain salausasia. Olennaista on myös se, kuka saa poistaa kopioita, miten pääsyä valvotaan ja voidaanko haitalliset muutokset pysäyttää ajoissa.

3. Palautuksen pitää olla testattu, ei vain suunniteltu

Moni yritys tietää ottavansa varmuuskopioita, mutta harvempi tietää varmasti, kuinka nopeasti kriittiset tiedot palautuvat. Kiristyshaittaohjelmatilanteessa tällä erolla on suuri merkitys. Jos palautusta ei ole testattu, todellinen palautumisaika voi venyä tuntien sijasta päiviksi.

Palautustestissä pitäisi varmistaa ainakin nämä asiat:

• saadaanko yksittäinen tiedosto palautettua nopeasti
• toimiiko koko palvelimen tai virtuaaliympäristön palautus
• ovatko käyttöoikeudet, rakenteet ja sovellukset mukana
• kuinka vanhaan palautuspisteeseen voidaan palata turvallisesti
• kuka vastaa palautuksen käynnistämisestä ja hyväksynnästä

Jos ympäristössä on palvelimia tai virtuaalikoneita, kannattaa tutustua myös palvelimien varmuuskopiointiin ja siihen, miten palautus suunnitellaan eri ympäristöissä.

4. Valvonnan pitää olla jatkuvaa

Automaattinen varmuuskopiointi on hyvä lähtökohta, mutta ilman valvontaa se ei riitä. Varmistus voi epäonnistua huomaamatta esimerkiksi tallennustilan, käyttöoikeuksien, verkkoyhteyksien tai ohjelmistovirheiden vuoksi. Jos ongelma havaitaan vasta hyökkäyksen jälkeen, palautuspiste voi puuttua juuri kriittisimmältä ajalta.

Jatkuva seuranta tarkoittaa käytännössä sitä, että epäonnistumiset huomataan nopeasti, niihin reagoidaan ja kokonaisuudesta saadaan raportoitava näkymä. Tähän liittyvät myös varmuuskopioinnin kuukausikatsaus ja säännöllinen raportointi, joilla palautettavuuden tilaa voidaan seurata johdonkin näkökulmasta.

5. Tavoitteet pitää määritellä etukäteen

Kiristyshaittaohjelmatilanteessa kaksi kysymystä ratkaisee paljon: kuinka nopeasti pitää palautua ja kuinka paljon dataa voidaan menettää. Näitä kuvataan yleensä RTO- ja RPO-tavoitteilla. Ilman niitä varmuuskopiointi jää helposti yleiselle tasolle, eikä ratkaisu välttämättä tue liiketoiminnan tarpeita.

Jos esimerkiksi talousjärjestelmä, asiakasdata tai tuotannon ohjaus on kriittinen, niiden palautustavoitteet voivat olla aivan eri tasolla kuin arkistoidun aineiston. Tarkempi kuva löytyy sivulta RTO ja RPO varmuuskopioinnissa.

Käytännön tarkistuslista yritykselle

Alla oleva malli auttaa arvioimaan nopeasti, onko nykyinen varmuuskopiointi riittävän vahva kiristyshaittaohjelman varalta.

1. Tunnista kriittisimmät tiedot, palvelimet, sovellukset ja käyttäjäkohtaiset aineistot.
2. Tarkista, missä varmuuskopiot fyysisesti ja loogisesti sijaitsevat.
3. Varmista, etteivät kaikki kopiot ole saman tunnushallinnan tai ympäristön takana.
4. Arvioi, onko käytössä offsite-kopiointi ja suojaus poistamista vastaan.
5. Tarkista palautuspisteiden tiheys ja säilytysajat.
6. Testaa tiedoston, palvelimen ja tarvittaessa koko ympäristön palautus.
7. Määritä RTO- ja RPO-tavoitteet liiketoiminnan näkökulmasta.
8. Sovi vastuut: kuka valvoo, kuka reagoi ja kuka hyväksyy palautukset.
9. Dokumentoi toimintamalli ensimmäisille tunneille hyökkäyksen jälkeen.
10. Toista tarkistus säännöllisesti, ei vain kerran vuodessa.

Jos tarkistuslistan useampi kohta jää avoimeksi, kyse ei välttämättä ole siitä, että varmuuskopiointi puuttuu kokonaan. Usein ongelma on siinä, että ratkaisu ei ole vielä riittävän palautuskykyinen todellista häiriötilannetta varten.

Miten ensimmäiset 24 tuntia kannattaa ajatella?

Hyvä varmuuskopiointi auttaa vasta silloin, kun sen ympärille on rakennettu toimiva käytännön toimintamalli. Kiristyshaittaohjelman jälkeen kiireisin vaihe on usein ensimmäinen vuorokausi, jolloin pitää samanaikaisesti rajata vahinkoa, arvioida tilannetta ja valmistella palautusta.

Tyypillinen eteneminen näyttää tältä:

• eristä saastuneet laitteet ja palvelut verkosta
• estä haittaohjelman leviäminen muihin ympäristöihin
• selvitä, mitä dataa ja järjestelmiä hyökkäys koskee
• tarkista varmuuskopioiden eheys ja viimeiset puhtaat palautuspisteet
• päätä palautuksen järjestys liiketoiminnan kriittisyyden perusteella
• käynnistä palautus hallitusti, ei kaikkea kerralla ilman priorisointia

Tässä vaiheessa korostuu myös asiantuntijatuki. Kun valvonta, ylläpito ja palautusprosessi on sovittu etukäteen, päätöksiä ei tarvitse tehdä täysin paineen alla. Tästä syystä moni yritys hyödyntää varmuuskopioinnin asiantuntijapalveluita osana jatkuvuuden varmistamista.

Millainen ratkaisu sopii pk-yritykselle?

Pk-yrityksen ei yleensä tarvitse rakentaa monimutkaisinta mahdollista ympäristöä, mutta perusasioiden on oltava kunnossa. Toimiva malli on usein yhdistelmä automaatiota, offsite-varmistusta, selkeitä palautustavoitteita ja ulkoista valvontaa. Tärkeintä on, että ratkaisu sopii yrityksen omaan ympäristöön: työasemiin, palvelimiin, Microsoft 365 -dataan ja mahdollisiin pilvipalveluihin.

Hyvässä kokonaisuudessa huomioidaan ainakin nämä:

• työasemien ja kannettavien tiedot
• palvelimet ja virtuaaliympäristöt
• Microsoft 365 -ympäristö ja käyttäjäkohtainen data
• palautusten nopeusvaatimukset
• suomenkielinen tuki ja selkeä vastuunjako

Storage IT on suomalainen, vuodesta 2005 toiminut tiedonhallinnan asiantuntija, jonka ratkaisuihin luottaa sivuston mukaan yli 2 000 suomalaista yritystä. Käytännössä tämä näkyy siinä, että varmuuskopiointia voidaan toteuttaa yrityksen tarpeen mukaan joko paikallisesti, pilvipalveluna tai näiden yhdistelmänä.

FAQ: varmuuskopiointi kiristyshaittaohjelman varalta

Riittääkö tavallinen automaattinen varmuuskopiointi?

Ei aina. Automaattisuus on tärkeä perusta, mutta kiristyshaittaohjelman varalta tarvitaan lisäksi eriytetty sijainti, suojaus poistamista vastaan, testattu palautus ja jatkuva valvonta.

Voiko kiristyshaittaohjelma salata myös varmuuskopiot?

Kyllä voi, jos varmuuskopiot ovat hyökkääjän saavutettavissa samassa ympäristössä tai liian laajoilla oikeuksilla. Siksi kopioiden eristäminen on olennainen osa suojausta.

Mitä tiedoista pitää palauttaa ensin?

Ensin palautetaan liiketoiminnan kannalta kriittisimmät järjestelmät ja data. Järjestys kannattaa päättää etukäteen, ei vasta häiriötilanteessa.

Kuinka usein palautusta pitäisi testata?

Testausväli riippuu ympäristöstä ja muutosten määrästä, mutta palautusta pitäisi testata säännöllisesti aina merkittävien muutosten yhteydessä sekä osana jatkuvaa varautumista.

Miten Microsoft 365 liittyy tähän?

Kiristyshaittaohjelmat, käyttäjävirheet ja haitalliset poistot voivat koskea myös pilvipalveludataa. Siksi myös Microsoft 365 varmuuskopiointi kannattaa arvioida osana kokonaisuutta.

Yhteenveto

Varmuuskopiointi kiristyshaittaohjelman varalta ei tarkoita vain sitä, että kopioita on olemassa. Olennaista on, että kopiot ovat erillään tuotannosta, suojattuja muutoksilta, testatusti palautettavissa, jatkuvasti valvottuja ja liiketoiminnan tavoitteisiin sidottuja. Kun nämä viisi vaatimusta täyttyvät, yrityksen palautuskyky paranee olennaisesti.

Jos haluat arvioida, kestääkö nykyinen varmuuskopiointi myös kiristyshaittaohjelmatilanteen, seuraava järkevä askel on käydä nykytila läpi asiantuntijan kanssa. Lisätietoa ratkaisuista löytyy sivulta EASY Varma, tai tilanteen voi käydä läpi suoraan yhteydenoton kautta.