Niemal wszystkie firmy na świecie posiadają plan działania na wypadek cyberataku (tzw. playbook). Jednak wciąż mniej niż połowa zawarła w nim elementy, które w sytuacji kryzysowej zadecydują o być lub nie być organizacji – wynika z raportu „Veeam Ransomware Trends and Proactive Strategies 2025”. Tylko 44% badanych przedsiębiorstw uwzględnia w playbooku konieczność regularnego testowania kopii zapasowych, a 32% wskazuje procedury izolacji systemów zagrożonych atakiem ransomware. Dodatkowo jedynie co trzeci respondent wie, kto podejmuje decyzje, gdy wystąpi incydent. Niemal siedem na dziesięć podmiotów (69%) badanych przez Veeam padło ofiarą przynajmniej jednego ataku ransomware w ciągu ostatnich 12 miesięcy. Choć odsetek ten obniżył się o 6% względem poprzedniego roku (75% w 2024 roku), próżno szukać tu podstaw do nadmiernego optymizmu. Rosnąca presja regulacyjna, zacieśnianie współpracy między zespołami IT i bezpieczeństwa oraz ogólna wyższa świadomość zagrożeń sprawiają, że firmy stają się coraz lepiej przygotowane na ryzyka cybernetyczne. Jednak przestępcy szybko adaptują swoje techniki: zamiast szyfrowania danych coraz częściej wykradają poufne informacje, a czas między włamaniem i atakiem są w stanie skrócić do kilku godzin.

Gdy nie ma czasu na improwizację
W warunkach cyberataku krytyczne znaczenie ma natychmiastowy dostęp do procedur i jasno zdefiniowanych ścieżek postępowania. Z pomocą przychodzi firmom playbook, który jest podstawowym elementem przygotowania na incydent ransomware. Wskazuje m.in., kto podejmuje decyzje, jakie działania należy podjąć bezpośrednio po wykryciu zagrożenia, w jakiej kolejności przywracać kluczowe systemy oraz jak prowadzić komunikację – zarówno wewnętrzną, jak i zewnętrzną. Dobrze zaprojektowany playbook zawiera nie tylko scenariusze reakcji, ale także konkretne wytyczne techniczne, które pozwalają ograniczyć rozprzestrzenianie się ataku w organizacji.
Raport Veeam ujawnia jednak, że plany reagowania wielu firm pomijają te kluczowe elementy. Tylko 44% organizacji w swoim playbooku uwzględniło procedury weryfikacji kopii zapasowych i określiło częstotliwość ich wykonywania. Jeszcze mniej, bo 37% badanych zadbało o dostęp do alternatywnej infrastruktury, która umożliwi szybkie przywrócenie systemów, a zaledwie jedna trzecia firm opracowała plan izolowania zainfekowanych środowisk. Tylko 30% podmiotów posiada jasno zdefiniowany łańcuch decyzyjny, który pozwala reagować sprawnie i bez chaosu. Tymczasem bez tych elementów plan reagowania kryzysowego traci praktyczną wartość.

Nie tylko leczyć, ale także zapobiegać
Warto pamiętać, że skuteczny playbook to narzędzie reakcji, a nie prewencji. Dlatego przygotowanie na zagrożenia cybernetyczne nie może sprowadzać się wyłącznie do stworzenia dokumentu wskazującego „co robić, gdy atak już się wydarzył”. Kluczowa jest kompleksowa strategia odporności organizacji i jej danych, na którą składają się nie tylko procedury działania w czasie incydentu cybernetycznego i bezpośrednio po nim, ale również dobre praktyki wdrażane wcześniej – na etapie zabezpieczania zasobów, planowania procesów i edukowania zespołów.

Filary zwiększania odporności
Jednym z najważniejszych filarów cyberodporności jest strategia tworzenia i odzyskiwania kopii zapasowych. Skuteczne podejście wymaga nie tylko regularnego wykonywania backupu, ale również jego izolacji od środowiska produkcyjnego i zabezpieczenia przed nieautoryzowanymi zmianami. Konieczne jest także regularne testowanie procedur przywracania backupu, aby mieć pewność, że w sytuacji kryzysowej kopie zapasowe są dostępne, aktualne i w pełni funkcjonalne. Dobrym punktem odniesienia jest zasada 3-2-1-1-0, zgodnie z którą firma powinna przechowywać trzy kopie danych na dwóch różnych nośnikach, z czego co najmniej jedna musi być niezmienna i znajdować się poza główną siedzibą firmy. Zero na końcu oznacza brak błędów wykrytych podczas testów odzyskiwania danych.
Równolegle firmy powinny inwestować w rozwiązania proaktywne, które pozwalają ograniczać prawdopodobieństwo wystąpienia ataku. Wśród nich warto wskazać m.in. architekturę zero trust oraz zarządzanie tożsamością i dostępem. Równie istotne są polityki i procesy zapewniające aktualność oprogramowania, a także narzędzia umożliwiające wykrywanie anomalii i podejrzanych zachowań w środowisku systemowym. Uzupełnieniem działań technicznych powinny być regularne warsztaty edukacyjne obejmujące wszystkich pracowników – nie tylko szkolenia, ale także tzw. ćwiczenia z odporności. Pozwalają one sprawdzić procedury w praktyce, zidentyfikować luki w zabezpieczeniach i przygotować firmę na działanie pod realną presją.

Ochrona, która działa w praktyce
W świecie, w którym cyberatak to już nie kwestia „czy” ani „kiedy”, lecz „ile razy”, kluczowe znaczenie ma wszechstronna ochrona danych i procesów biznesowych. Składają się na nią działania prewencyjne oraz dobrze zaprojektowany plan postępowania w razie wystąpienia incydentu. Aby mógł on faktycznie wspierać organizację w kryzysie, nie może być dokumentem do przygotowania i odłożenia „na półkę”, lecz musi stać się narzędziem gotowym do użycia – przetestowanym, aktualnym i osadzonym w praktyce operacyjnej firmy.

Tomasz Krajewski, Dyrektor Techniczny Sprzedaży na Europę Wschodnią w firmie Veeam

Informacja prasowa SAROTA PR.