1. Strona główna
  2. Audyt
  3. Backup 3-2-1 dla MŚP
1-dniowy audyt IT · 1 500 zł netto · stała cena

Backup 3-2-1 dla MŚP: checklista, RPO/RTO i ochrona przed ransomware

Jak robić kopie zapasowe, które da się odtworzyć po awarii lub ataku ransomware, i jak to regularnie sprawdzać.

Umów audyt 1 500 zł → Zobacz spis treści

Audyt wykonuje osobiście Radek Rzążewski. Ostatnia aktualizacja:

Spis treści

1. Dlaczego backup jest kluczowy 2. Zasady 3-2-1 i 3-2-1-1-0 3. RPO i RTO, ile możesz stracić? 4. Rodzaje backupów i gdzie je trzymać 5. Backup Microsoft 365 / Google Workspace 6. Szyfrowanie, retencja, polityka 7. Odporność na ransomware 8. Testy przywracania, jak i jak często 9. Checklisty i szablony

TL;DR (najważniejsze w 60 sekund)

  • Jeśli masz tylko jedną kopię danych: nie masz backupu.
  • Zasada 3-2-1-1-0 to dobra podstawa odporności na ransomware.
  • Częsty błąd małych firm: kopii nikt nie sprawdza. Próbne odtworzenie warto robić raz na kwartał.

Chcesz to wdrożyć szybko? Zobacz jak wygląda audyt w 1 dzień i plan naprawy.

1. Dlaczego backup jest kluczowy (i co nie jest backupem)

To NIE jest backup: przeniesienie pliku na inny folder, pojedynczy pendrive w tej samej szufladzie, sama synchronizacja bez historii wersji.

2. Zasady 3-2-1 i 3-2-1-1-0

3-2-1: 3 kopie danych, 2 różne nośniki, 1 kopia poza lokalizacją.

3-2-1-1-0: + 1 kopia niezmienialna (immutable/WORM), 0 błędów po weryfikacji (test odtwarzania, kontrola integralności).

Przykład dla MŚP

  • Kopia dzienna: NAS (urządzenie z dyskami w sieci biura) z historią wersji.
  • Kopia tygodniowa: usługa przechowywania danych w chmurze (np. S3) z włączoną historią wersji i dodatkowym potwierdzaniem usuwania (MFA delete).
  • Kopia miesięczna: offline (dysk odłączany fizycznie / sejf).
Wskazówka: „Immutable” oznacza, że kopi nie da się zmienić/usunąć przez określony czas: to klucz wobec ransomware.

3. RPO i RTO, ile możesz stracić i na jak długo stanąć?

Mini-kalkulator (przykład szacowania) 
RPO 8h → backup co 8h (min. 3x dziennie w godzinach pracy)
RTO 4h → trzymaj krytyczne dane w szybkiej lokalnej kopii (NAS), a chmurę jako drugi etap

4. Rodzaje backupów i gdzie je trzymać

Pełny / przyrostowy / różnicowy

  • Pełny: kopia całych danych.
  • Przyrostowy: tylko zmiany od ostatniej kopii.
  • Różnicowy: zmiany od ostatniej kopii pełnej.

Gdzie przechowywać

  • NAS/on-prem: szybko, tanio; wymaga separacji i snapshotów.
  • Chmura (S3/Wasabi/Azure Blob): versioning, lifecycle, MFA delete.
  • Offline: dysk odłączany / taśma: odporność na ransomware.

Szczególne przypadki

  • Bazy danych: konsystentne zrzuty (dump + logi transakcyjne).
  • Maszyny wirtualne: snapshoty + kopie na poziomie hypervisora.
  • Pliki „otwarte”: VSS na Windows/ odpowiedniki w macOS/Linux.

5. Backup Microsoft 365 / Google Workspace, mit „chmura zrobi to za mnie”

Wskazówka: jeśli nie chcesz zewnętrznych narzędzi, minimum to: wersjonowanie + retencja + zasady zapobiegania wyciekom danych (DLP) + reguły antyphishing.

6. Szyfrowanie, retencja i polityka backupu

Szyfrowanie

  • W spoczynku: szyfruj repozytoria kopii (AES-256), klucze poza backupem.
  • W tranzycie: TLS/VPN między lokacjami.
  • Klucze/KMS: dostęp ograniczony; MFA dla operacji na kluczach.

Retencja

  • Minimum: 7/30/90 dni (krótka/średnia/długa), w zależności od branży.
  • Stare wersje przesuwaj do tańszych klas (lifecycle).

Szablon polityki (skrót)

Cel: zapewnić odtworzenie danych i ciągłość działania.
Zakres: serwery, stacje, SaaS (M365/Google), bazy, VM.
RPO/RTO: RPO=8h, RTO=4h (dla finansów), reszta RPO=24h.
Topologia: 3-2-1-1-0; NAS (lokalnie), S3 (chmura), offline.
Retencja: 30 dni (podstawowa), 90 dni (rozszerzona).
Testy: przywracanie próbne co kwartał, raport wyników.
Uprawnienia: oddzielne konta dla backupu; MFA; zasada najmniejszych uprawnień.
Zmiany: każdy wyjątek i zmiana, zatwierdzana i dokumentowana.

7. Jak zabezpieczyć backup przed ransomware

Ważne: nie montuj repozytoriów backupu w trybie RW w systemach użytkowników. Backup ma być „oddzielony” i odporny na przejęcie ich uprawnień.

8. Testy przywracania, jedyna miara skuteczności

Backup bez testu przywrócenia = brak gwarancji. Minimalny plan:

Szablon raportu z testu przywracania 
Data: 2025-09-15
Zakres: przywrócenie bazy "Faktury" (prod -> test)
Czas przywrócenia: 1h 45m (RTO=4h spełnione)
Utrata danych: 20 minut (RPO=1h, niespełnione, zalecamy backup częściej)
Wnioski: zmiana harmonogramu z co 60m na co 30m; włączyć walidację po restore.

9. Checklisty i szybkie wdrożenia

Szybkie poprawki (do 1 tygodnia)

  • Włącz wersjonowanie i wydłuż retencję do min. 30 dni.
  • Skonfiguruj kopię poza biurem (S3/Wasabi/Azure Blob) + MFA delete.
  • Utwórz kopię offline raz w tygodniu (dysk odłączany).
  • Rozdziel konta admina i backupu; włącz MFA.
  • Sprawdź przywrócenie 3 losowych plików.

Minimum ciągłości działania (MŚP)

  • RPO ≤ 8h dla finansów / krytycznych danych.
  • RTO ≤ 8h: lokalna szybka kopia + plan odtworzenia.
  • Immutable na warstwie chmury (lub snapshot-only).
  • Procedura reagowania i kontakt do osoby odpowiedzialnej.

Opracowanie: AudytBiura.pl, praktyczny poradnik dla małych firm. Aktualizacja: 25.01.2026 r.

FAQ

Czy dysk USB w szufladzie to dobry backup?

Tylko jako jedna z kopii. Dysk USB może być kopią offline, jeśli kopia robi się automatycznie, a dysk jest odłączany po jej wykonaniu. Dysk stale podłączony albo trzymany w tej samej szufladzie co komputer nie wystarczy.

Jak często robić backup w małej firmie?

Minimum raz dziennie dla danych operacyjnych; dla krytycznych systemów częściej (np. co 4-6 godzin).

Czy chmura (M365/Google) robi backup sama z siebie?

To głównie synchronizacja i retencja. Dla odporności na ransomware i błędy użytkowników warto mieć niezależny backup.

Co to jest RPO i RTO w praktyce?

RPO: ile danych możesz stracić (np. 1 dzień). RTO: jak szybko musisz wrócić do działania (np. 4 godziny).

Jak sprawdzić, czy backup działa?

Zrób test odtwarzania: plików, folderu i całej maszyny i spisz wynik w protokole.

Zobacz też

Sprawdź, czy Twoja firma jest narażona

W 1 dzień sprawdzam, gdzie Twoja firma może stracić dane, pieniądze albo dostęp do poczty.

Audyt kosztuje 1 500 zł netto i kończy się prostym raportem z listą rzeczy do poprawy.

Zobacz audyt za 1 500 zł

Radek Rzążewski - audyt bezpieczeństwa IT

Autor: Radek Rzążewski (AudytBiura.pl)
Zobacz profil na LinkedIn

Na co dzień zajmuję się cyberbezpieczeństwem (SOC / monitoring / analiza zagrożeń). W audytach pokazuję właścicielom małych firm, gdzie mogą stracić dane, pieniądze albo dostęp do poczty i co trzeba poprawić.

Ostatnia aktualizacja:

Radek Rzazewski

Co backupować najpierw w Twojej branży

To, co musisz odtworzyć w pierwszej kolejności, zależy od branży. Zobacz priorytety kopii zapasowych: