Datu rezerves kopijas: 3–2–1 princips vienkāršā valodā

3–2–1 princips

Vienkāršs noteikums, ko lieto drošības speciālisti visā pasaulē:

• 3 datu kopijas (oriģināls un divas rezerves).
• 2 dažādi nesēji (piemēram, dators un ārējais disks vai mākonis).
• 1 kopija ārpus vietas (citā fiziskā vietā vai mākonī), lai to nesabojā ugunsgrēks, zādzība vai izspiedējvīruss.

Trīs skaitļi risina trīs dažādus riskus: kopiju skaits sedz bojājumu, dažādi nesēji sedz viena nesēja atteici, bet kopija citā atrašanās vietā mazina vienas telpas vai ēkas bojājuma sekas; pret uzbrukumu tīklā vajadzīga arī piekļuves nošķiršana.

Ārpus vietas un bezsaistē – divas atšķirīgas aizsardzības

Izspiedējvīruss var šifrēt arī datoram pievienotus diskus un tīkla mapes, kurām lietotājam ir rakstīšanas tiesības. Ārējais disks, kas pastāvīgi karājas USB portā, uzbrukuma brīdī ir daļa no datora, nevis rezerves kopija.

Cik reāls šis risks ir, redzams Verizon 2025. gada datu pārkāpumu izmeklēšanas ziņojumā: izspiedējprogrammatūra bija klāt 44 % no visiem analizētajiem pārkāpumiem, kas ir pieaugums no 32 % iepriekšējā gadā. Mazos un vidējos uzņēmumus tā skar nesamērīgi – tur tā ir 88 % pārkāpumu sastāvdaļa, salīdzinot ar 39 % lielajās organizācijās.

Ko rezerves kopijās prasa Latvijas noteikumi

Nacionālās kiberdrošības likuma subjektiem ir saistošas konkrētas rezerves kopiju prasības, kuru tvērums atkarīgs arī no sistēmas klases. Ministru kabineta noteikumu Nr. 397 “Minimālās kiberdrošības prasības” 3.10. apakšnodaļa nosaka konkrētas rezerves kopiju prasības, un tās ir noderīgs mērs arī uzņēmumam, uz kuru likums neattiecas.

• 67. punkts: rezerves kopijas jāveido katrai subjekta īpašumā vai valdījumā esošajai informācijas sistēmai – ne tikai “svarīgākajām”.
• 71.2. apakšpunkts: ja kārtējā rezerves kopijas izveide nav izdevusies, par to nekavējoties jābrīdina atbildīgā persona un kiberdrošības pārvaldnieks.
• 71.3. apakšpunkts: A klases sistēmai pēc kopijas izveides jāizveido tās satura kontrolsumma, ja netiek izmantotas citas integritātes pārbaudes metodes.
• 20. punkts: IKT kritiskajā infrastruktūrā kiberdrošības pārvaldnieks vienlaikus nedrīkst būt atbildīgā persona par rezerves kopiju veidošanu – pienākumi jānošķir.

A klases informācijas sistēmai vismaz viena pilna rezerves kopija tiek uzglabāta no informācijas sistēmas atdalītos tehniskajos resursos (piemēram, datu nesējos), ģeogrāfiski attālinātā vietā, telpās, kas aizsargātas pret nesankcionētu piekļuvi un aprīkotas ar automātisko ugunsgrēka atklāšanas un trauksmes signalizācijas sistēmu. – MK noteikumu Nr. 397 72.2. apakšpunkts

72.2. apakšpunkts nosaka konkrētu prasību A klases sistēmai. Tas nav vispārējs 3–2–1 formulas pārnesums visām sistēmām: juridisko minimumu un kopiju stratēģiju izvērtē atsevišķi.

Cik tālu atpakaļ jāspēj atjaunot

Noteikumu 70. punkts nosaka, cik dziļai jābūt rezerves kopiju vēsturei. Dziļums ir atkarīgs no sistēmas drošības klases, ko subjekts nosaka pats pēc noteikumu 5. pielikuma metodikas: A klase ir paaugstinātas drošības sistēma, B – pamata drošības, C – minimālās drošības.

Rezerves kopiju dziļums un pārbaudes biežums pēc MK noteikumiem Nr. 397

Sistēmas klase	Cik tālu atpakaļ jāspēj atjaunot	Nolasīšanas pārbaude
A klase (paaugstinātas drošības)	Iepriekšējā dienā; pirms nedēļas (7–31 diena); pirms mēneša (30–365 dienas); iepriekšējā gadā (vecāku par 365 dienām)	Ne retāk kā reizi sešos mēnešos
B klase (pamata drošības)	Pēdējās nedēļas laikā (1–7 dienas); pirms nedēļas (7–31 diena); pirms mēneša (30–365 dienas); iepriekšējā gadā	Ne retāk kā reizi gadā
C klase (minimālās drošības)	Pirms pēdējām nozīmīgajām izmaiņām sistēmā, bet ne senāk kā pirms sešiem mēnešiem	Nav noteikta 74.2. apakšpunktā

Loģika aiz šīm rindām ir vienkārša un noder arī mājās: ar vienu vakardienas kopiju nepietiek, jo failu bojājumu vai šifrēšanu bieži pamana pēc nedēļām. Vajag arī vecāku kopiju, kas radīta pirms problēmas sākuma.

Atjaunošanas pārbaude – kopijas lietderības pierādījums

Rezerves kopija, kuru nevar atjaunot, nav rezerves kopija. Tieši tāpēc noteikumu 74.2. apakšpunkts prasa nevis kopiju eksistenci, bet nolasīšanas pārbaudi izlases kārtā – ne retāk kā reizi sešos mēnešos A klases sistēmai un reizi gadā B klases sistēmai vai pēc būtiskām izmaiņām.

Pārbaude, kas tiešām kaut ko pierāda, izskatās šādi:

1. Izvēlies nejaušu failu vai sistēmu, nevis to, par kuru zini, ka tā strādā.
2. Atjauno to citā vidē, nevis pāri oriģinālam.
3. Pieraksti, cik ilgi tas prasīja – šis skaitlis ir tavs reālais atjaunošanas laiks, nevis tas, ko sola pakalpojuma apraksts.
4. Pārbaudi, vai atjaunotie dati ir pilnīgi un atverami, ne tikai vai fails nokopējās.
5. Pieraksti datumu, izpildītāju un rezultātu. Ieraksts palīdz pierādīt un atkārtot veikto pārbaudi.

Noteikumu 73. punkts prasa arī, lai rezerves kopiju veidošanas, glabāšanas, dzēšanas un atjaunošanas pārbaudes kārtība būtu aprakstīta iekšējos dokumentos kopā ar atbildīgajiem. Praksē tieši šī rakstiskā kārtība parasti trūkst: kopijas ir, bet neviens nav norunājis, kurš tās pārbauda un cik bieži.

Lokālā vai mākoņa dublēšana?

Abām ir vieta. Lokālā (ārējais disks, NAS) ir ātra atjaunošanai un neatkarīga no interneta ātruma – atjaunošanas laiks tomēr ir jāpārbauda konkrētajā vidē. Mākoņa dublēšana automātiski nodrošina kopiju ārpus vietas un pasargā no ugunsgrēka vai zādzības.

Labākais risinājums parasti apvieno abus. Ja jāizvēlas viens, izvēlies to, kas nodrošina versiju vēsturi un ko izspiedējvīruss nevar pārrakstīt.

Vai maksāt izpirkuma maksu?

Verizon 2025. gada ziņojuma dati liecina, ka nemaksāšana kļūst par normu: 64 % cietušo organizāciju izpirkuma maksu nesamaksāja, salīdzinot ar 50 % pirms diviem gadiem. Vidējā samaksātā summa tajā pašā laikā samazinājās līdz 115 000 ASV dolāru no 150 000 iepriekšējā gadā.

Maksāšana negarantē datu atgūšanu un finansē nākamos uzbrukumus. Pārbaudītas rezerves kopijas ir tas, kas ļauj atteikties – un tieši tāpēc atjaunošanas pārbaude ir ieguldījums sarunu pozīcijā, ne tikai tehniska formalitāte.

Ja uzņēmums ir Nacionālās kiberdrošības likuma subjekts, nozīmīga kiberincidenta gadījumā papildus jāievēro ziņošanas termiņi: agrīnais brīdinājums 24 stundu un sākotnējais ziņojums 72 stundu laikā. Vai likums attiecas uz tevi, var pārbaudīt ceļvedī par NIS2 prasībām uzņēmumiem.

Biežākās kļūdas

• Rezerves kopija pastāvīgi pievienotā diskā – to nošifrē kopā ar visu pārējo.
• Vienkārša sinhronizācija bez versiju vēstures: bojāts vai šifrēts fails pārraksta veselo.
• Dublēti dati, bet ne konfigurācijas. Noteikumu 69. punkts prasa arī tehniskās dokumentācijas un konfigurāciju kopijas – bez tām sistēmu atjaunot ir daudz lēnāk.
• Neviens nepamana, ka dublēšana pārstāja strādāt, jo brīdinājums par neizdevušos kopiju nav ieslēgts.
• Atjaunošana nav pārbaudīta nekad – to pirmo reizi mēģina incidenta dienā.
• Rezerves kopijas ir, bet izspiedējvīruss ienāca pa pikšķerēšanas e-pastu, ko neviens neatpazina. Kā to atpazīt, aprakstīts ceļvedī par pikšķerēšanu.