Proč je soukromá záloha klíčová
Záloha bez soukromí je jen další kopií vašich problémů. Únik, kompromitace cloudu nebo ztráta zařízení zasáhne tím více, čím více necitlivých kopií existuje. Pokud však kombinujeme robustní strategii 3-2-1 s koncovým šifrováním, získáme odolnost vůči poruchám, ransomwaru i zvědavým očím – a přitom zůstáváme schopni data rychle obnovit.
Princip 3-2-1: co přesně znamená
- 3 kopie dat: originál + dvě nezávislé zálohy (minimálně). Zvyšuje se pravděpodobnost, že alespoň jedna kopie přežije.
- 2 různá média: například interní disk + externí HDD/NAS nebo cloudové objektové úložiště. Různé rizikové profily (mechanické selhání vs. účet v cloudu).
- 1 kopie mimo pracoviště (off-site): chrání před požárem, krádeží či lokální havárií. Ideálně geograficky jinde a odpojená od běžného provozu.
Moderní varianty doplňují 1 kopii offline/immutable (nelze ji měnit) a pravidelné testy obnovy.
Model hrozeb pro zálohy
- Ransomware a hromadné mazání: útočník šifruje/maže primární data i připojené zálohy.
- Úniky v cloudu: nesprávně nastavené zásady, slabé účty, státní vyžádání dat.
- Fyzická rizika: oheň, voda, krádež, selhání médií, bit rot.
- Organizační chyby: ztracené klíče, zapomenutá hesla, špatná dokumentace a nulové testy obnovy.
Šifrování: základní principy
- Koncové (client-side) šifrování: zašifrujete ještě před odesláním na úložiště. Poskytovatel nevidí obsah (zero-knowledge).
- Ověřená primitiva: AES-256-GCM nebo XChaCha20-Poly1305 pro soukromí i integritu; pro odvození klíčů Argon2id s adekvátními parametry.
- Správa klíčů: dlouhá přístupová fráze (diceware), verze klíčů (rotace), bezpečné offline uložení master key.
- Šifrování metadat: ideálem je šifrovat i názvy souborů, adresáře a velikosti (format-preserving leaky metadata minimalizujte balením do kontejneru).
Výběr úložišť: lokální, síťová a cloud
- Lokální disky (HDD/SSD): rychlé a levné, vhodné pro denní inkrementální zálohu. SSD pro frekventované sad, HDD pro kapacitu; počítejte s pravidelnou výměnou disků a SMART monitoringem.
- NAS (Network Attached Storage): pohodlné verzování a sdílení, ale ne tak bezpečné, pokud je permanentně připojené. Bezpečnost zvyšuje snapshotting (copy-on-write), WORM/immutable sdílení a off-site replikace.
- Cloud (objektová úložiště kompatibilní se S3, archivace typu „glacier“): vysoká trvanlivost (11×9), geografická redundance. Používejte client-side šifrování a oddělené přihlašovací identity s minimálními právy.
- Odpojitelné média (USB klíče, šifrované externí disky, LTO pásky): výborné pro offline kopii. Pásky (LTO) jsou vhodné pro dlouhodobou archivaci a velké objemy.
Imutabilita a air-gap
Ransomware útočí na připojené zálohy. Proto:
- Air-gap: uchovávejte jednu kopii fyzicky odpojenou (v trezoru, v jiné lokalitě). Připojujte ji pouze během zálohovacího/obnovovacího okna.
- Immutabilní úložiště: režimy WORM (Write Once Read Many), časové zámky objektů a systémové snapshoty bez možnosti retroaktivní změny.
Retence, verzování a deduplikace
- Politika retence: kombinujte krátké husté verze (hodiny/dny) a dlouhé řídké body (týdny/měsíce/roky). Například 30 dní denních, 12 měsíců měsíčních, 7 let ročních pro klíčové dokumenty.
- Verzování: chrání před tichou korupcí a postupnou změnou souborů.
- Deduplikace a komprese: sníží náklady; bloková deduplikace pomáhá při VM/DB dumpy a fotokolekcích.
Praktické nástroje a přístupy
- „Repozitářové“ zálohy: nástroje typu borg/restic/duplicity s koncovým šifrováním, deduplikací a přenosem na S3, SFTP či lokální disky.
- Synchronizátory s šifrovaným remote: například rclone s šifrovaným „remote“, který skrývá obsah i názvy souborů.
- Snapshot-based zálohy: ZFS/Btrfs snapshoty s replikací (send/receive) a retenčními politikami.
- Obrazové zálohy (bare-metal): pro rychlý návrat do stavu před incidentem. Kombinujte s file-level zálohami pro flexibilitu.
Řízení přístupů a identity
- Oddělené účty a klíče: zálohovací účty bez přístupu do produkce a naopak. Pro cloud IAM s least privilege a krátkodobými tokeny.
- Vícefaktorové ověřování: pro přístup k trezorům a účtům úložišť. Hardwarové klíče/Passkeys jsou ideálem.
- Audit a alerty: notifikace při změně zásad, vypnutí verzování nebo masových operacích.
Správa klíčů a obnovy
- Hlavní šifrovací klíč: generujte offline, uložte do fyzického trezoru. Použijte výtisk/shamir (2-z-3) na rozdělení rizika.
- KDF parametry: zvolte dostatečně náročné (Argon2id, vyvážené podle výkonu cílového zařízení), dokumentujte.
- Recovery materiál: udržujte recovery kódy, hesla k archivům a postupy obnovy v odděleném, fyzicky zabezpečeném balíku.
Testy obnovy (DR): RPO a RTO
Bez testu je záloha hypotézou. Zaveďte:
- RPO (Recovery Point Objective): maximální tolerovaná ztráta dat (např. 24 h). Určuje frekvenci záloh.
- RTO (Recovery Time Objective): požadovaný čas obnovy (např. 4 h). Určuje typ média a automatizace.
- Drilly: čtvrtletní zkoušky obnovy náhodně vybraných souborů i celého systému (včetně bootu).
Specifika pro fotografie, dokumenty a databáze
- Fotografie a videa: velké objemy – využijte deduplikaci a „cold storage“. Zvažte kontrolní součty a periodické scrubování (detekce bit rot).
- Dokumenty a projekty: verzování a rychlá obnova z lokálního disku + šifrovaná replika do cloudu.
- Databáze: používejte konzistentní dumpy/snapshoty (hot backup), testujte point-in-time recovery a uchovávejte binární logy odděleně.
Právní a compliance aspekty
- Minimalizace dat: nezálohujte nepotřebné osobní údaje; usnadníte tak povinnosti dle GDPR.
- Šifrování jako technicko-organizační opatření: u externích poskytovatelů je koncové šifrování klíčové pro snížení rizika.
- Retenční lhůty: sladěte s právními požadavky (účetnictví, pracovněprávní spisy) a technicky je vynucujte.
Typické chyby a jak se jim vyhnout
- Trvalé připojení zálohy: ransomware ji zašifruje spolu s daty. Používejte air-gap a immutabilitu.
- Nešifrované cloudové koše: při kompromitaci účtu přijdete i o soukromí. Vždy šifrujte u sebe.
- Nedostatečná dokumentace: bez návodu a klíčů je záloha k ničemu. Mějte runbook obnovy a aktuální inventář.
- Chybějící testy: záloha se „tváří“, že existuje, dokud ji netestujete.
Osvedčený postup: referenční architektura pro jednotlivce
- Lokální průběžná záloha: denně inkrementálně na externí šifrovaný HDD (LUKS/FileVault/BitLocker) s verzováním.
- Off-site šifrovaná replika: týdně do S3-kompatibilního cloudu přes nástroj s koncovým šifrováním a deduplikací.
- Offline měsíční obraz systému: bootovatelný image na odpojitelné médium, uložený mimo domov.
- Politika retence: 30 denních, 12 měsíčních, 2 roční. Každý kvartál test obnovy.
- Správa klíčů: master key na papíře v trezoru (případně 2-z-3 rozdělení), kontrolní restore jednou za čtvrtletí.
Osvedčený postup: referenční architektura pro malý tým/SMB
- Primární NAS se snapshoty: hodinové/denní snapshoty, 14–30 dní retence.
- Replikace do druhé lokality: šifrovaný tunel + replikované snapshoty s WORM politikou.
- Cloudová archivní vrstva: měsíční plné + kontinuální inkrementy s klientským šifrováním, oddělené účty a IAM.
- DR plán: zdokumentovaná sekvence obnovy včetně kritických služeb (e-mail, ERP, git), cvičení 2× ročně.
- Monitoring a alerting: upozornění na neúspěšné zálohy, degradované disky, vypnuté verzování.
Kontrolní seznam: minimum pro soukromí a odolnost
- ✔ 3-2-1 splněno: 3 kopie, 2 média, 1 off-site.
- ✔ Vše, co opouští vaše zařízení, je koncově šifrované.
- ✔ Alespoň jedna kopie je offline/immutable.
- ✔ Retenční politiky a verzování nastavené a vynucené.
- ✔ Master key + recovery materiál uložené mimo síť, zdokumentované.
- ✔ Čtvrtletní test obnovy (náhodné soubory + plný scénář).
FAQ: časté otázky
- Stačí mi synchronizační služba? Ne. Sync ≠ záloha. Potřebujete verze, retenci a offline/immutable kopii.
- Je šifrování u poskytovatele cloudu dostatečné? Jen pokud spravujete klíče vy (client-side). Jinak poskytovatel (nebo útočník) může data číst.
- Co když ztratím klíč? Bez klíče jsou data nenávratně ztracena. Proto recovery zásobník (shamir 2-z-3, papír v trezoru) a disciplína.
- Jakou frekvenci zvolit? Odvoďte od RPO. Pokud tolerujete ztrátu jednoho dne práce, plánujte minimálně denní inkrementy.
Shrnutí
Dobře navržené zálohy kombinují 3-2-1 strategii, koncové šifrování, imutabilitu/off-site a pravidelné testy obnovy. Takto chráníte nejen integritu a dostupnost dat, ale také své soukromí – i v případě nejhoršího scénáře.
