Zálohování dat proti ransomwaru: obnovíte se?

Zálohování dat dnes řeší skoro každá firma. Méně často si ale někdo položí otázku, na které při útoku záleží nejvíc: když vám ransomware zašifruje systémy, dokážete se ze zálohy opravdu obnovit, a za jak dlouho?

Ransomware je škodlivý software, který zašifruje firemní data a za jejich odemčení chce výkupné. Proti němu nepomůže jen to, že zálohujete. Pomůže záloha, ke které se útočník nedostane, a obnova, kterou máte vyzkoušenou.

Téma se týká i českých firem. Podle společnosti ESET se v 1. čtvrtletí 2026 objevilo na veřejných stránkách ransomwarových skupin 12 českých obětí, dvakrát víc než ve stejném období roku 2025. Skutečný počet napadených firem může být vyšší, protože se počítají jen zveřejněné oběti.

Neříkáme to, abychom strašili. Většinu toho, co rozhoduje o rychlé obnově, si můžete připravit dopředu. V článku najdete, jak má vypadat záloha, která útok přežije, co znamenají zkratky RPO a RTO, checklist pro majitele firmy a postup pro první hodinu útoku.

Proč běžná záloha proti ransomwaru nestačí

Útočníci míří i na zálohy

Útočník, který se dostane do firemní sítě, ví, že zálohy jsou vaše cesta ven z problému. Proto je často hledá jako první.

V průzkumu společnosti Sophos z roku 2024 mezi 2 974 IT a bezpečnostními odborníky uvedlo 94 % firem zasažených ransomwarem, že se útočníci pokusili napadnout jejich zálohy. Úspěšných bylo 57 % těchto pokusů. Firmy s napadenými zálohami měly mediánové celkové náklady na obnovu osmkrát vyšší než firmy, jejichž zálohy zůstaly netknuté. Záloha, kterou útočník smaže nebo zašifruje spolu s ostatními daty, vám v krizi nepomůže.

Synchronizace a připojený disk nejsou záloha

Sdílená složka v cloudu, která se synchronizuje s počítači, je pohodlná. Zašifrované soubory se na ni ale propíšou stejně rychle jako běžné změny. Podobně dopadne externí disk nebo síťové úložiště (NAS), které je trvale připojené a přístupné pod stejným účtem jako běžná práce.

Záloha je kopie dat, kterou jde vrátit do stavu k určitému okamžiku a kterou běžný provoz ani útočník s běžnými právy nepřepíše. Pokud vaše „záloha“ tohle nesplňuje, je to spíš jen druhá kopie dat.

Pravidlo 3-2-1-1: jak má vypadat záloha, která útok přežije

NÚKIB doporučuje zálohovat podle pravidla 3-2-1: mít nejméně tři kopie dat, na dvou různých typech médií a alespoň jednu kopii mimo pracoviště. Je to dobrý základ pro případ požáru, krádeže i selhání disku.

Pro ochranu proti ransomwaru se k pravidlu přidává ještě jedna jednička: aspoň jedna kopie má být offline nebo neměnná. ESET doporučuje mít zálohy fyzicky i logicky oddělené od produkční sítě. Tak vzniká pravidlo 3-2-1-1.

Setkáte se i s variantou 3-2-1-1-0. Nula znamená nula chyb při ověření obnovy, tedy že jste zálohu skutečně zkusili obnovit a prošla.

Nastavení zálohování serveru a firemních dat podle pravidla 3-2-1-1 je součástí správy serverů a infrastruktury.

Oddělená a neměnná záloha znamená, že se k ní útočník nedostane

Co znamená offline (air-gapped) záloha

Offline záloha (anglicky air-gapped) je kopie, která není trvale připojená k síti. Typicky jde o disk nebo pásku, které se po zálohování odpojí a uloží jinde. CISA doporučuje držet zálohy offline a šifrované. Nevýhodou je ruční práce a s ní riziko, že se na odpojení zapomene.

Co znamená neměnná (immutable) záloha

Neměnná záloha je kopie, kterou po nastavenou dobu nejde smazat ani přepsat, a to ani s běžnými administrátorskými právy. Zámek hlídá samo úložiště, například cloudové objektové úložiště s funkcí uzamčení. Na rozdíl od offline zálohy funguje automaticky a nespoléhá na to, že někdo nezapomene.

Oddělené přístupy: jiný účet pro zálohy než pro běžný provoz

Zálohy mají mít vlastní účet a jiné heslo než běžný provoz, ideálně s dvoufázovým ověřením. Když útočník získá heslo správce serveru, nemá tím automaticky přístup i k zálohám. Jak přístupy ve firmě nastavit a hlídat, popisujeme v článku o správě přístupů ve firmě.

RPO a RTO: kolik dat si můžete dovolit ztratit a jak dlouho můžete stát

RPO (Recovery Point Objective) říká, kolik práce zpětně si můžete dovolit ztratit. Když zálohujete jednou denně v noci a útok přijde odpoledne, přijdete až o den práce: objednávky, faktury, změny v CRM.

RTO (Recovery Time Objective) říká, jak rychle musíte znovu fungovat. Je to čas od výpadku do chvíle, kdy systém zase slouží lidem a zákazníkům.

Představme si modelový e-shop, který má objednávky napojené na sklad a účetnictví. Ztráta jednoho dne objednávek znamená ručně dohledávat platby a omlouvat se zákazníkům, majitel proto může chtít RPO v řádu hodin. Pokud e-shop nesmí stát déle než jeden pracovní den, musí se do tohoto času vejít celá obnova. Jde o modelový příklad, nikoli o popis klientského projektu.

Obě čísla určuje byznys, ne technik. Technik podle nich navrhne, jak často zálohovat a jakou obnovu zvolit. RPO a RTO jsou také výchozím zadáním pro disaster recovery, tedy plán obnovy po vážném výpadku. Kdo a jak rychle při výpadku reaguje, patří i do smlouvy o podpoře. Víc najdete v článku o SLA podpory aplikace.

Test obnovy je jediný důkaz, že záloha funguje

Záloha, ze které jste nikdy nic neobnovili, je jen předpoklad. Teprve test ukáže, jestli jsou data kompletní, jestli máte hesla a šifrovací klíče a jak dlouho obnova skutečně trvá.

NÚKIB doporučuje mít krizový plán, jak bude obnova ze záloh probíhat. ESET i CISA radí obnovitelnost záloh pravidelně testovat.

Testujte celý systém, ne jen jeden soubor. U webové aplikace nebo e-shopu to znamená obnovit databázi, soubory i konfiguraci na oddělený server a ověřit, že aplikace běží a data sedí. Naměřený čas pak porovnejte s vaším RTO.

Doporučujeme zkoušet obnovu aspoň jednou za čtvrtletí a po každé větší změně systému, například po migraci nebo upgradu. Jde o naše doporučení, ne o normu. Důležité je mít jasně určeno, kdo test dělá, kdy a kam zapíše výsledek.

U firemních aplikací a databází se obnova neobejde bez někoho, kdo aplikaci zná. Správce serveru obnoví stroj, ale ověřit, že aplikace po obnově funguje správně, je typicky úkol podpory aplikace.

Checklist pro majitele firmy: 10 otázek pro vašeho IT správce nebo dodavatele

Na každou otázku by měl správce nebo dodavatel umět odpovědět „ano“ a ukázat, jak to ví.

1. Víme, které systémy a data se zálohují, včetně databází, e-mailu a CRM?
2. Máme aspoň tři kopie dat, z toho jednu mimo firmu?
3. Je aspoň jedna kopie offline nebo neměnná?
4. Mají zálohy vlastní účet a heslo s dvoufázovým ověřením, oddělené od běžného provozu?
5. Máme pro hlavní systémy stanovené RPO a RTO a odpovídá jim frekvence záloh?
6. Zkoušeli jsme za poslední čtvrtletí obnovit celý systém a víme, jak dlouho to trvalo?
7. Dostane někdo upozornění, když záloha selže?
8. Jsou zálohy šifrované a víme, kde jsou uložené klíče?
9. Máme písemný postup obnovy, podle kterého ji zvládne i někdo jiný než jeden konkrétní člověk?
10. Víme, koho při útoku volat, a máme jeho telefon i mimo firemní systémy?

Pokud na více otázek neznáte odpověď nebo nevíte, kdo zálohy po předchozím dodavateli spravuje, pomůže článek o převzetí aplikace po jiném dodavateli.

Co dělat v první hodině ransomwarového útoku

Když ransomware útok přijde, v první hodině rozhoduje klid a správné pořadí kroků. Postup vychází hlavně z příručky americké agentury CISA a nenahrazuje váš vlastní krizový plán.

1. Odpojte napadené počítače a servery od sítě. Vytáhněte kabel nebo vypněte Wi-Fi. Pokud to jde, nevypínejte je: vypnutím se ztratí stopy v paměti. Vypnout je má smysl jen tehdy, když je odpojit nejde.
2. Nic nemažte a neopravujte na vlastní pěst. Nespouštějte čisticí nástroje ani reinstalaci. Přišli byste o stopy a mohli byste poškodit data.
3. Zavolejte IT správci nebo dodavateli. Komunikujte telefonem nebo jiným kanálem než napadenými systémy, protože firemní e-mail může útočník číst.
4. Ověřte, že jsou zálohy netknuté, a odpojte je. Pokud je některá záloha připojená k síti, odpojte ji dřív, než ji ransomware zasáhne.
5. Útok nahlaste. Obraťte se na Policii ČR. Poskytovatelé regulovaných služeb podle zákona o kybernetické bezpečnosti (č. 264/2025 Sb.) mají navíc povinnost incident hlásit v rozsahu, který zákon stanoví, podle svého režimu NÚKIB nebo Národnímu CERT. Ostatní firmy mohou incident NÚKIB nahlásit dobrovolně. Jestli se povinnost týká i vás, ověřte si předem, ne až během útoku.
6. Výkupné neplaťte bez porady. NÚKIB placení výkupného obecně nedoporučuje, americké CISA a FBI od něj důrazně odrazují. Zaplacení nezaručuje, že data dostanete zpět ani že je útočník nezveřejní. Rozhodnutí je nakonec na firmě, proto ho nedělejte bez odborníků a policie.
7. Obnovujte z ověřené zálohy až do vyčištěného prostředí. CISA upozorňuje, že před obnovou ze záloh je potřeba najít a odstranit i škodlivý software, který útočník v síti nechal. Jinak může útok proběhnout znovu.

Nemáte vlastního správce a potřebujete pomoc hned? Využijte urgentní programátorskou pomoc. Jsme k dispozici každý všední den od 8:00 do 20:00.

Jak vám se zálohami a obnovou pomůžeme

1. Web IT s kancelářemi v Praze a Brně vyvíjí webové aplikace a systémy na míru a stará se o jejich provoz. V rámci správy serverů a infrastruktury nastavíme pravidelné zálohování dat, zabezpečení přístupů a monitoring výpadků.

Neřešíme jen servery, rozumíme i aplikacím a databázím, které na nich běží. Zjistíme, jak dnes zálohujete a kde jsou rizika, a navrhneme řešení podle RPO a RTO, které dávají smysl pro váš provoz.

Nevíte, kdy naposledy někdo zkoušel obnovu ze zálohy? Napište nám. Odpovíme do 1 pracovního dne a domluvíme se, jak vaše zálohy a obnovu společně projdeme.

Nejčastější otázky

Ochrání zálohy firmu před ransomwarem?

Před zašifrováním dat zálohy firmu neochrání, ale umožní se po útoku obnovit bez placení výkupného. Podmínkou je, že aspoň jedna kopie je oddělená nebo neměnná, takže ji útočník nemůže smazat ani zašifrovat. Obnova navíc musí být vyzkoušená.

Co je pravidlo zálohování 3-2-1-1?

Tři kopie dat, na dvou různých typech úložiště, jedna mimo firmu a jedna offline nebo neměnná. Varianta 3-2-1-1-0 přidává nulu za ověřenou obnovu bez chyb.

Co znamená RPO a RTO?

RPO (Recovery Point Objective) říká, kolik dat zpětně si firma může dovolit ztratit, například práci za poslední den. RTO (Recovery Time Objective) říká, jak rychle musí systém znovu běžet. Podle těchto dvou čísel se nastavuje, jak často zálohovat a jak rychlá má být obnova.

Jak často testovat obnovu ze zálohy?

Obnovu je potřeba zkoušet pravidelně a po každé větší změně systému, ne jen jednou při zavedení. Doporučujeme aspoň jednou za čtvrtletí. Jde o naše doporučení, ne o normu. Testujte celý systém včetně databáze, ne jen jeden soubor.

Co udělat jako první při ransomwarovém útoku?

Odpojit napadené počítače a servery od sítě, ale pokud to jde, nevypínat je, aby zůstaly stopy pro vyšetřování. Hned volat IT správci nebo dodavateli a komunikovat mimo napadené systémy. Výkupné neplatit bez porady s odborníky.

Chcete mít jistotu, že se po útoku obnovíte? Podívejte se, co zahrnuje správa serverů a infrastruktury, nebo nám rovnou napište. Projdeme vaše zálohy, RPO a RTO a navrhneme, jak obnovu pravidelně ověřovat.