Zálohování s ohledem na soukromí: šifrovaná úložiště a uplatnění pravidla 3-2-1

Proč je soukromá záloha klíčová

Záloha bez soukromí je jen další kopií vašich problémů. Únik, kompromitace cloudu nebo ztráta zařízení vás zasáhne o to více, čím více nezabezpečených kopií existuje. Pokud však zkombinujeme robustní strategii 3-2-1 s koncovým šifrováním, získáme odolnost proti poruchám, ransomwaru i zvědavým očím – a přitom budeme schopni data rychle obnovit.

Princip 3-2-1: co přesně znamená

3 kopie dat: originál + dvě nezávislé zálohy (minimálně). Zvyšuje se pravděpodobnost, že alespoň jedna kopie přežije.
2 různá média: např. interní disk + externí HDD/NAS nebo cloudové objektové úložiště. Různé rizikové profily (mechanické selhání vs. cloudový účet).
1 kopie mimo pracoviště (off-site): chrání před požárem, krádeží či místní havárií. Ideálně geograficky jinde a odpojená od běžného provozu.

Moderní varianty doplňují 1 kopii offline/immutable (nelze ji měnit) a pravidelné testy obnovy.

Model hrozeb pro zálohy

Ransomware a hromadné mazání: útočník šifruje/maže primární data i připojené zálohy.
Úniky v cloudu: nesprávně nastavené zásady, slabé účty, státní požadavek na poskytnutí dat.
Fyzická rizika: oheň, voda, krádež, selhání médií, bit rot.
Organizační chyby: ztracené klíče, zapomenutá hesla, špatná dokumentace a žádné testy obnovy.

Šifrování: základní principy

Koncové šifrování (client-side): šifrujete ještě před odesláním na úložiště. Poskytovatel nevidí obsah (zero-knowledge).
Ověřené primitivy: AES-256-GCM nebo XChaCha20-Poly1305 pro ochranu soukromí i integrity; pro odvození klíčů Argon2id s přiměřenými parametry.
Správa klíčů: dlouhá přístupová fráze (diceware), verze klíčů (rotace), bezpečné offline uložení hlavního klíče.
Šifrování metadat: ideální je šifrovat i názvy souborů, adresáře a velikosti (únik metadat zachovávající formát minimalizujte zabalením do kontejneru).

Výběr úložišť: lokální, síťová a cloudová

Lokální disky (HDD/SSD): rychlé a levné, vhodné pro denní přírůstkové zálohování. SSD pro často používané sady, HDD pro kapacitu; počítejte s pravidelnou výměnou disků a monitorováním SMART.
NAS (Network Attached Storage): pohodlné verzování a sdílení, ale ne tak bezpečné, pokud je trvale připojené. Bezpečnost zvyšují snapshoty (copy-on-write), sdílení WORM/immutable a replikace mimo lokalitu.
Cloud (objektová úložiště kompatibilní se S3, archivace typu „glacier“): vysoká trvanlivost (11×9), geografická redundance. Používejte šifrování na straně klienta a oddělené přihlašovací identity s minimálními oprávněními.
Odpojitelná média (USB flash disky, šifrované externí disky, pásky LTO): výborná volba pro offline kopii. Pásky (LTO) jsou vhodné pro dlouhodobou archivaci a velké objemy.

Imutabilita a air gap

Ransomware útočí na připojené zálohy. Proto:

Air gap: uchovávejte jednu kopii fyzicky odpojenou (v trezoru, na jiném místě). Připojujte ji pouze během zálohovacího/obnovovacího okna.
Immutable úložiště: režimy WORM (Write Once Read Many), časové zámky objektů a systémové snapshoty bez možnosti zpětných změn.

Retence, verzování a deduplikace

Politika retence: kombinujte časté krátkodobé verze (hodiny/dny) s řidšími dlouhodobými body (týdny/měsíce/roky). Např. 30 dní denních, 12 měsíců měsíčních a 7 let ročních záloh pro klíčové dokumenty.
Verzování: chrání před tichým poškozením a postupnými změnami souborů.
Deduplikace a komprese: snižují náklady; bloková deduplikace pomáhá u virtuálních strojů/databázových výpisů a sbírek fotografií.

Praktické nástroje a přístupy

Zálohy do „repozitářů“: nástroje typu borg/restic/duplicity s koncovým šifrováním, deduplikací a přenosem do S3, přes SFTP či na lokální disky.
Synchronizační nástroje se šifrovaným vzdáleným úložištěm: např. rclone se šifrovaným „remote“, který skrývá obsah i názvy souborů.
Zálohy založené na snapshotech: snapshoty ZFS/Btrfs s replikací (send/receive) a retenčními politikami.
Obrazové zálohy (bare-metal): pro rychlý návrat do stavu před incidentem. Kombinujte je se zálohami na úrovni souborů pro větší flexibilitu.

Řízení přístupu a identity

Oddělené účty a klíče: zálohovací účty bez přístupu do produkčního prostředí a naopak. Pro cloud používejte IAM s principem nejnižších oprávnění a krátkodobými tokeny.
Vícefaktorové ověřování: pro přístup k trezorům a účtům úložišť. Ideální jsou hardwarové klíče/Passkeys.
Audit a upozornění: oznámení při změně zásad, vypnutí verzování nebo hromadných operacích.

Správa klíčů a obnovy

Hlavní šifrovací klíč: generujte offline a uložte do fyzického trezoru. Použijte vytištěnou kopii/Shamirovo sdílení (2 ze 3) pro rozložení rizika.
Parametry KDF: zvolte dostatečně náročné (Argon2id, vyvážené podle výkonu cílového zařízení) a zdokumentujte je.
Materiály pro obnovu: uchovávejte obnovovací kódy, hesla k archivům a postupy obnovy v odděleném, fyzicky zabezpečeném balíčku.

Testy obnovy po havárii (DR): RPO a RTO

Bez testu je záloha pouhou hypotézou. Zaveďte:

RPO (Recovery Point Objective): maximální tolerovatelnou ztrátu dat (např. 24 h). Určuje frekvenci zálohování.
RTO (Recovery Time Objective): požadovanou dobu obnovy (např. 4 h). Určuje typ média a míru automatizace.
Cvičení: čtvrtletní zkoušky obnovy náhodně vybraných souborů i celého systému (včetně zavedení systému).

Specifika fotografií, dokumentů a databází

Fotografie a videa: velké objemy – využijte deduplikaci a „studené úložiště“. Zvažte kontrolní součty a pravidelnou kontrolu dat (detekci bit rot).
Dokumenty a projekty: verzování a rychlá obnova z lokálního disku + šifrovaná replika do cloudu.
Databáze: používejte konzistentní výpisy/snapshoty (hot backup), testujte obnovu k určitému okamžiku a uchovávejte binární logy odděleně.

Právní aspekty a soulad s předpisy

Minimalizace dat: nezálohujte nepotřebné osobní údaje; usnadníte si tak plnění povinností podle GDPR.
Šifrování jako technické a organizační opatření: u externích poskytovatelů je koncové šifrování klíčové pro snížení rizika.
Retenční lhůty: slaďte je s právními požadavky (účetnictví, pracovněprávní spisy) a technicky jejich dodržování vynucujte.

Typické chyby a jak se jim vyhnout

Trvale připojená záloha: ransomware ji zašifruje spolu s daty. Používejte air gap a neměnnost.
Nešifrované cloudové zálohy: při kompromitaci účtu přijdete i o soukromí. Vždy šifrujte u sebe.
Nedostatečná dokumentace: bez návodu a klíčů je záloha k ničemu. Mějte runbook pro obnovu a aktuální inventář.
Chybějící testy: záloha se „tváří“, že existuje, dokud ji neotestujete.

Osvědčený postup: referenční architektura pro jednotlivce

Průběžná lokální záloha: každý den přírůstkově na externí šifrovaný HDD (LUKS/FileVault/BitLocker) s verzováním.
Šifrovaná replika mimo lokalitu: jednou týdně do cloudu kompatibilního se S3 prostřednictvím nástroje s koncovým šifrováním a deduplikací.
Měsíční offline obraz systému: zaváděcí obraz na odpojitelném médiu, uložený mimo domov.
Politika retence: 30 denních, 12 měsíčních, 2 roční. Každé čtvrtletí test obnovy.
Správa klíčů: hlavní klíč na papíře v trezoru (případně rozdělení 2 ze 3), kontrolní obnovení jednou za čtvrtletí.

Osvědčený postup: referenční architektura pro malý tým/SMB

Primární NAS se snapshoty: hodinové/denní snapshoty, retence 14–30 dní.
Replikace do druhé lokality: šifrovaný tunel + replikované snapshoty s politikou WORM.
Cloudová archivní vrstva: měsíční plné zálohy + průběžné přírůstkové zálohy s šifrováním na straně klienta, oddělené účty a IAM.
Plán obnovy po havárii: zdokumentovaná posloupnost obnovy včetně kritických služeb (e-mail, ERP, git), cvičení 2× ročně.
Monitorování a upozorňování: upozornění na neúspěšné zálohy, degradované disky a vypnuté verzování.

Kontrolní seznam: minimum pro soukromí a odolnost

✔ Splněna zásada 3-2-1: 3 kopie, 2 média, 1 mimo lokalitu.
✔ Vše, co opouští vaše zařízení, je koncově šifrováno.
✔ Alespoň jedna kopie je offline/immutable.
✔ Retenční politiky a verzování jsou nastavené a jejich dodržování je vynucováno.
✔ Hlavní klíč a materiály pro obnovu jsou uloženy mimo síť a zdokumentovány.
✔ Čtvrtletní test obnovy (náhodné soubory + úplný scénář).

FAQ: časté otázky

Stačí mi synchronizační služba? Ne. Synchronizace ≠ záloha. Potřebujete verzování, retenci a offline/immutable kopii.
Stačí šifrování u poskytovatele cloudu? Pouze pokud klíče spravujete vy (client-side). Jinak může poskytovatel (nebo útočník) data číst.
Co když ztratím klíč? Bez klíče jsou data trvale ztracena. Proto potřebujete záložní sadu pro obnovu (Shamir 2 ze 3, papír v trezoru) a důslednost.
Jakou frekvenci zvolit? Odvoďte ji od RPO. Pokud tolerujete ztrátu jednoho pracovního dne, plánujte minimálně denní přírůstkové zálohy.

Shrnutí

Dobře navržené zálohování spojuje strategii 3-2-1, koncové šifrování, neměnnost/zálohu mimo lokalitu a pravidelné testy obnovy. Takto chráníte nejen integritu a dostupnost dat, ale také své soukromí – i v nejhorším scénáři.