Mentés és üzletmenet-folytonosság — a végső védelem zsarolóvírus ellen
A mentés a rendelkezésre állás végső biztosítéka: ha minden más védelem elbukik és a zsarolóvírus titkosítja a rendszered, egy ép, visszaállítható mentésből újraindulhatsz fizetés nélkül. De a mentés csak akkor véd, ha jól van felépítve és tesztelt. Ez a modul végigveszi a 3-2-1 szabályt, az offline/immutable mentést, az RTO/RPO célokat és az üzletmenet-folytonossági tervet — érthetően, kis cégeknek is.
Mi a biztonsági mentés?
A biztonsági mentés (backup) nem más, mint egy tartalék másolat a fontos adataidról és rendszereidről, amit külön őrzöl — hogy ha az eredeti megsérül, eltűnik vagy egy zsarolóvírus titkosítja, vissza tudd állítani belőle a működést. Ez a végső védelem: a többi intézkedés azt próbálja megakadályozni, hogy baj legyen, a mentés viszont az, ami akkor ment meg, ha a baj mégis bekövetkezett.
A digitális világban a „tartalék kulcs" a mentésed, a „bezárt lakás" pedig az, amikor egy zsarolóvírus titkosítja a céges fájljaidat, és pénzt követel a feloldásukért. Ha van ép, leválasztott mentésed, nem kell fizetned: visszaállítasz a mentésből, és újraindulsz. Ha nincs — vagy a mentés ugyanazon a hálózaton volt, amit a vírus elért —, akkor vagy fizetsz (kockázatosan, garancia nélkül), vagy elveszíted az adatokat. Ezért mondjuk: a mentés a rendelkezésre állás (az „A" a CIA triászban) utolsó, megkerülhetetlen biztosítéka.
Miért NIS2-szempont?
A NIS2 kiemelten kezeli az üzletmenet-folytonosságot: nem elég megelőzni az incidenst, fel kell készülni arra is, hogy a működés egy súlyos esemény után is helyreálljon. A mentéskezelés, a helyreállítás és a krízis-menedzsment ennek a felkészültségnek a gerince — és pont ezeket kéri számon a szabályozás.
Mi ez?
Rendszeres, ellenőrzött másolatkészítés a kritikus adatokról és rendszerekről, plusz a hozzá tartozó képesség: hogy ezekből egy meghatározott időn belül (RTO) és elfogadható adatvesztéssel (RPO) tényleg vissza is tudj állni. Kiegészítve az üzletmenet-folytonossági (BCP) és katasztrófa-helyreállítási (DRP) tervvel.
Miért NIS2-kötelező elem?
A NIS2-t átültető szabályozás kifejezetten elvárja az üzletmenet-folytonosság, a mentéskezelés és a krízis-menedzsment kezelését a kockázatkezelési intézkedések között. A pontos elvárás a szervezet érintettségétől függ — itt szándékosan nem idézünk konkrét paragrafust; az értelmezés mindig egyedi.
Hogyan segít?
Egy tesztelt mentés a leghatékonyabb válasz a zsarolóvírusra: nem kell fizetned, és gyorsan újraindulsz. Egyúttal bizonyíthatóvá teszi a felkészültséget — egy auditnál vagy egy valódi incidensnél a kérdés nem az, hogy „van-e mentés", hanem hogy „visszaálltál-e már belőle".
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
Hogyan építs megbízható mentési rendet? — öt lépés
Nem kell hozzá vállalati szintű drága rendszer; a legtöbb cég a meglévő eszközeivel is komoly előrelépést tehet. A lényeg a fegyelem és a tesztelés — nem a technológia ára.
Döntsd el, mit kell menteni
Nem mindent kell egyformán menteni. Vedd számba a kritikus adatokat és rendszereket (könyvelés, ügyféladatok, szerződések, webshop, e-mail), és rangsorold: mi nélkül áll meg a működés? Ez köti össze a mentést a kockázatkezeléssel — oda teszed a legjobb védelmet, ahol a kiesés a legjobban fáj.
Alkalmazd a 3-2-1 szabályt
Tarts legalább 3 másolatot, 2 különböző hordozón (pl. helyi meghajtó és felhő), és ezek közül 1-et a telephelyen kívül. Így egyetlen meghibásodás, tűz, lopás vagy vírusfertőzés sem viszi el az összes példányt egyszerre.
Legyen offline vagy nem felülírható mentés
A zsarolóvírus azt is megpróbálja titkosítani, amit elér a hálózaton — beleértve a csatlakoztatott mentéseket. Ezért tarts legalább egy offline (leválasztott) vagy immutable (nem felülírható, módosíthatatlan) mentést, amelyhez a vírus hozzá sem fér. Ez az a példány, ami valóban megment a fizetéstől.
Tűzz ki RTO és RPO célt
Az RTO azt mondja meg, mennyi idő alatt kell visszaállnod (meddig bírja el a cég a kiesést), az RPO azt, mennyi adatot engedhetsz meg elveszíteni (milyen gyakran kell menteni). Ezeket a vezetés tűzi ki üzleti alapon — és ezek döntik el, milyen mentési megoldásba érdemes fektetni.
Teszteld a visszaállítást, és írj BCP/DRP-t
A mentés, amit nem teszteltél, nem mentés. Rendszeresen állíts vissza egy mintát egy tesztkörnyezetbe, ellenőrizd, hogy ép és teljes, és naplózd az eredményt — ezt rögzíti a Szabályzat-csomag mentés-teszt naplója (NYV-03). Végül foglald írásba az üzletmenet-folytonossági (BCP) és katasztrófa-helyreállítási (DRP) tervet.
Ha mélyebbre ásnál
Az alábbiak a mentésekért felelős kollégának vagy a rendszergazdának szólnak — a laikus olvasó nyugodtan átugorhatja, az elv megértéséhez nem szükséges.
RTO és RPO mélyebben — hogyan vezetik a mentési stratégiát
Immutable mentés, 3-2-1-1-0 és a zsarolóvírus-rezisztencia
BCP vs. DRP, BIA és a krízis-menedzsment
Gyors önellenőrzés
Három kérdés, amit ma fel tudsz tenni magadnak — nincs eszköz, nincs regisztráció. Ha bármelyikre „nem" vagy „nem tudom" a válasz, ott van a következő lépésed.
1 · Offline példány
Van-e legalább egy olyan mentésetek, amit egy zsarolóvírus nem érne el (leválasztott vagy nem felülírható)? Ha minden mentés a hálózaton, állandóan csatlakoztatva fut, akkor egyetlen fertőzés az eredetivel együtt a mentést is elviheti.
2 · Tesztelt visszaállítás
Mikor állítottatok vissza utoljára élesben egy mentésből? Ha a válasz az, hogy „még soha" vagy „nem emlékszem", akkor valójában nem tudjátok, hogy a mentés működik-e — csak remélitek.
3 · RTO/RPO és terv
Tudjátok-e, hogy egy súlyos leállás után mennyi idő alatt kell visszaállnotok és mennyi adatot veszíthettek? Ha nincs erre kimondott cél és írott BCP/DRP, akkor a baj pillanatában fogtok improvizálni — a legrosszabbkor.
Gyakori tévhit
„Van mentésünk, tehát biztonságban vagyunk."
Az, hogy fut egy mentési feladat, még nem jelenti, hogy bajban tényleg vissza tudsz állni belőle. A mentések csendben megsérülhetnek, hiányosak lehetnek, vagy épp a zsarolóvírus is eléri őket, mert ugyanazon a hálózaton, állandóan csatlakoztatva voltak. A mentés, amit nem teszteltél, nem mentés — csak egy feltételezés. A valódi biztonság az, ha van offline/immutable példányod, kitűzött RTO/RPO célod, és időnként bizonyítottan visszaállítasz belőle. Nem a mentés léte, hanem a visszaállítás képessége véd meg.
GYIK a mentésről és folytonosságról
Megvan az elv - mennyire állna helyre a céged?
A mentési rend és a visszaállítás tesztelése szervezeti munka, amit magadnak kell elvégezned — de a kitettséged egy részét (sérülékeny, kívülről elérhető felületek, gyenge konfiguráció, hiányzó fejlécek) egy ingyenes szivárgás-audit pár perc alatt megmutatja, konkrétan a saját domained alapján. Jó kiindulópont, mielőtt a folytonossági tervet összerakod.