Strategia backupu w chmurze: kompleksowy przewodnik

Działająca strategia backupu w chmurze stosuje zasadę 3-2-1: trzy kopie danych, na dwóch różnych typach nośników, z jedną kopią poza siedzibą — w praktyce oznacza to primary (storage produkcyjny), lokalny backup (NAS lub zewnętrzny dysk) i przynajmniej jedną warstwę chmurową (Backblaze B2, AWS S3 Glacier Deep Archive lub Wasabi). Dodaj niezmienność przez object lock, szyfruj po stronie klienta AES-256 przed uploadem, automatyzuj nocne backupy przez restic lub Borg i — ten krok większość zespołów pomija — testuj pełne przywracanie kwartalnie. Bez przetestowanego przywracania masz nadzieję, nie backup.

Dlaczego 3-2-1 nadal się sprawdza w 2026

Zasada 3-2-1 wywodzi się z fotografii filmowej, ale matematyka się nie zmieniła. Trzy kopie dają wystarczającą redundancję — każda pojedyncza awaria (crash dysku, ransomware, przypadkowe rm -rf) zostawia dwie kopie nienaruszone. Dwa typy nośników zabezpieczają przed systematyczną awarią — zła wersja firmware blokująca cały model SSD, czy awaria regionu dostawcy chmury. Kopia poza siedzibą chroni przed zdarzeniem na poziomie budynku: pożar, powódź, kradzież lub ciężarówka przeprowadzkowa uderzająca w serwerownię.

Istnieją zmodernizowane warianty. 3-2-1-1-0 dodaje niezmienną kopię i wymaga zera błędów w testach przywracania. 4-3-2 (stosowany przez wielu MSP) trzyma cztery kopie u dwóch dostawców chmury. Wybierz jeden, udokumentuj, trzymaj się go. Konkretna liczba ma mniejsze znaczenie niż dyscyplina.

Wybór warstw storage pod kątem kosztu vs. szybkości odtworzenia

Dostawcy chmury oferują klasy storage w dramatycznie różnych przedziałach cenowych:

| Warstwa | Koszt za GB/miesiąc | Opóźnienie pierwszego bajtu | Opłata egress | |---------|---------------------|-----------------------------|----------------| | S3 Standard | $0,023 | milisekundy | $0,09/GB | | S3 Glacier Instant | $0,004 | milisekundy | $0,03/GB | | S3 Glacier Flexible | $0,0036 | 3-5 minut | $0,02/GB | | S3 Glacier Deep Archive | $0,00099 | 12 godzin | $0,02/GB | | Backblaze B2 | $0,006 | milisekundy | $0,01/GB | | Wasabi | $0,0069 | milisekundy | darmowy (do 1x stored/miesiąc) | | Cloudflare R2 | $0,015 | milisekundy | darmowy |

Dla backupu Glacier Deep Archive daje około 1 USD za TB miesięcznie, ale opóźnienie przywracania oznacza, że nie użyjesz go do „ojej, skasowałem plik z wczoraj". Podejście dwuwarstwowe sprawdza się najlepiej: ostatnie backupy w gorącej warstwie (B2 lub R2), starsze niż 30 dni przenoszone lifecycle do Glacier Deep Archive.

Zasada 3-2-1 w konkretnych liczbach

Przykładowy stack dla zestawu roboczego 2 TB:

Produkcja: laptopy, serwery, dane SaaS (kopia primary)
Lokalnie: NAS z ZFS i snapshotami, 4 TB użytkowego miejsca, co tydzień lustrzany backup na zewnętrzny dysk USB trzymany w ogniotrwałym sejfie
Chmura gorąca: bucket Backblaze B2 z restic, nocne przyrostowe, retencja 90 dni za ~50 PLN miesięcznie dla 2 TB
Chmura zimna: S3 Glacier Deep Archive przez politykę lifecycle, coroczne snapshoty, retencja 7 lat za ~100 PLN rocznie dla 2 TB

Łączny koszt miesięczny: poniżej 80 PLN za pełne pokrycie 3-2-1 z historią siedmioletnią. Taniej niż jeden zamiennik laptopa.

Automatyzacja backupów narzędziami, które nie zawodzą

Restic to de facto wybór do szyfrowanych przyrostowych backupów do object storage. Deduplikuje, kompresuje, szyfruje AES-256-CTR z Poly1305 i obsługuje B2, S3, Azure, GCS i SFTP natywnie:

restic -r b2:hexa-backups:production init
restic -r b2:hexa-backups:production backup /var/data \
  --exclude-file=/etc/restic/exclude.txt \
  --tag nightly
restic -r b2:hexa-backups:production forget \
  --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune

Uruchamiaj nocą przez systemd timer lub cron, z hasłem repozytorium w pliku czytelnym tylko przez root. Borg Backup to świetna alternatywa, szczególnie gdy potrzebujesz obsługi lokalnych repozytoriów; Kopia jest nowsza i ma przyjazniejszy UI.

Dla stacji roboczych Windows: Duplicati lub wbudowane Windows File History plus cel chmurowy. Dla Maców: Time Machine do lokalnego NAS plus Arq Backup do Backblaze B2 to sprawdzony zestaw.

Niezmienność backupów przed ransomware

Ransomware szyfrujące dane produkcyjne spróbuje też zaszyfrować backupy. Object lock temu zapobiega. Zarówno AWS S3 jak i Backblaze B2 obsługują „compliance mode", gdzie nawet konto root nie może usunąć obiektów do wygaśnięcia okresu retencji:

aws s3api put-object-lock-configuration \
  --bucket backup-immutable \
  --object-lock-configuration '{
    "ObjectLockEnabled":"Enabled",
    "Rule":{"DefaultRetention":{"Mode":"COMPLIANCE","Days":30}}
  }'

Przez 30 dni po uploadzie nikt — łącznie z przejętym adminem — nie może usunąć backupu. Połącz to z wersjonowaniem, MFA-delete i rolą IAM, która może pisać, ale nie nadpisywać, i zamknąłeś dominującą ścieżkę ransomware.

Szyfrowanie po stronie klienta przed uploadem

Nawet przy szyfrowaniu po stronie dostawcy (SSE-KMS), dostawca chmury trzyma klucze, co oznacza, że wezwanie sądu może wymusić odszyfrowanie. Dla wrażliwych danych szyfruj zanim bajty opuszczą Twoją sieć. Restic robi to automatycznie; dla doraźnych plików age jest dobrym wyborem:

age -r age1xyz... -o archive.tar.gz.age archive.tar.gz
aws s3 cp archive.tar.gz.age s3://backups/

Przechowuj klucz prywatny age w 1Password lub sprzętowym kluczu bezpieczeństwa jak YubiKey. Zabezpiecz sam klucz na papierze, zaszyfrowany hasłem, w sejfie bankowym. Utracony klucz szyfrowania jest tak katastrofalny jak utrata danych.

Testowanie odtwarzania to właściwy backup

Co kwartał wybierz losowy plik lub serwer i przywróć go end-to-end do czystego środowiska. Zmierz:

RTO (recovery time objective): od decyzji do przywrócenia
RPO (recovery point objective): ile danych utracono (godziny, dni)
Integralność: czy przywrócone bajty pasują do oryginalnego hasha?

Realny przykład: zespół prowadzący nocne backupy do S3 Glacier Deep Archive odkrył podczas pierwszego testu przywracania, że przygotowanie uprawnień plus oczekiwanie na 12-godzinne odtworzenie dało RTO 18 godzin, podczas gdy firma potrzebowała 4. Przenieśli aktywną retencję do Glacier Flexible (3-5 minut odtworzenia) i zachowali Deep Archive tylko dla historii compliance. Ten test uchronił ich przed poznaniem tej lekcji podczas prawdziwego incydentu.

Dokumentuj runbook w trakcie: polecenia, dane uwierzytelniające, hasła deszyfrowania, kto może autoryzować przywracanie. Testuj na świeżym laptopie, żeby wiedzieć, że runbook działa bez Twojego lokalnego środowiska.

Wymagania regulacyjne dotyczące retencji

Wiele regulacji określa minimalny czas retencji:

RODO: brak stałej liczby; przechowuj tylko tak długo, jak niezbędne dla zadeklarowanych celów; naruszenie obowiązku minimalizacji danych podlega karom UODO do 20 mln EUR
HIPAA: 6 lat dla logów audytowych i polityk
SOX: 7 lat dla dokumentacji finansowej
PCI DSS 4.0: 1 rok dla ścieżek audytowych, 3 miesiące „natychmiastowo dostępne"
FINRA 17a-4: 3-6 lat, wymagany storage WORM

Taguj backupy metadanymi retencji i egzekwuj przez polityki lifecycle, żeby ani nie przechowywać danych dłużej niż potrzeba (problem RODO), ani krócej niż wymagane (problem SOX).

Monitoring i alerting

Backupy, które po cichu zawodzą, są gorsze niż brak backupów. Każde zadanie restic lub Borg powinno emitować metryki: czas trwania, przesłane bajty, zmienione pliki, sukces/niepowodzenie. Wysyłaj do Prometheus, Datadog lub zwykłego loga cron monitorowanego przez narzędzie w stylu Dead Man's Snitch — alertuje gdy oczekiwany heartbeat nie nadejdzie. Tryb awaryjny, który chcesz wyłapać, to „backupy są zepsute od 90 dni i nikt nie zauważył".

Alertuj na: nieudane zadanie, pominięte zadanie, uszkodzenie repozytorium (restic check), nieoczekiwana zmiana rozmiaru (utrata danych lub niespodziewany wzrost), nieudany test przywracania.

HexaTransfer nie jest narzędziem backupu — służy do jednorazowych szyfrowanych transferów — ale te same zasady szyfrowania end-to-end obowiązują gdy wysyłasz archiwum backupu do współpracownika. Wypróbuj na hexatransfer.com — bezpłatnie, bez konta, do 10 GB.

Od strategii do dyscypliny

Strategia backupu w chmurze żyje lub umiera przez dyscyplinę bardziej niż przez architekturę. Nocne uruchomienia, kwartalne testy przywracania, roczne przeglądy runbooka, niezmmienna retencja i szyfrowanie po stronie klienta nie są spektakularne, ale to różnica między „mieliśmy backup" a „mieliśmy odtworzenie". Zapisz co robisz, automatyzuj co możesz, testuj to czego nie możesz zautomatyzować i trzymaj miesięczny koszt wystarczająco niski, żeby nikt z finansów nigdy nie prosił o ograniczenie. Tanie plus nudne bije drogie plus sprytne za każdym razem.