2026-os mentési stratégia ransomware ellen: a 3-2-1 szabály és ami mögötte van

A Peter Krosh fotográfus által 2005-ben megfogalmazott 3-2-1 szabály az adatvédelem egyik legrégebbi, ma is élő alapelve. Az eredeti képlet egyszerű: három teljes másolat az adatból, két különböző típusú adathordozón, és legalább egy példány az eredeti telephelyen kívül. A szabály a fotós szakmában a memóriakártya-törlés ellen született, de a kiberbiztonságban az üzleti adatok, pénzügyi nyilvántartások és személyes adatok védelmének sarokkövévé vált.

A modern ransomware ugyanis már nem egyszerűen titkosítja az éles fájlokat — a 2023-2025 közötti ENISA-jelentések alapján a támadók első lépései közé tartozik a mentési szerverek, a felhőalapú mentési fiókok és a hálózati meghajtók felderítése és letörlése. Az ENISA Threat Landscape 2024 dokumentumában a zsarolóvírus a leggyakoribb incidenskategória, és a „double extortion” — az adatok nyilvánossá fenyegetése — a második leggyakoribb zsarolási forma. Ez a támadási minta az, ami a hagyományos mentési stratégiákat elégtelenné teszi.

A 3-2-1 szabály 2026-os verzióját a Nemzeti Kibervédelmi Intézet 3-2-1-1-0 modellként hivatkozza: az eredeti három elem mellé egy negyedik, immutábilis (nem módosítható) másolat, valamint egy „légrés” (air gap) hozzáadása szükséges, ahol a nulla a teszteken kimutatott visszaállítási hibák száma. Ez a kiterjesztés a Sophos State of Ransomware 2024-es felmérése szerint a fizetést elkerülő és sikeresen visszaállító szervezetek arányát a globális átlag 2%-ról 35% fölé emeli.

Számokkal mérve a kockázatot: az IBM Cost of a Data Breach Report 2024-es kiadása szerint egy magyarországi adatvédelmi incidens átlagos költsége mintegy 4,8 millió forint, ám a Sophos 2024-es magyarországi adatai ennél magasabb, átlagosan 7-12 millió forintra teszik a ransomware-helyreállítás közvetlen költségét. A mentési stratégia ezzel szemben tipikusan 1-3 millió forint éves beruházással megvalósítható, vagyis a megtérülés már az első elkerült incidensnél jelentkezik. A magyar KKV-döntéshozóknak érdemes ezt az arányt a 2026-os költségvetés-tervezésnél figyelembe venniük.

A 3-2-1 szabály 2026-os, NIS2-kompatibilis verziójának legfontosabb új eleme az immutable backup. Az immutability azt jelenti, hogy a mentés a megadott megőrzési időn belül semmilyen privilégiummal rendelkező felhasználó által nem módosítható vagy törölhető — sem a mentési admin, sem egy kompromittált domain admin. Az immutábilis tárolás technológiái közé tartoznak a WORM (Write Once Read Many) tárolók, az object lockkal ellátott S3-kompatibilis felhőmegoldások, és a hardveres immutable NAS-ok.

Az ENISA 2024-es „Ransomware: Public Report” dokumentuma kiemeli, hogy a sikeresen visszaállító szervezetek 78%-a alkalmaz immutable mentést, míg a fizetést kényszerűségből teljesítők között ez az arány mindössze 19%. Ez az arány önmagában is jelzi, hogy az immutability nem pusztán technikai részlet, hanem üzleti túlélési kérdés. A magyar KKV-knak az AWS S3 Object Lock, az Azure Immutable Blob Storage vagy a helyileg telepített Veeam Hardened Repository jelenti az elérhető belépő szintet.

A „légrés” (air gap) koncepció lényege, hogy a mentés fizikailag is leválasztásra kerül a hálózatról: egy külső USB-meghajtó, egy szalagos mentés, vagy egy ritkán szinkronizált felhőtárhely. Az NKI 2024-es incidensjelentéseiben több olyan esetet dokumentál, ahol a támadó a hálózati meghajtón lévő mentést perceken belül megtalálta és titkosította, miközben az air gap-pel rendelkező másolat sértetlen maradt. A teljes leválasztás nem mindig kivitelezhető, de a „logikai air gap” (változó hitelesítési adatok, hálózati szegmentáció, dedikált VLAN) már jelentősen csökkenti a kockázatot.

A tesztelés kérdése a második kritikus elem. A 3-2-1-1-0 modellben a „0” a visszaállítási teszteken kimutatott hibák száma. Ez nem idealizmus: az ISO/IEC 27001 A.12.1.3 szabálya, valamint a NIS2 21. cikk (d) bekezdése is rendszeres, dokumentált tesztelést ír elő. A hazai ajánlás félévente teljes visszaállítási tesztet, negyedévente részleges tesztet javasol, és a teszt eredményét az üzletmenet-folytonossági terv mellékleteként kell tárolni.

Az ISO/IEC 27001:2022 szabvány A.5.30-as („ICT readiness for business continuity”) és A.8.13-as („Information backup”) vezérlőpontjai konkrétan megfogalmazzák a mentési követelményeket: rendszeres mentés, tárolás azonosítható és ellenőrzött helyen, visszaállíthatóság tesztelése, az adatveszteség és helyreállítási idő célértékeinek (RPO/RTO) meghatározása. Ezek a vezérlőpontok a NIS2 kockázatalapú megközelítésével összhangban állnak, és a magyar tanúsítvánnyal rendelkező szervezetek számára a NIS2-megfelelés egyik legkézenfekvőbb bizonyítékai.

A 2024. évi kiberbiztonsági törvény 14. §-a szerint a hatály alá tartozó szervezet önállóan is igazolhatja a megfelelést, de az ISO/IEC 27001 tanúsítvány, a SOC 2 Type II jelentés vagy a magyar KIBER kibervédelmi tanúsítási keretrendszer megkönnyíti a hatósági vizsgálatot. A Nemzeti Kibervédelmi Intézet 2025-ös útmutatója kiemeli, hogy a „megfelelő biztonsági intézkedések” tartalmát a szervezet kockázatelemzése határozza meg, nem pedig egy kötött terméklista.

A magyar tanúsítási piacon az ISO/IEC 27001 bevezetésének költsége egy KKV számára 2-8 millió forint, és a tanúsítás fenntartása évente 1-3 millió forint. Ez a beruházás a NIS2-hatósági eljárások során gyorsan megtérülhet, hiszen a hatóság a tanúsítványt jellemzően elegendő bizonyítéknak fogadja el — szemben azzal a szervezettel, amelyik utólag, egy incidens után kénytelen igazolni a mentési eljárásait.

A nemzetközi trendeket figyelve az ISO/IEC 27001:2022 Amendment 1 (2024-es kiadás) már explicit módon foglalkozik a „digitális fizikai kiberfenyegetésekkel”, és az immutábilis mentést a „control 8.13” alatt kiemelt példaként említi. Ez a szabványmódosítás 2026-ban várhatóan a magyar tanúsító szervezetek (pl. SGS, TÜV, Bureau Veritas) auditgyakorlatában is megjelenik.

A NIS2 hatálya alá tartozó magyar szervezeteknek a 2024. évi kiberbiztonsági törvény 16. §-a szerint évente kockázatelemzést kell végezniük, és a feltárt hiányosságokra 90 napon belül intézkedési tervet kell benyújtaniuk a SZTFH-nak. A mentési stratégia hiányossága tipikus kockázatelemzési elem, és a hatóság az intézkedési tervben konkrét határidőt szab a mentési rendszer kiépítésére.

Az SZTFH 2025-ös eljárásrendje szerint a hatóság háromszintű ellenőrzést végezhet: adminisztratív audit (dokumentáció bekérése), helyszíni vizsgálat (infrastruktúra áttekintése), és incidensvizsgálat (egy valós esemény után). A mentési stratégia dokumentációját az adminisztratív audit során kérik be először, és a hiányzó vagy nem megfelelő dokumentáció önmagában szankciót vonhat maga után. A magyar bírságolási gyakorlat a NIS2 34. cikke alapján legfeljebb 10 millió EUR, illetve a globális árbevétel 2%-a közül a magasabb — ez KKV-knál tipikusan 1-100 millió forintos nagyságrend.

A magyar KKV-döntéshozóknak a 2026-os cselekvési terv így alakulhat: 2025 Q4 – kockázatelemzés és NIS2-besorolás önellenőrzése; 2026 Q1 – mentési stratégia felülvizsgálata és RFP kiírása szállítóknak; 2026 Q2-Q3 – implementáció és tesztelés; 2026 Q4 – első audit és tanúsítás előkészítése. Ez az ütemezés a gyakorlatban 6-12 hónap alatt viszi végig a szervezetet a NIS2-kompatibilis állapoton.

A magyar NKI 2025-ben elindította a „KiberPajzs” programot, amely a hazai KKV-szektor számára ingyenes önfelmérő eszközt és mentorprogramot kínál. A program keretében a mentési stratégia értékelésére is van lehetőség, és a résztvevők hozzáférnek az ENISA és az ISO szabványok magyar nyelvű összefoglalóihoz. A döntéshozóknak érdemes ezt a forrást is bevonniuk a tervezésbe, hiszen a hatósági eljárások során a programban való részvétel jó szándékú együttműködésnek minősül.