Cadangan yang tahan ransomware — Aturan 3-2-1, penyimpanan yang tidak bisa ditimpa, dan memastikan data bisa dipulihkan

Dalam serangan ransomware, ada banyak kasus ketika organisasi sudah membuat cadangan tetapi tetap tidak bisa memulihkan data. Penyebab yang paling banyak adalah cadangan ikut terenkripsi bersama semua data lain. Artikel ini menjelaskan cara membuat cadangan yang tahan terhadap serangan, untuk PC Windows dan server file di usaha kecil dan menengah.

Ada tiga poin utama: memiliki satu salinan yang tidak bisa ditimpa oleh PC yang terinfeksi, tidak memakai «versi sebelumnya» sebagai pengganti cadangan, dan memastikan bahwa data benar-benar bisa dipulihkan. Aturan 3-2-1 menentukan berapa salinan yang disimpan dan di mana, tetapi aturan itu saja masih menyisakan celah sebagai pertahanan terhadap ransomware.

Perintah dalam artikel ini hanya untuk Windows, dan keluarannya diperiksa di Command Prompt dengan hak administrator pada Windows Server 2022. Layar pengaturan dan harga produk bisa berubah, jadi periksa dokumentasi terbaru dari setiap vendor saat menerapkannya.

Banyak perusahaan punya cadangan tetapi tidak bisa memulihkan

Badan Kepolisian Nasional Jepang menanyakan kondisi cadangan kepada perusahaan dan organisasi yang terkena ransomware. Dalam laporan semester pertama 2025, 51 dari 53 yang menjawab sudah membuat cadangan. Namun, dari 48 yang ditanya apakah bisa kembali ke kondisi tepat sebelum serangan dari cadangan, hanya 7 yang bisa dan 41 tidak bisa¹.

Dari 35 yang menyebutkan alasan tidak bisa memulihkan, 23 menjawab «cadangan juga terenkripsi», 8 «kesalahan operasional», dan 4 «lainnya»¹. Laporan yang sama menyebutkan bahwa kelompok ransomware menghapus log dan cadangan korban untuk menghilangkan jejak dan menghalangi pemulihan. Laporan itu kemudian meminta agar cadangan disimpan di lingkungan offline².

flowchart TB
        accTitle: Bagaimana cadangan ada tetapi tetap tidak bisa dipulihkan
        accDescr: Diagram yang menunjukkan bahwa meskipun cadangan dibuat, cadangan ikut terenkripsi jika dapat dijangkau PC yang terinfeksi, dan jika prosedur pemulihan belum diperiksa, kesalahan operasional menghalangi pemulihan.
        A["Cadangan dibuat"] --> B{"Dapat dijangkau PC yang terinfeksi?"}
        B -->|"Dapat dijangkau"| C["Ikut terenkripsi atau terhapus"]
        B -->|"Tidak dapat dijangkau"| D{"Prosedur pemulihan sudah diperiksa?"}
        D -->|"Belum diperiksa"| E["Tidak bisa dipulihkan karena kesalahan operasional"]
        D -->|"Sudah diperiksa"| F["Bisa dipulihkan"]

Gambar 1: Cadangan bisa dipakai jika PC yang terinfeksi tidak dapat menjangkaunya dan prosedur pemulihan sudah diperiksa.

Ada juga kasus ketika pemulihan berhasil. Edisi ke-4 «Pedoman Langkah Keamanan Informasi untuk UKM» dari IPA memuat kasus sebuah perusahaan konstruksi yang server file dan sistem lainnya terenkripsi setelah penyusupan melalui perangkat VPN. Antara lain karena perusahaan itu melakukan latihan pemulihan dua kali setahun, lima hari setelah serangan diketahui perusahaan itu menjalankan kembali sistem intinya dari cadangan. Meski begitu, dibutuhkan 41 hari untuk melanjutkan setiap sistem internal dan empat bulan untuk melanjutkan akses jarak jauh, dan perusahaan itu kehilangan sedikit lebih dari 20 % file internalnya³. Bisa memulihkan dari cadangan tidak berarti kerugiannya hilang.

Pada diagram, garis utuh menunjukkan relasi yang selalu berlaku dan garis putus-putus menunjukkan relasi bersyarat (syaratnya ada pada penjelasan masing-masing relasi di halaman rincian). Daftar lengkap relasi (total 13, beserta bukti dan tingkat kepastian) serta definisi konsep utama dikumpulkan di halaman rincian peta pengetahuan (dalam bahasa Jepang). Data: JSON-LD / Turtle

Penyerang menghapus cadangan yang dapat dijangkau

Panduan #StopRansomware yang diterbitkan CISA dan lembaga Amerika Serikat lainnya menyebutkan bahwa banyak varian ransomware berusaha menemukan lalu menghapus atau mengenkripsi cadangan yang dapat diakses, agar korban tidak bisa pulih tanpa membayar tebusan. Karena itu, panduan tersebut menganggap penting untuk menyimpan cadangan secara offline⁴.

Microsoft juga menulis bahwa penyerang berfokus melumpuhkan perangkat lunak cadangan dan fitur sistem operasi seperti salinan bayangan volume⁵. Cadangan yang dapat dijangkau PC yang terinfeksi antara lain sebagai berikut.

• Drive eksternal yang selalu terhubung ke PC
• Folder bersama di NAS atau server file yang dipetakan ke huruf drive
• Folder sinkronisasi cloud yang dapat ditulisi oleh akun sehari-hari
• Salinan bayangan (versi sebelumnya) di volume yang sama

Bahkan dengan perintah bawaan sistem operasi, salinan bayangan dan katalog cadangan bisa dihapus. MITRE ATT&CK mengelompokkan teknik ini sebagai «Inhibit System Recovery» (T1490). Di sana ada contoh seperti menghapus semua salinan bayangan dengan vssadmin.exe delete shadows /all /quiet dan menghapus katalog cadangan Windows dengan wbadmin.exe delete catalog -quiet⁶. Panduan CISA juga meminta organisasi memantau penggunaan mencurigakan atas vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy), dan alat serupa⁴.

flowchart TB
        accTitle: Cadangan yang dapat dan tidak dapat dijangkau PC yang terinfeksi
        accDescr: Diagram yang menunjukkan bahwa PC yang terinfeksi dapat menulis ke drive eksternal yang selalu terhubung, folder bersama yang dipetakan, folder sinkronisasi, dan salinan bayangan, tetapi tidak dapat menulis ke media yang dilepas atau penyimpanan yang tidak bisa ditimpa.
        P["PC yang terinfeksi"] --> R["Tempat yang dapat ditulisinya"]
        P -.-x N["Media yang dilepas, penyimpanan yang tidak bisa ditimpa"]
        R --> A["Drive eksternal yang selalu terhubung"]
        R --> B["Folder bersama yang dipetakan"]
        R --> C["Folder sinkronisasi cloud"]
        R --> D["Salinan bayangan"]

Gambar 2: Cadangan yang berada di tempat yang dapat ditulisi PC yang terinfeksi menjadi sasaran serangan.

Anda juga perlu waspada terhadap serangan yang berlangsung lama. Microsoft menulis bahwa ransomware kadang mengenkripsi sedikit demi sedikit sambil membiarkan kuncinya tetap ada di sistem. Selama itu pengguna tetap bisa memakai data seperti biasa, sehingga cadangan berisi data terenkripsi terus bertambah tanpa ada yang menyadarinya. Setelah semuanya terenkripsi dan kuncinya dihapus, cadangan terbaru pun tidak bisa dibaca⁵. Jika Anda hanya menyimpan generasi terbaru, dalam kasus ini tidak ada titik untuk kembali.

«Versi sebelumnya» tidak menggantikan cadangan

«Versi sebelumnya» di Windows dan salinan bayangan folder bersama memakai Volume Shadow Copy Service (VSS). Penyedia sistem VSS yang disertakan dengan Windows memakai metode salin-saat-tulis (copy-on-write), yang menyimpan isi sebuah blok ke area selisih sebelum blok itu ditimpa, sehingga dapat menghasilkan kembali volume seperti pada suatu titik waktu⁷.

Dalam dokumentasi VSS, Microsoft menjelaskan perbedaan salinan bayangan dan cadangan sebagai berikut. Ketika data dari salinan bayangan disalin ke media yang dapat dilepas seperti pita, isi media itu menjadi cadangan. Setelah disalin, salinan bayangan itu sendiri boleh dihapus⁷. Dokumentasi itu juga menyebutkan bahwa jika area selisih kehabisan ruang, salinan bayangan yang lebih lama dihapus lebih dulu⁷.

flowchart TB
        accTitle: Perbedaan salinan bayangan dan cadangan
        accDescr: Diagram yang menunjukkan bahwa salinan bayangan adalah selisih dari volume asli dan terhapus karena kekurangan ruang atau oleh penyerang, sedangkan cadangan yang disalin ke media lain tetap ada meskipun volume asli hilang.
        V["Volume asli"] --> S["Salinan bayangan (selisih)"]
        S --> L["Dihapus mulai dari yang terlama saat ruang kurang"]
        S --> K["Dihapus penyerang dengan vssadmin"]
        S -->|"Salin ke media lain"| B["Cadangan"]
        B --> R["Tetap ada meskipun volume asli hilang"]

Gambar 3: Salinan bayangan bergantung pada data volume asli; yang disalin ke media lain itulah cadangan.

Salinan bayangan berguna agar pengguna bisa memulihkan sendiri file yang tidak sengaja ditimpa. Namun, seperti dijelaskan di bagian sebelumnya, penyerang kadang menghapusnya. Mekanisme dan penggunaannya dijelaskan secara rinci dalam «Mekanisme dan praktik Volume Shadow Copy (VSS)».

Untuk melihat salinan bayangan mana yang masih ada, jalankan vssadmin list shadows di Command Prompt dengan hak administrator. Subperintah ini dapat dipakai di klien maupun server⁸.

vssadmin list shadows

Riwayat versi dan keranjang sampah di OneDrive dan SharePoint juga merupakan cara bagi pengguna untuk mendapatkan kembali file. Microsoft menyarankan agar pengguna diajari cara memulihkan seluruh OneDrive ke titik waktu sebelumnya. Microsoft juga menyebutkan agar pengguna baru diizinkan memulihkan setelah Anda yakin penyerang sudah dikeluarkan, dan agar disiapkan langkah untuk kasus ketika pengguna ikut memulihkan malware⁵.

Aturan 3-2-1 menentukan jumlah salinan dan tempatnya

Aturan 3-2-1 adalah pedoman praktis tentang cara menyimpan salinan cadangan. «Data Backup Options», yang dibuat untuk US-CERT pada 2012, menjelaskannya sebagai berikut⁹.

• 3: Simpan tiga salinan file penting, yaitu file asli ditambah dua cadangan.
• 2: Simpan di dua jenis media yang berbeda untuk berjaga-jaga terhadap jenis bencana yang berbeda.
• 1: Simpan satu salinan di luar rumah atau tempat usaha.

Sebagai sumbernya, dokumen ini menyebut «The DAM Book», buku tentang pengelolaan foto digital karya fotografer Peter Krogh⁹. Microsoft juga menyebut aturan ini dalam dokumentasinya tentang cadangan untuk perlindungan dari ransomware, dan menjelaskan «1» sebagai «salinan di luar lokasi atau salinan dingin»⁵.

Yang diminta aturan 3-2-1 adalah menyimpan satu salinan di luar lokasi. Aturan itu tidak mewajibkan salinan di luar lokasi tersebut offline atau tidak bisa ditimpa. Karena itu, jika salinan di luar lokasi berada di cloud yang selalu dapat ditulisi PC yang terinfeksi, salinan itu bisa ikut terenkripsi bersama salinan lokal. Panduan CISA dan dokumentasi Microsoft menyebut penyimpanan offline sebagai pertahanan terhadap ransomware. Microsoft juga menyebut penyimpanan yang tidak bisa ditimpa⁴⁵.

flowchart TB
        accTitle: Aturan 3-2-1 dan perlindungan dari ransomware
        accDescr: Diagram yang menunjukkan penambahan satu salinan offline atau yang tidak bisa ditimpa pada aturan 3-2-1 berupa tiga salinan, dua jenis media, dan satu di luar lokasi, lalu memastikan bahwa data bisa dipulihkan.
        A["Tiga salinan"] --> B["Dua jenis media"]
        B --> C["Satu di luar lokasi"]
        C --> D["Satu offline atau tidak bisa ditimpa"]
        D --> E["Pastikan bisa dipulihkan"]

Gambar 4: Pada aturan 3-2-1, tambahkan salinan yang tidak bisa ditimpa PC yang terinfeksi dan pemeriksaan bahwa data bisa dipulihkan.

Vendor produk cadangan Veeam mempopulerkan hal ini sebagai «aturan 3-2-1-1-0». Dalam dokumentasi Veeam, «1» tambahan berarti memiliki satu salinan yang offline, terisolasi (air-gapped), atau imutabel, dan «0» berarti nol kesalahan dalam verifikasi pemulihan berkala¹⁰. Ini adalah nama dari dokumentasi vendor, bukan standar resmi. Meski begitu, kedua butir tambahan itu sejalan dengan apa yang diminta CISA dan IPA.

Miliki satu salinan yang tidak bisa ditimpa PC yang terinfeksi

Secara garis besar ada dua cara membuat salinan yang tidak bisa ditimpa: melepas media dari PC lalu menyimpannya, atau memakai penyimpanan cloud yang datanya tidak bisa ditimpa maupun dihapus selama jangka waktu tertentu. Cara mana pun yang dipilih, pisahkan hak akses untuk mengelola cadangan dari pekerjaan sehari-hari.

Melepas media dari PC lalu menyimpannya

Sebagai contoh langkah dalam penilaian mandirinya, pedoman IPA menyebutkan agar perangkat dan media untuk cadangan dihubungkan ke PC hanya saat membuat cadangan. Pedoman itu juga menyebutkan menentukan cara membuat cadangan, menyimpannya di tempat yang aman, dan memeriksa secara berkala bahwa cadangan bisa dipulihkan¹¹.

Untuk tahap ketika perusahaan menanganinya lebih serius, pedoman itu menyebut «isolasi fisik». Caranya adalah menyimpan cadangan di tempat yang terpisah secara fisik dari sistem asli, dengan menyimpan penyimpanan eksternal atau pita cadangan sejauh mungkin. Sebagai contoh tempat penyimpanan, disebutkan kotak penyimpanan aman di bank, atau mitra bisnis atau perusahaan afiliasi yang tepercaya¹².

Cadangan yang disimpan terpisah dari sistem produksi seperti ini disebut cadangan offline. PC yang terinfeksi tidak bisa menulis ke media yang sudah dilepas. Sebagai gantinya, orang yang harus memasang, melepas, dan membawa media itu, sehingga bisa terjadi lupa membuat cadangan atau lupa membawa media ke luar. Tentukan siapa yang memasang media, siapa yang melepasnya dan membawanya ke tempat penyimpanan, dan kapan.

Memakai penyimpanan cloud yang tidak bisa ditimpa

Penyimpanan cloud memiliki fitur yang mencegah data ditimpa atau dihapus selama jangka waktu tertentu. Fitur ini menyimpan data dalam keadaan yang disebut WORM (Write Once, Read Many).

Pada penyimpanan imutabel Azure Blob Storage, setelah kebijakan retensi berbasis waktu ditetapkan, selama jangka waktu itu data dapat dibuat dan dibaca, tetapi tidak dapat diubah atau dihapus¹³. Kebijakan pertama kali dibuat dalam keadaan tidak terkunci, lalu dikunci setelah diuji. Kebijakan yang sudah dikunci tidak bisa dihapus, dan masa retensinya bisa diperpanjang tetapi tidak bisa diperpendek¹³. Microsoft menjelaskan bahwa pengguna dengan hak administrator akun pun tidak bisa mengubah atau menghapus data tersebut¹³.

Object Lock pada Amazon S3 memiliki dua mode. Pada mode kepatuhan (compliance mode), tidak seorang pun, termasuk pengguna root akun AWS, dapat menimpa atau menghapus versi objek selama masa retensi. Pada mode tata kelola (governance mode), hanya pengguna dengan izin khusus yang dapat mengubah atau menghapus pengaturan retensi¹⁴. Object Lock hanya dapat dipakai di bucket yang Versioning S3-nya diaktifkan¹⁴.

flowchart TB
        accTitle: Dua contoh penyimpanan yang tidak bisa ditimpa
        accDescr: Diagram yang menunjukkan bahwa pada penyimpanan imutabel Azure Blob Storage kebijakan yang sudah dikunci tidak bisa dihapus dan masa retensinya tidak bisa diperpendek, dan bahwa pada S3 Object Lock pengguna root pun tidak bisa menghapus dalam mode kepatuhan, sedangkan dalam mode tata kelola izin khusus memungkinkan perubahan.
        W["Penyimpanan yang tidak bisa ditimpa"] --> AZ["Penyimpanan imutabel Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Setelah dikunci, retensi tidak bisa diperpendek"]
        S3 --> C["Mode kepatuhan"]
        S3 --> G["Mode tata kelola"]
        C --> C1["Pengguna root pun tidak bisa menghapus"]
        G --> G1["Izin khusus memungkinkan perubahan"]

Gambar 5: Kedua penyimpanan menolak penimpaan dan penghapusan selama jangka waktu tertentu; seberapa ketat bergantung pada pengaturannya.

Di Azure, meskipun Anda menyadari ada kesalahan pengaturan setelah mengunci kebijakan, masa retensi tidak bisa diperpendek¹³. Panduan CISA menyebutkan bahwa sebagian penyedia cloud menawarkan penyimpanan yang tidak bisa ditimpa, dan memperingatkan bahwa kesalahan pengaturan bisa menimbulkan biaya besar. Panduan itu juga menyebutkan bahwa penyimpanan seperti ini mungkin tidak memenuhi persyaratan regulasi tertentu⁴. Jika Anda menetapkan masa retensi yang panjang lalu menguncinya, data tidak bisa dihapus selama masa itu dan biaya penyimpanan terus berjalan. Mulailah dengan keadaan tidak terkunci atau masa yang pendek, pastikan data bisa dipulihkan, lalu terapkan pengaturan produksi.

Memisahkan hak akses untuk mengelola cadangan

Meskipun memakai penyimpanan yang tidak bisa ditimpa, jika pengaturan dan kebijakan cadangan bisa diubah dengan akun administrator sehari-hari, penyerang bisa mengubahnya. Microsoft menyarankan agar ada langkah tambahan, seperti autentikasi multifaktor atau PIN keamanan, sebelum cadangan online bisa diubah atau dihapus. Microsoft juga menyebutkan pembatasan operasi pencadangan dan pemulihan hanya untuk pengguna dengan peran yang ditetapkan, serta pengurangan berbagi file yang dapat ditulisi dan dihapus oleh banyak pengguna⁵.

Meskipun orang yang sama mengelola PC dan cadangan, jangan memakai akun untuk mengelola tujuan cadangan untuk masuk ke PC sehari-hari, dan lindungi akun itu dengan autentikasi multifaktor.

Menyimpan beberapa generasi

Pedoman IPA menyebut «manajemen generasi», yaitu menyimpan cadangan dari beberapa titik waktu. Cara ini memungkinkan Anda kembali ke titik waktu tertentu ketika data rusak atau hilang¹². Seperti dijelaskan di bagian sebelumnya, jika butuh waktu lama untuk menyadari enkripsi, cadangan terbaru sudah berisi data yang terenkripsi. Tentukan berapa generasi yang disimpan berdasarkan berapa lama waktu yang mungkin dibutuhkan untuk menyadari enkripsi dan berdasarkan biaya penyimpanan.

flowchart TB
        accTitle: Tiga langkah untuk memiliki salinan yang tidak bisa ditimpa
        accDescr: Diagram yang menunjukkan penyimpanan media yang dilepas atau pemakaian penyimpanan yang tidak bisa ditimpa, pemisahan hak akses untuk mengelola cadangan dari akun sehari-hari, dan penyimpanan beberapa generasi.
        A["Salinan yang tidak bisa ditimpa"] --> B["Simpan media yang dilepas"]
        A --> C["Penyimpanan yang tidak bisa ditimpa"]
        B --> D["Pisahkan hak akses pengelolaan"]
        C --> D
        D --> E["Simpan beberapa generasi"]

Gambar 6: Setelah menentukan tempat penyimpanannya, pisahkan hak akses pengelolaan dan simpan beberapa generasi agar tetap bisa kembali meskipun terlambat menyadarinya.

Pastikan data bisa dipulihkan

Dalam laporan Badan Kepolisian Nasional, alasan kedua terbanyak untuk tidak bisa memulihkan adalah «kesalahan operasional»¹. Anda tidak akan tahu apakah sebuah cadangan benar-benar bisa dipulihkan sebelum mencobanya. Pekerjaan memulihkan data dari cadangan secara nyata untuk memastikannya disebut uji pemulihan.

Pedoman IPA membagi pengelolaan cadangan menjadi tiga bagian: membuat, menyimpan, dan memulihkan. Untuk pemulihan, pedoman itu meminta agar dibuat rencana pemulihan dan dipastikan bahwa pemulihan bisa dilakukan dengan benar³. Untuk sistem yang penting bagi bisnis, pedoman itu meminta agar cara membuat cadangan dan prosedurnya disesuaikan dengan target waktu pemulihan (RTO) dan target titik pemulihan (RPO), lalu efektivitasnya dipastikan melalui latihan. RTO adalah waktu yang dibutuhkan untuk kembali ke tingkat yang ditargetkan, dan RPO adalah titik waktu yang dipulihkan, yaitu waktu cadangan terbaru¹⁵. Panduan CISA juga meminta organisasi memeriksa secara berkala, dengan mempertimbangkan pemulihan bencana, bahwa cadangan dapat dipakai dan tidak rusak⁴.

flowchart TB
        accTitle: Cara menjalankan uji pemulihan
        accDescr: Diagram yang menunjukkan alur menentukan urutan pemulihan, memulihkan ke lingkungan terpisah, membandingkan waktu yang dibutuhkan dan titik yang dipulihkan dengan RTO dan RPO, lalu memperbaiki buku prosedur.
        A["Tentukan urutan pemulihan"] --> B["Pulihkan ke lingkungan terpisah"]
        B --> C["Bandingkan waktu yang dibutuhkan dengan RTO"]
        B --> D["Bandingkan titik yang dipulihkan dengan RPO"]
        C --> E["Perbaiki buku prosedur"]
        D --> E
        E -.->|"Pemeriksaan berikutnya"| A

Gambar 7: Coba pulihkan, periksa apakah waktu dan titiknya memenuhi target, lalu masukkan hasilnya ke buku prosedur.

Apa yang diperiksa

Berdasarkan dokumentasi IPA dan Microsoft, hal yang perlu diperiksa dapat dirangkum sebagai berikut.

Microsoft menyarankan agar lebih dulu ditentukan sistem yang sangat penting bagi bisnis, lalu sistem itu dicadangkan secara berkala. Daftar prioritas cadangan yang dihasilkan langsung menjadi daftar urutan pemulihan. Sebagai prioritas tinggi, Microsoft menyebut lebih dulu sistem autentikasi seperti Active Directory, yang dibutuhkan untuk masuk ke semua sistem lain⁵. Microsoft juga menyarankan latihan berkala untuk menjalankan kembali bisnis dari keadaan ketika semua sistem berhenti. Dalam latihan itu, anggap email dan chat juga tidak bisa dipakai⁵.

Microsoft menulis bahwa penyerang sengaja mengincar buku prosedur pemulihan dan diagram jaringan. Microsoft menyarankan agar dokumen itu dilindungi atau dicetak dan disimpan di dekat Anda⁵. Jika buku prosedur hanya ada di server file, Anda tidak bisa membacanya ketika server file itu terenkripsi.

Hal yang perlu diperhatikan saat memulihkan setelah serangan

Setelah serangan yang sebenarnya, singkirkan ransomware itu sendiri dari lingkungan sebelum memulihkan⁵. Microsoft menyebutkan pemilihan cadangan dari titik waktu yang diketahui belum terinfeksi, dan pemindaian cadangan untuk mencari malware sebelum memulihkan⁵. Laporan Badan Kepolisian Nasional menyebutkan bahwa kelompok ransomware kadang memasang perangkat lunak yang bisa dikendalikan dari jauh sebagai pintu belakang, agar bisa masuk lagi meskipun jalur masuknya sudah ditutup². Sebelum memulihkan, Anda perlu menyelidiki jalur penyusupan dan apa saja yang ditinggalkan penyerang.

flowchart TB
        accTitle: Urutan memulihkan dari cadangan setelah serangan
        accDescr: Diagram yang menunjukkan penyingkiran ransomware itu sendiri dan jalur penyusupan, pemilihan cadangan dari titik waktu yang belum terinfeksi, pemindaian malware, lalu pemulihan sistem dengan prioritas tertinggi lebih dulu.
        A["Singkirkan ransomware itu sendiri"] --> B["Selidiki jalur penyusupan dan sisa jebakan"]
        B --> C["Pilih titik waktu yang belum terinfeksi"]
        C --> D["Pindai cadangan"]
        D --> E["Pulihkan prioritas tertinggi lebih dulu"]

Gambar 8: Setelah serangan, singkirkan apa yang ditinggalkan penyerang dan pastikan titik waktu yang belum terinfeksi sebelum memulihkan.

Seberapa sering memeriksa

Pedoman IPA maupun panduan CISA meminta agar kemampuan pemulihan diperiksa «secara berkala», tetapi tidak memberi angka¹¹⁴. Perusahaan dalam kasus IPA yang disebutkan sebelumnya melakukan latihan pemulihan dua kali setahun³. Tentukan berapa lama bisnis boleh berhenti dan seberapa lama titik pemulihan boleh tertinggal, lalu periksa dengan frekuensi yang memungkinkan Anda memastikan bahwa target itu terpenuhi.

Yang perlu ditentukan lebih dulu

Isi sejauh ini dapat dirangkum sebagai hal yang perlu ditentukan lebih dulu oleh UKM.

flowchart TB
        accTitle: Urutan menentukan cadangan yang tahan ransomware
        accDescr: Diagram yang menunjukkan urutan menentukan cakupan, menentukan tempat salinan dan salinan yang tidak bisa ditimpa, menentukan hak akses dan generasi, menentukan RTO dan RPO, lalu memastikan data bisa dipulihkan.
        A["Tentukan cakupan"] --> B["Tentukan tempat salinan"]
        B --> C["Tentukan salinan yang tidak bisa ditimpa"]
        C --> D["Tentukan hak akses dan generasi"]
        D --> E["Tentukan RTO dan RPO"]
        E --> F["Pastikan bisa dipulihkan"]

Gambar 9: Tentukan semuanya dalam satu rangkaian, dari cakupan sampai pemeriksaan terakhir bahwa data bisa dipulihkan.

Dalam edisi ke-4 pedoman IPA, «Buatlah cadangan!» ditambahkan ke «lima prinsip dasar keamanan informasi» yang menjadi titik awal, sehingga menjadi enam prinsip¹⁶. Cara menjalankan pedoman secara keseluruhan dirangkum dalam «Where Should SMEs Start on Security?». Jika Anda berencana mengganti server, lihat juga «Preparing for Windows Server 2016 End of Support».

Artikel terkait

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Mekanisme dan praktik Volume Shadow Copy (VSS) — mengapa file yang sedang dipakai bisa dicadangkan
• Preparing for Windows Server 2016 End of Support

Referensi

Artikel terkait

Artikel terbaru dengan tag yang sama untuk mendalami topik-topik yang lebih dekat.

Topik terkait

Ini adalah halaman topik yang dekat dengan tema ini. Dari artikel, Anda dapat melanjutkan ke layanan terkait dan artikel lainnya.

Layanan yang terkait dengan topik ini

Artikel ini terhubung ke halaman layanan berikut. Silakan lihat dari pintu masuk yang dekat dengan situasi Anda.

Pertanyaan yang sering diajukan

Pertanyaan yang sering muncul dalam konsultasi tentang topik artikel ini.

Jika saya membuat cadangan, apakah semuanya bisa dipulihkan setelah terinfeksi ransomware?

Sering kali, sekadar membuat cadangan tidak cukup untuk bisa memulihkan. Dalam kerugian yang dihimpun Badan Kepolisian Nasional Jepang untuk semester pertama 2025, 41 dari 48 perusahaan dan organisasi yang membuat cadangan dan menjawab tidak bisa kembali ke kondisi tepat sebelum serangan. Alasan yang paling banyak adalah cadangan ikut terenkripsi. Anda perlu memiliki salinan yang tidak bisa ditimpa oleh PC yang terinfeksi, dan memastikan bahwa Anda bisa memulihkan dari salinan itu.

Jika Windows punya «versi sebelumnya», apakah saya tetap perlu cadangan?

Ya. Versi sebelumnya adalah salinan bayangan volume, yaitu selisih yang disimpan di volume asli. Microsoft menganggap data yang disalin dari salinan bayangan ke media seperti pita sebagai cadangan. Ransomware kadang menghapus salinan bayangan dengan alat seperti vssadmin, jadi gabungkan dengan cadangan di media lain.

Apakah mengikuti aturan 3-2-1 sudah cukup untuk melindungi dari ransomware?

Kadang tidak cukup. Aturan 3-2-1 meminta tiga salinan, dua jenis media, dan satu salinan di luar lokasi, tetapi tidak mewajibkan salinan di luar lokasi itu offline atau tidak bisa ditimpa. Salinan di cloud yang selalu dapat ditulisi oleh PC yang terinfeksi bisa terenkripsi dengan cara yang sama. Tambahkan satu salinan di media offline atau di penyimpanan yang tidak bisa ditimpa.

Seberapa sering saya harus memastikan bahwa cadangan bisa dipulihkan?

Pedoman IPA maupun panduan CISA sama-sama menyebut «secara berkala» dan tidak memberi angka. Pedoman IPA memuat kasus sebuah perusahaan yang melakukan latihan pemulihan dua kali setahun dan menjalankan kembali sistem intinya lima hari setelah serangan diketahui. Tentukan berapa lama bisnis boleh berhenti dan seberapa lama titik pemulihan boleh tertinggal, lalu periksa dengan frekuensi yang memungkinkan Anda memastikan bahwa target itu terpenuhi.

Profil penulis

Halaman perkenalan penulis artikel.

Go Komura

Perwakilan KomuraSoft LLC

Berfokus pada pengembangan perangkat lunak Windows, konsultasi teknis, dan investigasi bug, dengan keunggulan pada proyek yang masih memiliki aset yang sudah ada dan investigasi gangguan yang penyebabnya sulit terlihat.