Czym jest odporność operacyjna serwisu WordPress?
To zdolność serwisu do wrócenia do pracy po awarii, włamaniu albo nieudanej aktualizacji, w czasie, który firma wcześniej uznała za do przyjęcia. W praktyce sprowadza się do kilku rzeczy, które da się sprawdzić: czy kopia istnieje i da się z niej odtworzyć stronę, kto ma dostęp do panelu i serwera, jak trafiają na produkcję aktualizacje i kto co robi, gdy coś pójdzie źle.
Nazywam się Mariusz Szatkowski i od 2006 roku zajmuję się WordPressem. Pracuję sam, z Gdyni, bez zespołu i podwykonawców. Przy odporności operacyjnej odpowiadam za część WordPressową: kopie i ich testy, aktualizacje, kod, dostępy i opis tego wszystkiego, który twój dział zakupów może dołączyć do ankiety bezpieczeństwa dostawcy.
Czy NIS2 dotyczy serwisów WordPress i WooCommerce?
Dyrektywa NIS2 (UE) 2022/2555 obejmuje podmioty kluczowe i ważne. Co do zasady są to firmy co najmniej średniej wielkości z sektorów wymienionych w załącznikach. W Polsce przepisy wdraża ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 r.
Art. 21 ust. 2 dyrektywy wymienia wśród obowiązkowych środków ciągłość działania, w tym zarządzanie kopiami zapasowymi i odtwarzanie po awarii (lit. c), a także bezpieczeństwo łańcucha dostaw (lit. d). Ta druga litera sprawia, że pytania trafiają też do małych dostawców. Podmiot objęty ustawą musi wiedzieć, jak jego dostawcy dbają o bezpieczeństwo, więc wysyła im ankiety.
Sam nie podlegam NIS2: prowadzę jednoosobową działalność, poniżej progu wielkości. Czy twoja firma jest podmiotem kluczowym, ważnym, czy żadnym, ocenia twój prawnik. Ja przygotowuję techniczną część odpowiedzi.
Kopie zapasowe według reguły 3-2-1
Reguła 3-2-1 oznacza trzy kopie danych na dwóch różnych nośnikach, z czego jedna leży poza głównym serwerem. W serwisie WordPress wygląda to zwykle tak:
- kopia u hostingodawcy, wygodna przy drobnych pomyłkach, ale ginie razem z serwerem, gdy ktoś przejmie konto hostingowe,
- kopia w osobnym magazynie w kraju UE, z innymi danymi logowania niż serwer,
- kopia offline albo u drugiego dostawcy, której nie zaszyfruje ransomware działający na serwerze.
Kopia musi obejmować bazę danych. Zdarza się, że wtyczka od miesięcy zapisuje tylko wp-content, a bez bazy nie ma zamówień, treści ani ustawień. Drugi częsty błąd to kopia, która przestała się wykonywać po zmianie hasła albo zapełnieniu dysku, i nikt tego nie zauważył.
W ramach opieki trzymam kopie co najmniej 30 dni w krajach UE. Sklep z zamówieniami przez cały dzień zwykle potrzebuje kopii bazy częściej niż raz na dobę; częstotliwość ustalam na podstawie tego, ile zamówień możesz stracić.
RTO, RPO i test odtworzenia
RTO to czas, przez jaki serwis może nie działać po awarii. RPO to okres, z którego możesz stracić dane, liczony wstecz od awarii. Oba parametry wyznacza twoja firma, bo tylko ona wie, ile kosztuje godzina bez sklepu albo utracone zamówienia z popołudnia.
Moja rola to sprawdzenie, czy te liczby mają pokrycie. Odtwarzam serwis z kopii na stagingu i zapisuję:
- datę testu i kopię, z której odtwarzałem,
- ile trwało odtworzenie, od pobrania kopii do działającej strony,
- jak stara była najnowsza kopia bazy, czyli faktyczne RPO,
- co nie zadziałało i co poprawiłem.
O taki zapis pytają ankiety: z datą i wynikiem. Staging dostaje kopię bez prawdziwych danych osobowych, jeśli serwis je przetwarza.
Incydent: kto zgłasza i w jakim terminie
Podmiot objęty nowelizacją ustawy o KSC zgłasza wczesne ostrzeżenie o incydencie poważnym do właściwego CSIRT niezwłocznie, nie później niż w ciągu 24 godzin od jego wykrycia, a samo zgłoszenie incydentu w ciągu 72 godzin. Naruszenie ochrony danych osobowych administrator zgłasza do Prezesa UODO w ciągu 72 godzin od stwierdzenia, jeśli niesie ryzyko dla osób, których dane dotyczą (art. 33 RODO).
Oba zgłoszenia składa twoja firma. Jako podmiot przetwarzający zawiadamiam cię bez zbędnej zwłoki, gdy dowiem się o naruszeniu (art. 33 ust. 2 RODO), i przekazuję to, co widzę po stronie WordPressa: od kiedy, które konta, które pliki, które dane mogły wyciec. Potem przywracam serwis z kopii sprzed incydentu, zamykam lukę i opisuję, co się stało.
Nie prowadzę dyżuru całodobowego i nie gwarantuję czasu reakcji. Jeśli twoja procedura wymaga osoby dostępnej w nocy, ta rola musi zostać w twojej firmie albo u dostawcy, który ją zapewnia.
O co pytają ankiety bezpieczeństwa dostawców
Ankiety różnią się formą, ale w części dotyczącej strony internetowej wracają te same pytania. Na każde z nich da się odpowiedzieć konkretnie:
| Pytanie z ankiety | Co mogę dostarczyć |
|---|---|
| Jak często są robione kopie i gdzie leżą? | Harmonogram, kraj przechowywania, okres retencji |
| Kiedy ostatnio testowano odtworzenie? | Zapis z testu na stagingu z datą i czasem odtworzenia |
| Jak zarządzacie aktualizacjami i podatnościami? | Opis procesu: staging, spis wtyczek, źródła alertów |
| Kto ma dostęp do serwisu? | Lista kont administratorów i dat ostatniego przeglądu |
| Czy dostawca ma umowę powierzenia? | Umowa z art. 28 RODO, podpisana przed dostępem |
Jeśli twoim klientem jest bank, ubezpieczyciel albo firma inwestycyjna, pytania mogą wynikać z rozporządzenia DORA (UE) 2022/2554, stosowanego od 17 stycznia 2025 r. Art. 30 wymienia postanowienia, które musi zawierać umowa podmiotu finansowego z dostawcą usług ICT. Umowę z bankiem negocjuje twoja firma. Ja dostarczam opis tego, jak działa część WordPressowa.
Aktualizacje, wtyczki i dostępy
Wtyczki są najczęstszą drogą włamania do WordPressa. Utrzymuję spis wtyczek i motywów z wersjami (WP-CLI zapisuje go w kilka sekund), śledzę zgłoszenia podatności i usuwam wtyczki, których autor przestał je rozwijać. Każdą aktualizację sprawdzam najpierw na stagingu, a dopiero potem wgrywam na produkcję.
Dostępy to drugi temat, o który pytają działy zakupów. Typowy przypadek: ktoś zbudował stronę kilka lat temu, współpraca się skończyła, a jego konto administratora nadal działa, bez drugiego składnika logowania. Przeglądam konta w WordPressie, na hostingu i u rejestratora domeny, włączam logowanie dwuetapowe dla administratorów i zostawiam ci listę, kto ma jaki dostęp.
Co, jeśli programista jest niedostępny
Pracuję sam, więc to pytanie dotyczy mnie wprost i warto je zadać przed podpisaniem umowy. Moja odpowiedź jest taka: dostęp do serwisu, hostingu i domeny należy do ciebie, kod leży w repozytorium, a w nim opis środowiska i instrukcje typowych operacji, takich jak odtworzenie z kopii albo wycofanie aktualizacji. Inny programista WordPress może na tej podstawie przejąć serwis bez mojego udziału.
Testy penetracyjne
Test penetracyjny powinna wykonać firma, która się w tym specjalizuje, na zlecenie twojej firmy. Ja pomagam ustalić zakres po stronie WordPressa, przygotowuję staging do testu i naprawiam znalezione problemy w kodzie i konfiguracji. Zapis poprawek możesz dołączyć do dokumentacji dla klienta.
Zakres i granice tej usługi
Robię: kopie i testy odtworzenia, aktualizacje na stagingu, przegląd dostępów, poprawki bezpieczeństwa w kodzie i konfiguracji WordPressa oraz opis tego wszystkiego dla działu zakupów. Przed dostępem do danych osobowych podpisuję umowę powierzenia z art. 28 RODO. Kontrakt zawieram jako B2B, według prawa polskiego.
Nie robię: dyżurów 24/7, monitorowania zagrożeń w trybie SOC, zgłoszeń do CSIRT ani do UODO w twoim imieniu, oceny prawnej, czy twoja firma podlega ustawie. Nie daję SLA ani gwarantowanego czasu naprawy. Hostingu nie sprzedaję: pracuję na tym, który wybrałeś.
Powiązane usługi
- Audyt bezpieczeństwa WordPress: przegląd wtyczek, kont i konfiguracji przed pierwszą ankietą.
- Utrzymanie stron opartych o WordPress: stała opieka z kopiami, monitoringiem i aktualizacjami.
- Kontakt: opisz serwis i ankietę, którą masz wypełnić. Odpiszę mailem z pytaniami i propozycją zakresu.
