Back-ups: heb je getest of herstel ook echt werkt?

Bijna elke ondernemer zegt hetzelfde als we ernaar vragen: “Ja, we hebben een back-up.” Maar de vervolgvraag stelt bijna niemand: wanneer heb je voor het laatst getest of herstel ook echt werkt?

Een back-up die niet werkt bij herstel is geen back-up. Het is een gevoel van veiligheid. En bij een ransomware-aanval of een grote storing kom je er dan pas achter — op het moment dat je het je het minst kunt veroorloven.

Wat er in de praktijk misgaat

We zien bij MKB-bedrijven regelmatig hetzelfde patroon. Er is een back-upoplossing aangeschaft en ingesteld. Daarna is er niemand meer naar omgekeken. De back-up draait op de achtergrond, de lampjes zijn groen, en iedereen gaat ervan uit dat het klopt.

Totdat er iets misgaat. Dan blijkt:

• De back-up is al maanden niet gecontroleerd en bevat verouderde data.
• De back-upbestanden staan op hetzelfde netwerk als de productieomgeving. Bij ransomware worden ze mee versleuteld.
• Het herstelproces kloopt in theorie, maar duurt in de praktijk twee dagen in plaats van twee uur.
• Niemand weet precies welke systemen en data er in de back-up zitten — en welke niet.

De 3-2-1 regel: het minimum

De 3-2-1 regel is de basisstandaard voor back-ups en geldt voor elke organisatie, groot of klein:

• 3 kopieën van je data
• 2 op verschillende opslagmedia
• 1 offsite of in de cloud, losgekoppeld van je netwerk

Die derde kopie — losgekoppeld van het netwerk — is cruciaal. Ransomware verspreidt zich over alles wat bereikbaar is op het netwerk. Een back-up die via het netwerk bereikbaar is, is een back-up die versleuteld kan worden. Een offline of air-gapped kopie is dat niet.

Testen is het enige bewijs dat het werkt

Een back-up zonder hersteltest is een aanname. De enige manier om te weten of uw back-up werkt, is door te testen. Niet één keer bij implementatie, maar periodiek — minimaal elk kwartaal.

Een hersteltest hoeft niet groot te zijn. Begin klein: zet één bestand terug vanuit de back-up. Meet hoe lang het duurt. Controleer of het bestand compleet en intact is. Documenteer het resultaat.

Uitgebreider is beter: zet een volledige server terug in een testomgeving. Controleer of applicaties opstarten. Verifieer of data compleet is. Meet de totale hersteltijd. Die meting geeft u iets concreets: als er morgen iets misgaat, weet u hoe lang het herstel duurt. Dat is informatie die u nu waarschijnlijk niet heeft.

RTO en RPO: twee begrippen die u moet kennen

RTO (Recovery Time Objective) is de maximale tijd die herstel mag duren voordat de schade voor uw bedrijf onaanvaardbaar wordt. Voor een webshop kan dat vier uur zijn. Voor een accountantskantoor misschien twee dagen.

RPO (Recovery Point Objective) is het maximale dataverlies dat u kunt accepteren. Als uw back-up elke nacht draait en er ’s middags iets misgaat, bent u een halve werkdag aan data kwijt. Is dat acceptabel voor uw bedrijf?

De meeste MKB-bedrijven hebben deze vragen nooit expliciet beantwoord. Daardoor weten ze ook niet of hun huidige back-upoplossing aansluit bij wat hun bedrijf daadwerkelijk nodig heeft.

Wat kunt u vandaag doen?

Drie concrete acties die u deze week kunt uitvoeren:

1. Controleer wanneer de laatste succesvolle back-up is gemaakt. Niet of de back-up draait — of de laatste back-up is gelukt.
2. Controleer of er een offsite of offline kopie bestaat, los van uw netwerk.
3. Zet één bestand terug vanuit de back-up en meet hoe lang het duurt.

Als u één van deze drie vragen niet kunt beantwoorden, is dat de plek om te beginnen.

Back-upbeheer en herstelplanning maken deel uit van de RiskGuard Pro en Premium bundels. We beoordelen uw huidige back-upstrategie, testen het herstelproces en geven concrete aanbevelingen om de gaten te dichten.

Weet u hoe lang het duurt om uw omgeving te herstellen? Neem contact op via riskguard.nl/contact.