In 3-2-1 naar een geslaagde back-upstrategie

Het noodlot slaat toe. Ondanks je beste voorzorgen raakte ransomware binnen en dat op je pc’s en servers is versleuteld. Gelukkig heb je goede back-ups waaraan de criminelen niet konden raken, zijn ze up-to-date en kan je ze vlot herstellen. Toch?

Een goede back-up is de beste verzekering tegen IT-problemen, menselijke fouten en cyberaanvallen. Om het belang van een goede back-upstrategie in de verf te zetten, is 31 maart uitgeroepen tot World Backup Day. Maar eigenlijk zou elke dag ook back-up-dag moeten zijn.

Iedereen weet dat back-ups nodig zijn, maar in te veel gevallen is de back-upstrategie set and forget. De back-ups zijn ingesteld, dus alles zal wel ok zijn. Tenzij ransomware de back-ups mee kan versleutelen natuurlijk. Of misschien brandt het in je kantoor en zijn server én back-up kapot. Of staat de back-up wel ergens, maar hoe herstel je de omgeving en hoelang duurt dat?

Gouden 3-2-1(-1-0) regel

Dé vuistregel bij het maken van back-ups is de 3-2-1 regel. De term komt uit de fotografiewereld en is vandaag breed omarmd in de IT-sector. Enkel back-ups die die regel volgen, zijn de naam waardig.

• 3: zorg voor drie versies van je back-up: één primaire versie van jouw data (de servers waarop je werkt) en twee kopieën;
• 2: bewaar die drie versies op minstens twee verschillende dragers (dus geen twee kopieën op dezelfde fysieke server);
• 1: Plaats minstens één kopie op een externe locatie (zoals de cloud).

De 3-2-1-regel beschermt je tegen zowat alle problemen. Gaat een toestel stuk? Dan staat je data nog op twee andere plekken. Treft een ramp je kantoor? Dan kan je beroep doen op de externe locatie.

Hoewel de regel de tand des tijds goed heeft doorstaan, moeten back-ups zich aanpassen aan de nieuwste technologische ontwikkelen. Daarom voegen sommige experten twee extra cijfers toe aan de 3-2-1-regels. De vernieuwde regel heet dan 3-2-1-1-0, wat evengoed de combinatie van een cijferslot kan zijn.

• 1: zorg dat zeker één back-up onverandelijk of air-gapped is (afgesloten van het internet);
• 0: test je back-ups om te controleren of ze nul fouten bevatten.

Soorten back-ups

Er zijn verschillende manieren om back-ups te maken. De meest voor de hand liggende werkwijze is een full back-up. Zoals de term doet vermoeden, wordt hierbij een kopie gemaakt van alle bestanden en folders binnen het afgebakende bereik, inclusief de al eerder gemaakte back-ups. De eerste back-up die je van een bestand of dataset maakt, zou altijd een volledige back-up moeten zijn.

Zoals alles in het leven, hebben volledige back-ups voor- en nadelen. Dit type back-up biedt de hoogste graad van beveiliging omdat alle gegevens worden meegenomen zonder enige uitzonderingen. Bij herstel dient er bijgevolg ook maar één back-up te worden teruggezet. Daar staat wel tegenover dat hoe meer gegevens je dient te repliceren, hoe langer de back-up duurt en hoe meer opslagruimte die in beslag neemt.

Daarom wordt het na het maken van een eerste volledige back-up vaak overgeschakeld op incrementele back-ups. Bij dit type back-up wordt er enkel gekeken naar wijzigingen in de gegevens die sinds de laatste back-up aangebracht zijn. Dit maakt snellere en lichtere back-ups mogelijk. Wijzigingen in gegevens dienen wel zorgvuldig te worden bijgehouden. Een incrementele back-up hoeft maar één keer mis te gaan en alle volgende back-ups zullen onvolledig of foutief zijn, met dramatische gevolgen voor gegevensverlies en -herstel.

Tussen volledige en incrementele back-ups zitten differentiële back-ups. Een differentiële back-ups houdt eveneens alleen rekening met aangepaste gegevens, maar neemt telkens de laatste volledige back-up als referentiepunt. Het proces is daardoor iets minder foutgevoelig dan een incrementele back-up, maar neemt toch minder opslagruimte in dan een volledige.

Ransomware

Back-ups zijn niet alleen het beste wapen tegen rampen of defecten maar ook tegen cyberdreigingen. Onderschat het risico daarop niet: iedere organisatie kan ermee te maken krijgen. De back-up is in het geval van een succesvolle aanval de grootste angst van de ransomware-crimineel. Waarom zou je betalen om je versleutelde data terug te krijgen, als je de data via een externe back-up terug kan plaatsen?

Om dat te voorkomen, schakelen ransomwarespecialisten vaak stiekem je back-ups uit. Wanneer ze je omgeving vervolgens voor een maand of twee zonder back-up laten draaien om de ransomware dan te activeren, heb je nog maar weinig mogelijkheden.

Zorg er daarom voor dat je goed in het oog houdt of je back-ups nog werken. Controleer ze geregeld op volledigheid, maar configureer ze ook zo dat het onmogelijk is om ze aan te passen vanop het gewone bedrijfsnetwerk. Je wil immers voorkomen dat een aanvaller doodleuk de hele back-up mee versleutelt Toegang tot de back-up moet één van de best beheerde delen van je hele IT-omgeving zijn.

Testen en herstellen

Ziet het back-up-vinkje in de console groen? Prima, maar hoe zeker ben je dat je een hele omgeving kan herstellen? En hoelang duurt dat herstel? Indien je back-up deel is van je cyberbeveiligings- en disaster recovery-strategie, dan moet je geregeld testen. Zo weet je met zekerheid dat je data effectief terug voor iedereen toegankelijk zijn na een ramp en dat applicaties zoals verwacht terug werken voor zowel interne als externe gebruikers.

Een scenario waarin een back-up je omgeving moet redden, is bovendien per definitie nogal stressvol. Om paniek te voorkomen, is het handig dat iedereen weet wat er moet gebeuren. Wanneer het IT-team voor de eerste keer de herstelfunctionaliteit van de back-up-oplossing doorloopt wanneer het dringend en noodzakelijk is, vraag je om fouten.

Weet tot slot hoelang het duurt om je hele omgeving vanop de back-up terug operationeel te krijgen. Heb je twee weken nodig om alles te herstellen, maar heeft je bedrijf maar cashflow voor een week? Dan dreigen grote problemen. Toch wordt het belang van back-ups testen nog te vaak onderschat. Organisaties maken braaf back-ups volgens de regels, maar blijven er dan liefst vanaf. Back-ups van je meest kritieke gegevens zou je minstens wekelijks en liefst zelfs dagelijks moeten testen.

Locatie

Waar plaats je een back-up nu? Verschillende overwegingen spelen. Besef eerst en vooral al dat je back-up gevoelige gegevens bevat. Encryptie is een must, maar waar gebeurt die encryptie? Het is geen goed idee om persoonsgegevens naar een datacenter in China of de VS te sturen wanneer ze daar pas versleuteld worden. Zo kan je in de problemen komen met GDPR-regelgeving.

Staat je primaire bron van data on-premises, dan heb je minstens één externe locatie nodig om je gegevens te bewaren. Dat kan de cloud of een colocatie-datacenter zijn, maar even goed een eigen server of datacenter in een satellietkantoor op minstens enkele tientallen kilometers afstand.

Denk niet dat alles in orde is wanneer je met je hele bedrijf in de cloud zit. Ook je cloudomgeving kan gekraakt worden en geen enkele provider is immuun tegen rampen. De kans dat brand of andere vormen van onheil uitbreken in een groot datacenter is klein, maar niet onbestaande. Aan jou om je ervan te vergewissen dat je data veilig staan op een externe locatie. Dat kan een alternatief datacenter van dezelfde provider zijn, zolang het maar om een andere fysieke locatie gaat.

Jouw data, jouw verantwoordelijkheid

Het is een veelvoorkomende denkfout dat alle gegevens in de cloud zetten, telt als een volwaardige back-up. De cloud is een uitstekend medium voor het maken van back-ups, maar is niet zaligmakend. Providers voelen zich slechts in beperkte mate verantwoordelijk voor je gegevens. Ze voorzien beveiligingsopties, maar die moet je zelf instellen en bij gegevensverlies moet je niet bij de provider aankloppen. Denk ook niet dat je gegevens automatisch mee worden overgezet als je het contract opzegt.

Een gouden raad: lees de kleine lettertjes van de gebruiksovereenkomst. Als het puntje bij paaltje komt, is jouw data enkel en alleen jouw verantwoordelijkheid.

3-2-1, oefenen en testen. Wie dat doet, kan tegen een stootje. Gewapend met een goede en veilige back-up kunnen tornado’s en cybercriminelen je weinig maken. Is jouw bedrijf goed beschermd? Neem deel aan onze rondvraag over de back-upstrategie van bedrijven.

Dit artikel verscheel oorspronkelijk op 21 oktober 2022. Het stuk kreeg een update met de recentste informatie.