Een back-upstrategie is het geheel aan afspraken over welke data je kopieert, hoe vaak, waar je de kopieën bewaart, hoe lang je ze bewaart en hoe snel je ze terugzet. De kopie zelf is het makkelijke deel. Of je na een storing of aanval binnen een dag weer werkt, hangt af van al die andere afspraken.
Het NCSC noemt twee afwegingen die elke strategie sturen (Een back-up strategie opstellen). De Recovery Point Objective (RPO) is hoeveel data je maximaal kwijt mag raken. De Recovery Time Objective (RTO) is hoe snel je weer operationeel moet zijn. Een RPO van 24 uur betekent dat een dag werk opnieuw gedaan moet worden. Maar de RPO is per organisatie verschillend. Een RPO van 24 uur kan voor een logistiek bedrijf al te lang zijn, terwijl een marketingbureau misschien wel een langere RPO kan verdragen. We gaan in dit artikel niet verder in op hoe je dit zelf kunt bepalen.
Hier zit ook het verschil tussen een back-up en disaster recovery. De back-up is je data. Disaster recovery is alles wat nodig is om die data weer beschikbaar te maken. Daarbij hoort ook waar de data teruggezet wordt, de volgorde waarin systemen opstarten en iemand die weet hoe het moet. Een bedrijf met perfecte back-ups maar zonder herstelplan ligt nog steeds dagen stil.
En dan de misvatting die we in het mkb het vaakst horen: "alles staat toch in OneDrive?" Synchronisatie kopieert wijzigingen. Wordt een bestand versleuteld, dan gaat die versleutelde versie keurig mee naar de cloud. Microsoft heeft er wel een vangnet voor. Microsoft 365-abonnees kunnen hun OneDrive tot 30 dagen terugzetten, bijvoorbeeld na een besmetting met malware. Handig. Maar het dekt je mailbox niet, je boekhoudpakket niet en je server niet. En verder dan 30 dagen terug kun je niet.
De 3-2-1 backupregel is al jaren het vertrekpunt en het NCSC raadt hem ook aan voor ondernemers (Back-up, maak er een zekerheid van!). In één zin is dit de 3-2-1-regel voor back-ups: drie versies van je data, op twee verschillende media, waarvan één op een andere plek dan je bedrijfspand.
Het origineel telt mee. Je hebt dus je live data plus twee back-ups.
Waarom twee? Omdat een back-up zelf ook kan falen. Een schijf gaat stuk, of een back-uptaak loopt al weken vast terwijl de foutmelding in een gedeelde mailbox belandt die niemand leest (een klassieker). Met één back-up sta je dan met lege handen. Met twee heb je een tweede kans.
Twee mappen op dezelfde NAS zijn één medium. Gaat die NAS kapot of raakt hij versleuteld, dan zijn beide kopieën tegelijk weg. Combineer daarom een lokale NAS of back-upserver, voor snel herstel, met opslag die los van je eigen netwerk staat. Het NCSC noemt zelf een externe harde schijf en een cloud-opslagdienst als voorbeeld van twee verschillende media.
Deze kopie beschermt je tegen alles wat je kantoor in één keer raakt: brand, inbraak, waterschade. En tegen ransomware, mits hij echt los staat van je netwerk.
Hoe dat in de praktijk uitpakt, beschrijft het NCSC in een ondernemersverhaal over Boven en Dean, een family office en secretariaatsdienst die werkt met bankafschriften en huwelijkse voorwaarden van klanten. In februari 2020 waren hun bestanden versleuteld, met een losgeldeis in bitcoin. Ze hadden een dagelijkse automatische back-up op kantoor en maakten elke maand een aparte back-up op een extern apparaat dat buiten kantoor werd bewaard, verdeeld over twee schijven die ze afwisselden. Ze betaalden niet, zetten hun back-ups terug en lagen ongeveer een dag stil.
Aanvallers weten dat een goede back-up hun verdienmodel ondermijnt. Daarom zoeken ze er actief naar. In onderzoek van Sophos onder organisaties die door ransomware waren getroffen, zei 94% dat de aanvallers probeerden de back-ups te compromitteren. Bij 57% van die pogingen lukte dat. Het verschil in schade is fors: de mediane herstelkosten lagen op 3 miljoen dollar als de back-ups geraakt waren, tegen 375.000 dollar als ze intact bleven. En organisaties met geraakte back-ups betaalden veel vaker losgeld (67% tegen 36%).
Wil je jouw organisatie ook voorbereiden op ransomware? Lees dan ons artikel over ransomware in het mkb.
Een gerichte ransomware-aanval begint zelden met versleutelen. Eerst kijkt de aanvaller rond, verzamelt rechten en zoekt uit waar de back-ups staan. Het NCSC schrijft dat bij recente gerichte aanvallen "veel energie wordt gestoken om ook de back-ups te versleutelen" (NCSC). Het Britse NCSC zag ransomware de gekoppelde USB- en netwerkschijven met back-ups versleutelen en in sommige gevallen ook gekoppelde cloudopslag (NCSC UK, Offline backups in an online world).
Kan jouw beheerdersaccount bij de back-up, dan kan een aanvaller met dat account er ook bij. Een NAS die als netwerkschijf aan elke pc hangt, is voor ransomware gewoon de volgende map. Een cloudback-up waarvan de inloggegevens op de server opgeslagen staan, net zo goed.
Offline betekent: niet bereikbaar vanaf je netwerk. Een USB-schijf die je na de back-up loskoppelt en meeneemt, of cloudopslag die alleen tijdens de back-up verbinding maakt. Het Britse NCSC formuleert het zo: met minstens één back-up die op elk moment offline is, kan één incident nooit al je back-ups tegelijk raken.
Immutable (onveranderbaar) betekent dat de back-up gedurende een vaste bewaartermijn niet kan worden aangepast of verwijderd, ook niet door een beheerder. Veel cloudback-updiensten en nieuwere NAS-systemen bieden dit als instelling. Voor de meeste mkb-bedrijven is dat praktischer dan elke week een schijf wisselen.
Wil je je data herstellen na een aanval, dan heb je een back-up nodig waarvan je zeker weet dat hij schoon is. Het NCSC noemt dat "van vitaal belang" (Herstel van een cyberincident) en adviseert back-ups te dateren, zodat je niet per ongeluk een besmette versie terugzet.
Twee dingen die vaak vergeten worden. Geef de back-upomgeving een eigen beheeraccount, los van je gewone Microsoft-account, en zet daar MFA op. En zorg ervoor dat er mensen verantwoordelijk zijn om de back-upstatus dagelijks te controleren. Zo glipt er niet per ongeluk een melding "back-up mislukt" doorheen.
Een back-up die je nooit hebt teruggezet, is een aanname. Je weet pas of hij werkt als je hem hebt geprobeerd te herstellen.
Het NCSC onderscheidt twee soorten tests (Hoe test ik een back-up?). Bij de technische test kijk je of de software meldt dat de back-up is gelukt en of een herstel ook lukt. De functionele test gaat een stap verder: je zet een volledige back-up terug en controleert of je echt kunt werken, bijvoorbeeld door je backofficesysteem te gebruiken.
Kies een ritme dat je volhoudt. Dit is wat wij adviseren:
Leg elke test vast: datum, wat je terugzette, of het lukte en hoe lang het duurde. Dat lijstje is meteen je bewijs richting verzekeraar of auditor.
Hier gaan de meeste tests de mist in. Een bestand terugzetten duurt dertig seconden en geeft een vals gevoel van zekerheid. De echte vraag is hoe lang het duurt voordat je bedrijf weer draait.
Meet het met een stopwatch. Start op het moment dat iemand zegt "we moeten terugzetten". Stop als een medewerker weer een factuur kan maken of een order kan invoeren. Alles daartussen telt mee: de juiste back-up vinden, wachten tot de download uit de cloud klaar is, licenties opnieuw activeren, wachtwoorden die niemand meer weet.
Leg die tijd naast je RTO. Heb je afgesproken dat de administratie binnen acht uur weer draait en duurt de test twee dagen? Dan heb je een probleem dat je nu nog in alle rust kunt oplossen. Vaak blijkt de internetverbinding de bottleneck. Een paar terabyte uit de cloud halen lukt over een gewone zakelijke lijn niet in een middag.
Back-ups beschermen je data. Bedrijfscontinuïteit gaat over de vraag of je klanten nog geholpen kunnen worden terwijl die data terugkomt. Het NCSC noemt plannen voor continuïteit, noodoplossingen en herstel als vast onderdeel van je voorbereiding en zegt dat je die plannen ook moet oefenen (Basisprincipe 5).
Begin met een lijst van je kritieke systemen, gerangschikt naar impact op je bedrijfsvoering. Denk bijvoorbeeld aan je e-mail, de boekhouding of het ERP-systeem, de planning en de klantgegevens. Per systeem leg je twee getallen vast: RPO en RTO. Die getallen bepalen hoe vaak je een back-up maakt en hoeveel je uitgeeft aan snel herstel. Dat maakt van je backup strategie een bedrijfsbeslissing in plaats van een IT-instelling.
Een uitwijkscenario beantwoordt één vraag: waar en waarmee werken we als de normale situatie er niet meer is? Schrijf per scenario op wat je doet:
Zet ook de herstelvolgorde op papier. Eerst accounts en netwerk, dan e-mail, dan de systemen waar het geld binnenkomt, dan de rest. Bovenstaande scenario's en de herstelvolgorde zijn slechts voorbeelden. Kijk altijd zelf welke volgorde en scenario's voor jouw bedrijf van toepassing zijn.
Het lastigste moment van een incident: je wilt iedereen informeren en je mail werkt niet. Teams ook niet. En wat blijkt: het telefoonnummer van je IT-partij staat in Outlook.
Een communicatieplan hoeft niet lang te zijn. Eén A4, geprint en op twee plekken bewaard, met daarin:
Het NCSC adviseert om open en feitelijk te communiceren, ook over wat je nog niet weet, en klanten een concreet handelingsperspectief te geven (Herstel van een cyberincident). Zijn er persoonsgegevens geraakt, dan heb je ook te maken met de meldplicht voor datalekken. Daarover kun je meer lezen in ons artikel Cyberincident: Stappenplan voor de Eerste 24 Uur.
Allereerst moeten we aangeven dat wij geen back-ups maken en beheren. Dat doet je IT-partij of eigen systeembeheerder en daar gaan we niet tussen zitten. Wij werken ernaast.
Wij komen in beeld op het moment voordat je de back-up nodig hebt. Met Managed Detection & Response (MDR) verzamelen we 24/7 signalen uit je omgeving. MDR herkent het versleutelen van bestanden, en hoe eerder een aanval stopt, hoe minder je hoeft terug te zetten. Bij MDR Premium reageren we binnen 15 minuten en isoleren we getroffen apparaten, zodat een besmetting minder kans krijgt om je NAS of andere systemen te bereiken. MDR-klanten krijgen vooraf een incidentresponsdraaiboek, zodat bij een incident al vastligt wie wat doet.
Buiten onze core-dienst denken we natuurlijk altijd graag mee als deze vraagstukken bij jullie in de organisatie spelen. Bekijk ook onze pagina over informatiebeveiliging om te zien wat je nog meer kunt doen om je data veilig te bewaren en gebruiken.
