Back-upbeleid

Het document waarin staat wat er geback-upt wordt, hoe vaak, waar het staat, hoe lang het bewaard blijft en hoe u aantoont dat terugzetten lukt.

Wat erin hoort

• welke systemen en gegevens onder de back-up vallen, en welke bewust niet
• de frequentie per systeem, afgeleid van hoeveel gegevensverlies u accepteert
• waar de kopieën staan, en welke daarvan losstaat van de productieomgeving
• de bewaartermijn en wanneer oude kopieën worden vernietigd
• hoe de kopieën beveiligd zijn, en wie bij de sleutels kan
• wanneer er getest wordt en wie de uitkomst vastlegt

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor ICT, met goedkeuring van de verantwoordelijke voor informatiebeveiliging. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks, en bij elke wijziging in de systemen die eronder vallen. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

twee tot vier pagina's, met een tabel per systeem.

Fouten die er het vaakst in zitten

• Alle kopieën staan op hetzelfde netwerk, waardoor gijzelsoftware ze meeneemt.
• Terugzetten is nooit getest, dus de hersteltijd is een aanname.
• De sleutel om de back-up te ontsleutelen staat in het systeem dat is uitgevallen.

De tabel die het werk doet

Het grootste deel van dit beleid is één tabel. Per systeem legt u vast wat er nodig is, en dat leidt vanzelf tot de juiste inrichting:

Die tweede kolom is de belangrijkste en wordt het vaakst overgeslagen. Hoeveel werk mag er verloren gaan? Dat is een bedrijfsbeslissing, geen technische. Zodra dat getal er staat, volgt de frequentie er vanzelf uit.

De regel van drie kopieën

De vuistregel die zich in de praktijk bewezen heeft: drie kopieën van uw gegevens, op twee verschillende soorten opslag, waarvan één buiten uw eigen omgeving en niet vanuit die omgeving te wissen. Dat laatste is sinds gijzelsoftware het belangrijkste onderdeel geworden.

Aanvallers zoeken tegenwoordig eerst de back-ups en versleutelen die mee voordat ze de rest aanpakken. Een kopie die met een beheeraccount bereikbaar is, is dus geen bescherming tegen precies het scenario waar u hem voor heeft.

Noteer twee getallen bij elke test

Lukte het terugzetten, en hoe lang duurde het. Dat tweede getal is uw werkelijke hersteltijd, en die wijkt vrijwel altijd af van wat er in het continuïteitsplan staat. Beter dat u dat weet uit een test dan uit een echt incident.

Verhouding tot de Cyberbeveiligingswet

Onderdeel van maatregel 3 over continuïteit. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Bijlage A bevat een expliciete maatregel over back-ups. Auditors vragen vrijwel altijd om het testrapport. Zie de ISO 27001-checklist voor het volledige overzicht.

De fout die verzekering met synchronisatie verwart

De meest onderschatte fout in een back-upbeleid is niet techniek maar een woordverwarring: synchronisatie wordt aangezien voor back-up. Een map die automatisch meedraait naar een clouddienst lijkt op een back-up, maar is dat niet. Verwijdert of versleutelt iemand een bestand, dan verdwijnt of versleutelt de gesynchroniseerde kopie net zo hard mee, vaak binnen een paar minuten.

Een echte back-up staat los van dat automatische meelopen: een momentopname die blijft bestaan ook als de bron kapot gaat. Het verschil zit in de vraag of een verwijdering aan de ene kant vanzelf doorwerkt aan de andere kant. Werkt die door, dan is het synchronisatie. Blijft de oude versie apart bewaard, dan is het een back-up. Dat is exact het scenario waarmee ransomware back-ups onbruikbaar maakt: eerst de gesynchroniseerde kopie, dan de rest van de omgeving.

Controleer daarom letterlijk in uw eigen beleid of de genoemde oplossing deze proef doorstaat. Veel mkb-organisaties ontdekken pas tijdens een test dat wat zij back-up noemden, in werkelijkheid alleen synchronisatie was, en dat er dus geen enkele oudere versie meer bestaat om op terug te vallen.

Verschil met het continuïteitsplan

Het back-upbeleid is een van de bouwstenen waarmee het continuïteitsplan zijn hersteltijden waarmaakt. Het back-upbeleid legt vast wat er technisch gebeurt: wat wordt gekopieerd, hoe vaak en waarheen. Het continuïteitsplan gaat een stap verder en beschrijft wat de organisatie doet zolang het herstel nog niet klaar is: wie werkt met welk alternatief, en hoe wordt de achterstand na afloop ingehaald. Een goed back-upbeleid zonder continuïteitsplan levert teruggezette systemen op, maar geen antwoord op de vraag wat klanten in de tussentijd te horen krijgen.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Hoe vaak moet ik back-ups testen?

De wet noemt geen frequentie. Jaarlijks een volledige herstelproef is gebruikelijk en verdedigbaar; bij kritieke systemen vaker.

Is een back-up in de cloud voldoende?

Dat hangt ervan af of hij vanuit uw omgeving te wissen is. Kan een beheerder met één handeling de cloudkopie verwijderen, dan is het geen bescherming tegen gijzelsoftware.

Is een map in de cloud die automatisch meesynchroniseert een back-up?

Meestal niet. Test of een verwijdering aan de bronkant ook de kopie raakt. Is dat zo, dan is het synchronisatie en geen bescherming tegen gijzelsoftware of een foutieve verwijdering.

Hoeveel oudere versies moet ik bewaren?

Genoeg om terug te kunnen naar een moment vóór een besmetting die soms pas na enkele weken opvalt. Eén versie per dag over de laatste maand is een gangbaar uitgangspunt.

Wie moet weten dat er verschil is tussen synchronisatie en back-up?

Iedereen die verantwoordelijk is voor het beleid zelf, en bij voorkeur ook de mensen die dagelijks met de bestanden werken.