Je hebt een backup. Prima. Maar wanneer heb je voor het laatst getest of je daadwerkelijk kunt herstellen?
Dat is een vraag waar veel IT-managers even stil van worden. Op papier ziet het backup-beleid er keurig uit. Retentieperiodes gedefinieerd, schema’s geconfigureerd, monitoring ingericht. Maar vraag wanneer er voor het laatst een volledige restore-test is uitgevoerd op een kritiek systeem, en het antwoord blijft uit.
Dat geldt voor veel organisaties, ook voor wie de zaken goed op orde denkt te hebben. De kloof tussen ‘we hebben een backup’ en ‘we kunnen herstellen’ is groter dan het op de gemiddelde IT-afdeling voelt. En dat kan erg verkeerd aflopen.
Uit het Veeam Data Protection Trends Report 2024 blijkt dat 75 procent van de organisaties het afgelopen jaar minstens één serieus dataverlies heeft meegemaakt. Tegelijk heeft vrijwel iedere organisatie een backup-oplossing draaien. Hoe past dat bij elkaar?
Een backup is iets anders dan recovery. Een backup is een kopie. Recovery is het bewezen vermogen om snel weer aan het werk te gaan als het misgaat. Dat onderscheid wordt in de dagelijkse praktijk zelden zichtbaar, totdat het echt nodig is.
| Een ongeteste backup is als een brandblusser die al jaren ongebruikt in de gang hangt. Waarschijnlijk werkt hij nog. Maar als de rook eenmaal in je gezicht slaat, wil je dat zekerder weten dan ‘waarschijnlijk’. |
Als je herstelvermogen serieus neemt, ontkom je niet aan RPO en RTO. Deze twee getallen bepalen of je organisatie morgen nog operationeel is na een incident. En toch zijn ze in veel organisaties nooit afgestemd met de operatie. IT kiest een getal dat technisch haalbaar voelt, de operatie weet niet beter, en pas bij het eerste echte incident blijkt dat de RTO van 24 uur in de praktijk 5 werkdagen is.
RPO (Recovery Point Objective) staat voor hoeveel data je maximaal mag verliezen. Een uur? Vijf minuten? Een dag? Het antwoord hangt af van het systeem. Voor je financiële transacties is een uur dataverlies een ramp. Voor een interne fileshare misschien prima.
RTO (Recovery Time Objective) staat voor hoeveel tijd het herstel maximaal mag duren. Voor je ERP is dat waarschijnlijk uren. Voor een archiefsysteem mag het dagen zijn.
Deze twee getallen bepalen of je organisatie morgen nog operationeel is na een incident. En toch zijn ze in veel organisaties nooit afgestemd met de operatie. IT kiest een getal dat technisch haalbaar voelt, de operatie weet niet beter, en pas bij het eerste echte incident blijkt dat de RTO van 24 uur in de praktijk 5 werkdagen is.
Een fatsoenlijke test kost tijd, vraagt planning en soms ook downtime. Het voelt veilig om te zeggen: ‘we weten dat het werkt, we testen wel als het nodig is’.
Maar dat moment komt altijd op een ander tijdstip dan je hoopt. Met meer stress, minder mensen en zonder tweede kans. Een mislukte test in een gecontroleerde omgeving is ongemakkelijk. Een mislukte test tijdens een echt incident legt je bedrijf stil.
Moderne ransomware-operators weten precies waar jouw backups staan. Dat is hun eerste doel. Als je backups op hetzelfde netwerk staan, met dezelfde inlogaccounts, dan zijn ze even kwetsbaar als de rest.
Het Sophos State of Ransomware 2024-rapport laat jaar na jaar dezelfde patronen zien: van de organisaties die losgeld betaalden, kreeg minder dan een derde alle data terug. De betaling is geen herstelplan. De backup is dat dus ook niet, tenzij hij geïsoleerd en onveranderbaar is.
Dataweerbaarheid is meer dan kopieën maken. Het is weten waar je kritieke data staat, welke RPO en RTO daarbij horen, hoe snel je echt kunt herstellen en wie dat doet. Het is aantoonbaar maken dat je organisatie een cyberincident doorstaat, in plaats van vertrouwen hebben dat het wel goed komt.
In die verschuiving zit meteen de kern van NIS2. Toezichthouders van deze richtlijn vragen straks niet of je een backup hebt. Ze vragen of je kunt aantonen dat je kunt herstellen. Een andere vraag, met een ander soort antwoord.
Je hoeft niet morgen je hele infrastructuur om te gooien. Kies één kritiek systeem. Plan een restore-test in. Voer hem uit. Noteer hoe lang het duurt, wat er haperde, wie erbij nodig was. Volgend kwartaal doe je dezelfde test met een volgend systeem, of met hetzelfde, om te zien of je RTO naar beneden gaat. De kans is groot dat er iets misgaat tijdens deze testen. Dat is precies de reden waarom je ze doet.
Je data is de ruggengraat van je bedrijfsvoering. Je herstelvermogen bepaalt of je morgen gewoon weer openstaat voor klanten of dat je wekenlang bezig bent met schade herstellen. Begin met testen, zo snel mogelijk.
Deel artikel
