De Back-up, het uiterste redmiddel

Het veiligstellen van je data middels een back-up is essentieel. Het is zelfs het belangrijkste aspect binnen informatiebeveiliging en IT-security. Als je bedrijfskritische data niet kunt benaderen, dan komt de continuïteit van de organisatie in gevaar. Dit onderstreept maar eens dat de data binnen jouw organisatie jouw belangrijkste bedrijfsmiddel kan zijn. Zeker ook als het in de cloud staat!

Recente incidenten zoals bij de Universiteit van Maastricht en de gemeente Hof van Twente bewijzen de noodzaak van een goede en betrouwbare back-up strategie

Incidenten zijn nooit helemaal te voorkomen. Ze ontstaan niet alleen door securitybedreigingen zoals ransomware, maar ook door menselijk en technisch falen. Ook bij een natuurramp of een brand kan data verloren gaan. Een goed werkende back-up is daarom essentieel. Het is in dit soort gevallen je laatste redmiddel!  

Het startpunt van een backup strategie

Bij het opzetten van een goede backup strategie is het belangrijk om te starten met een aantal belangrijke vragen aan het management:

1. Wat zijn de bedrijf kritische systemen en vertrouwelijke data en waar staat deze informatie?
2. Hoeveel dataverlies kun je jezelf veroorloven? De zogenaamde Recovery Point Objective (RPO).
3. Hoelang mag mijn systeem uit de lucht zijn voordat de bedrijfsvoering te veel benadeeld wordt? De zogenaamde Recovery Time Objective (RTO).
4. Welke incidenten kunnen er optreden waarbij mogelijk een restore nodig is. Bijvoorbeeld het per ongelijk verwijderen van een bestand, Infectie met ransomware, systeemcrash en/of een brand.
5. Welke wet- en regelgeving is van toepassing op de data in de back-ups zoals de AVG

Schematische voorstelling van de RPO en RTO.

Het opstellen van een back-up strategie

De antwoorden van het management op de eerder gestelde vragen zijn belangrijk voor het bepalen van de back-up strategie. Om tot een uiteindelijke strategie te komen die bij jouw organisatie past moeten nog een aantal andere aspecten meegenomen worden. Ook het beschikbare budget is natuurlijk van belang.

De uiteindelijke hersteltijd oftewel de Recovery Time Objective (RTO) wordt bepaald door wat (gegevens, systeemback-ups, archief) je back-upt, het schema, de frequentie, wel of geen incrementele back-up, de locatie en het back-upmedium.

Voorbeeld van een (uitgeklede) back-upstrategie voor een middelgroot productiebedrijf:

De achterliggende redenatie om tot dit schema te komen, vind je verderop in het artikel.

1. Samen met het management heeft de IT-afdeling een compleet overzicht gemaakt van alle data die we niet kwijt mogen raken. Het archief van het bedrijf is hierin meegenomen.
2. Bij een incident mag maximaal de data van de huidige productie dag verloren gaan. In extreme gevallen zoals bij een brand mag maximaal 5 dagen data verloren gaan.
3. De bedrijf kritische systemen mogen nooit langer dan 2 dagen uit de lucht zijn. Na 2 dagen kunnen de afspraken met de klanten niet meer nagekomen worden.
4. Er hoeft geen rekening gehouden te worden met speciale wet- en regelgeving vanuit de eigen organisatie, branchevereniging of klanten. Algemene wet- en regelgeving zoals de AVG en de bewaarplicht is wel van toepassing.

Backup strategie

Alle data staan op een NAS (Network Attached Storage) met gespiegelde disks. Een back-upserver maakt elke nacht een back-up van het NAS op een apart NAS met verwisselbare schijf. Dit NAS is via een apart netwerk aan de back-upserver gekoppeld. De systemen worden elke week geback-upt. I.v.m. de beperkte bandbreedte van de Internetverbinding is er bewust gekozen om geen cloudbackupdienst af te nemen.

Het bovenste overzicht is slechts een voorbeeld ter illustratie. De back-up strategie moet namelijk afgestemd zijn op jouw omgeving. Indien gewenst kan het IT Security Kompas ondersteunen bij het maken van een je back-up strategie.

Back-up Schema’s

Als basis wordt vaak het 3-2-1 schema genomen. Dit betekent dat je minimaal drie volledige kopieën hebt op twee verschillende media. Belangrijk hierbij is dat één van de verschillende media zich op een andere locatie begeeft. In de 3-2-1 regel wordt echter nog niet gesproken over de bewaartermijn van de back-up.

Voorbeeld: data staan op gespiegelde disk zodat je al 2 kopieën hebt. De 3^de kopie staat op een andere disk (2^de medium). De kopie van donderdag wordt op een externe locatie bewaard.

Een andere veel gebruikte back-up schema’s die je goed met de 3-2-1- regel kunt combineren is GFS (Grandfather-Father-Son). De Son is de eerste volledig back-up van de organisatie welke dagelijks gemaakt wordt. Elke week wordt deze back-up gepromoveerd tot Father. Na vier weken wordt deze Father gepromoveerd tot Grandfather. Afhankelijk van de gewenste bewaartermijn voor back-ups kun je meerdere Grandfathers bewaren. Er zijn meerdere varianten op het GFS-schema mogelijk.
Voorbeeld: Totaal zijn er 10 backup’s. 1 volledige back-up en 3 incrementele back-ups, de Sons, die elke week worden overschreven. Op donderdag wordt er een volledige back-up gemaakt. 3 backup’s, de fathers, wordt elke 4 weken overschreven. Elke 3de maand wordt 1 back-up, de grandfather, overschreven.

Een volledige back-up of incrementele back-up maken?

Een volledige back-up bevat een exacte kopie van alle bestanden.
Een incrementele back-up bevat alleen de bestanden die gewijzigd zijn na de laatste back-up. Je kunt bijvoorbeeld wekelijks een volledig back-up maken en één keer per dag een incrementele back-up. Hiermee bespaar je tijd en back-up capaciteit en dus geld. Wanneer je gebruik maakt van incrementele back-ups duurt echter het terugzetten van bestanden langer dan wanneer je alleen volledige back-ups maakt. Dit heeft dus van invloed op hoelang jouw organisatie zonder data ‘kan’ (RTO).

Voorbeeld: De eerste dagelijkse back-up is een volledige back-up. De 3 daaropvolgende back-ups zijn incrementele back-ups zodat er minder opslagcapaciteit nodig is. Elke donderdag wordt een volledige back-up gemaakt.

Online versus offline back-up

Een online back-up geeft je rechtstreeks toegang tot je back-ups. Een online back-up is snel en direct benaderbaar. Dit is ook meteen het risico. Kwaadwillende personen of malware weten zich mogelijk toegang te verschaffen tot deze online back-up om bestanden te wijzigen (lees encrypten), kopiëren en/of weggooien. Online back-ups kunnen zowel in de cloud als op de eigen locatie gemaakt worden.

Een offline back-up is niet benaderbaar vanuit het interne netwerk. Het maakt gebruik van een eigen netwerk dat volledig los staat van het productienetwerk, met eigen accounts. Er is altijd een actie nodig om toegang tot de back-up te krijgen. Bijvoorbeeld het aansluiten van een USB-disk, plaatsen van een tape of het mounten van een speciale back-upomgeving. Alleen met een offline back-up ben je zeker dat hackers je data niet kunnen wijzigen en dus niet kunnen encrypten. De offline back-up blijft bruikbaar voor herstelwerkzaamheden, ook na een ransomware aanval.
Een offline back-upoplossing hoeft niet complexer te zijn en kan ook automatisch gemaakt worden. Je moet vooraf goed nadenken over de opbouw van je back-up oplossing.

Het maken van offline back-ups is noodzakelijk. Zorg dat de voldoende offline back-ups maakt, bij voorkeur op een andere locatie.

Voorbeeld: Er wordt gebruik gemaakt van een systeem dat specifiek voor de back-up ingericht is. De back-up staat op een apart storage systeem dat rechtstreeks aan de back-upserver gekoppeld is. De disks worden bij het starten van de back-up gekoppeld en na de back-up weer losgekoppeld.

Gegevensback-up versus systeemback-up.

Een gegevensback-up, ook wel een fileback-up genoemd, kopieert bestanden naar een back-up. De back-up kopieert alleen bestanden die als zodanig aangewezen zijn. Een effectieve manier om gegevens veilig te stellen. Het is niet mogelijk om vanuit een gegevensback-up een volledig systeem te herstellen. Daarvoor heb je een systeemback-up nodig of moet je het OS (Operating System) en de programma’s opnieuw installeren.

Een systeemback-up oftewel een systemimage is een exacte copy van de disk en bevat naast de data ook het OS, de programmatuur én alle instellingen. Met behulp van een systeemback-up kun je na een crash van de harddisk een systeem volledig opnieuw opbouwen. Een systeemback-up kost meer tijd en performance dan een gegevensback-up. Steeds meer systemen worden tegenwoordig opgebouwd door gebruik te maken van scripts. In dat geval zijn systeemback-up veelal niet nodig. Het opbouwen van een nieuw systeem met behulp van scripts gaat sneller. Let wel op dat je de scripts regelmatig test.

Voor een gegevens- en systeemback-up kun je andere back-up schema’s gebruiken.

Voorbeeld: De data worden dagelijks geback-upt maar de systemen worden wekelijks geback-upt. Hierdoor wordt diskruimte bespaart.

Back-up versus digitaal archief

Een back-up is een reservekopie van de systemen of de gegevens. Deze gegevens veranderen zodat er regelmatig nieuwe back-ups gemaakt moeten worden. In geval van een incident kunnen de gegevens of systemen snel teruggezet worden.

Een digitaal archief is de lange termijn opslag van gegevens. Deze gegevens moeten bijvoorbeeld i.v.m. het interne beleid bewaard worden of om aan de wet- en regelgeving te voldoen. Denk aan de wettelijke bewaartermijn van financiële administraties of medische gegevens. Die gegevens in het digitale archief veranderen in principe niet en moeten geback-upt worden. Het digitale archief moet dus in het back-up schema meelopen en loopt dikwijls in het normale back-upschema mee.
Voorbeeld: Het archief is onderdeel van de standaard data en loopt gewoon met de back-up mee.

Enkele aanvullende tips voor back-ups:

• Zorg dat je back-ups niet bereikbaar zijn vanuit andere systemen. Alleen je back-up systeem mag de back-ups kunnen benaderen.
• Maak geen connectie met een Active Directory en configureer eigen accounts en complexe wachtwoorden.
• Check dagelijks de rapportage van de back-upomgeving. Dit gaat verder dan kijken of je een mailtje van de back-up software hebt ontvangen. Kijk onder andere altijd of er bestanden onbenaderbaar zijn. Wellicht is er een folder met gegevens verplaatst waardoor die niet meer geback-upt wordt.
• Versleutel je back-ups zodat onbevoegde de back-up niet kunnen lezen of wijzigen wanneer ze onverhoopt in het bezit van de back-up komen.
• Zorg dat je back-ups veilig opgeborgen. Zijn het losse disks of tapes? Leg ze dan in een kluis.
• Voer regelmatig, minimaal 1 keer per jaar, een volledige restoretest uit. Test ook of de systemen na een restore correct werken.
• Maak een recoveryplan en loop dat tijdens de restoretest door. Beschrijf daarin verschillende scenario’s die je wellicht optreden.
• Bewaar de back-ups lang genoeg. De malware kan al in een veel eerder stadium geïnstalleerd zijn.
• Houd rekening met de AVG. Wellicht is een Data Protection Impact Assessment (DPIA) nodig.