De 3-2-1-regel en wat je moet back-uppen

Module 6: Back-ups · Leestijd: 10 minuten

Leerdoel: Na deze les kun je bepalen wat je moet back-uppen (ook je clouddiensten en je mail), het verschil uitleggen tussen synchronisatie en een back-up, en een eenvoudig 3-2-1-schema voor je eigen bedrijf opstellen.
Kernbegrippen: back-up, synchronisatie, 3-2-1, versie, bewaartermijn, cloud is niet automatisch back-up, gedeelde verantwoordelijkheid

Waarom een back-up je laatste vangnet is

Alle andere maatregelen in deze cursus verkleinen de kans dat het misgaat. Een back-up doet iets anders: hij zorgt dat je verder kunt als het misgaat. Een laptop die uit de auto wordt gestolen, een collega die per ongeluk een map met offertes weggooit, een update die je webwinkel kapotmaakt, ransomware die alles versleutelt: in al die gevallen is de vraag niet meer "hoe voorkomen we dit?" maar "hoe snel zijn we terug?".

Een back-up is een kopie van je gegevens die los staat van het origineel en waarmee je een eerdere toestand kunt terugzetten. Die laatste vier woorden zijn belangrijk. Een kopie die meteen meeverandert met het origineel, helpt je niet als het origineel kapot of versleuteld is.

Het NCSC zegt het in zijn uitleg over wat je doet bij een ransomware-aanval zonder omwegen: als er geen manier is om de versleuteling ongedaan te maken, zijn back-ups de enige manier om je bestanden terug te krijgen.

Synchronisatie is geen back-up

Veel ondernemers denken dat ze een back-up hebben omdat hun bestanden "in de cloud staan". Meestal bedoelen ze synchronisatie: een map op je laptop die automatisch gelijk wordt gehouden met een map in een clouddienst, en vaak ook met je telefoon en de laptop van een collega.

Synchronisatie is handig, maar doet precies wat het belooft: alles gelijk houden. Ook de fouten.

Veel synchronisatiediensten hebben wel een prullenbak en versies: een verwijderd bestand blijft een tijd terug te halen, en van een gewijzigd bestand bewaart de dienst oudere standen. Dat is een echt vangnet en vaak het snelste om iets terug te halen. Maar het is beperkt. De prullenbak wordt na een vaste termijn geleegd, versies worden uitgedund, en wie jouw account overneemt, kan die prullenbak ook leeggooien. Zie het als een eerste hulp, niet als je enige back-up.

De 3-2-1-regel

Een eenvoudige vuistregel die het NCSC ook aanraadt, is de 3-2-1-regel:

• 3 kopieën van je gegevens: het origineel plus twee back-ups;
• op 2 verschillende soorten opslag (bijvoorbeeld de server van je hostingaanbieder en een externe schijf, of je laptop en een aparte back-updienst);
• waarvan 1 op een andere plek, buiten je kantoor of in een ander datacenter.

Het idee erachter: één gebeurtenis mag nooit alle kopieën tegelijk raken. Een brand in je kantoor raakt de laptop en de externe schijf die ernaast ligt, maar niet de kopie op een andere locatie. Een storing bij één clouddienst raakt die dienst, maar niet de schijf in je la. Ransomware raakt alles wat gekoppeld is, maar niet wat losgekoppeld is (daarover meer in les 6.2).

Een voorbeeld voor Bakkerij Example:

1. Origineel: de administratie en recepten in de cloudopslag, de website en mail bij de hostingaanbieder.
2. Kopie 1: de automatische back-ups die de hostingaanbieder elke nacht maakt, op aparte opslagservers.
3. Kopie 2: eens per week een back-up van de belangrijkste mappen en een download van de websiteback-up op een externe schijf, die daarna wordt losgekoppeld en mee naar huis gaat.

Wat hoort er in je lijst?

De meeste back-upproblemen komen niet doordat de back-up mislukt, maar doordat iets er nooit in heeft gezeten. Maak daarom eerst een lijst van alles waar je bedrijf op draait. Denk aan:

• Bestanden: documenten, offertes, foto's, ontwerpen, op laptops, een netwerkschijf (NAS) en in cloudopslag.
• E-mail: alle mailboxen, ook gedeelde zoals info@example.com en factuur@example.com. Let op: wie mail met POP3 ophaalt, heeft de mail vaak alleen nog op die ene computer.
• Website en webwinkel: bestanden én database. Een website zonder de bijbehorende database is meestal niets waard.
• Clouddiensten: het boekhoudpakket, het kassasysteem, de planning, het CRM. Kun je daar een export van maken, en hoe vaak doe je dat?
• Configuratie: DNS-records van je domein, instellingen van je router, wachtwoordkluis (met de herstelgegevens op een veilige plek, zie module 2).
• Telefoons: foto's van bonnen, contacten, chatgeschiedenis als die zakelijk belangrijk is.

Schrijf per onderdeel op: waar staat het, wie maakt er een back-up van, hoe vaak, waar staat die back-up en hoe lang wordt hij bewaard. Een lege cel in die tabel is een gat.

Gedeelde verantwoordelijkheid bij clouddiensten

"Het staat bij Microsoft (of Google, of mijn hostingaanbieder), dus het is veilig." Dat klopt maar half. Grote aanbieders werken met een model van gedeelde verantwoordelijkheid: de aanbieder zorgt voor de servers, het datacenter en de werking van de dienst; jij blijft verantwoordelijk voor je eigen gegevens, accounts en instellingen.

Microsoft zegt in zijn eigen documentatie letterlijk dat de klant bij elke vorm van clouddienst, ook bij kant-en-klare software zoals Microsoft 365, verantwoordelijk blijft voor zijn gegevens, zijn accounts en de toegang daartoe. Wat de diensten zelf bewaren, is beperkt en tijdgebonden. Twee voorbeelden uit de officiële documentatie:

• Exchange Online (de mail van Microsoft 365) bewaart definitief verwijderde mail standaard 14 dagen, door de beheerder te verlengen tot maximaal 30 dagen. Daarna is hij weg.
• Google Drive verwijdert bestanden die langer dan 30 dagen in de prullenbak staan definitief. Na het legen van de prullenbak kan een beheerder bestanden nog 25 dagen terughalen; daarna zijn ze volgens Google niet meer te herstellen.

Dat zijn prima vangnetten voor een vergissing van vorige week. Maar ontdek je pas na twee maanden dat een vertrokken medewerker een map heeft leeggehaald, dan helpen ze niet. Lees bij elke dienst die je gebruikt na wat de aanbieder zelf zegt over bewaren en terugzetten, en vraag het je aanbieder als het niet duidelijk is. Gebruik je de dienst voor belangrijke gegevens, regel dan een eigen back-up of een vaste export.

In de praktijk: zo ziet het eruit

Bij de voorbeeldaanbieder WebOké bestaan verschillende soorten back-ups naast elkaar, en ze werken verschillend:

• WebOké Backups maakt elke nacht automatisch een complete back-up van een hostingpakket: bestanden, databases, mailboxen en instellingen. Die back-ups staan versleuteld op aparte opslagservers in een ander datacenter, en je kunt zelf terugzetten uit de back-ups van de afgelopen 30 dagen.
• Daarnaast kun je in DirectAdmin zelf een back-up maken. Die komt in je eigen pakket te staan, telt mee voor je opslag en staat dus op dezelfde plek als het origineel. Zo'n kopie is pas een echte extra kopie als je hem downloadt en elders bewaart.
• In Nextcloud zijn de prullenbak en de versies het vangnet voor dagelijks werk: verwijderde bestanden en versies blijven tot 31 dagen staan (eerder weg als de ruimte nodig is). De systeemback-ups van de servers zijn er voor calamiteiten en zijn niet voor klanten toegankelijk. De handleiding raadt zelf aan om van onmisbare bestanden ook een eigen kopie te bewaren.
• Twee beperkingen die de kennisbank noemt: een mail die op dezelfde dag binnenkomt en weer wordt verwijderd, zit in geen enkele nachtelijke back-up, en mail die met POP3 alleen nog op je computer staat, zit er ook niet in.

Bij andere aanbieders kan dit vergelijkbaar of heel anders geregeld zijn: andere bewaartermijnen, back-ups alleen tegen betaling, of alleen een back-up voor calamiteiten waar je zelf niet bij kunt. Vraag het je aanbieder en schrijf het antwoord in je lijst.

Samenvatting

• Een back-up is een losse kopie waarmee je een eerdere toestand kunt terugzetten; synchronisatie zet ook fouten en versleuteling overal door.
• Prullenbak en versies in clouddiensten zijn handig, maar tijdgebonden en geen vervanging van een back-up.
• 3-2-1: drie kopieën, twee soorten opslag, één op een andere plek.
• Maak eerst een lijst van alles waar je bedrijf op draait, inclusief mail, databases, clouddiensten en configuratie.
• Bij clouddiensten blijf jij verantwoordelijk voor je gegevens; controleer wat je aanbieder bewaart en hoe lang.

Quiz

Opdracht

Opdracht D6.1: Je back-uplijst en 3-2-1-schema. Maak een tabel van alles waar je bedrijf op draait: bestanden, mailboxen, website en database, clouddiensten, configuratie en telefoons. Vul per regel in waar het staat, wie er een back-up van maakt, hoe vaak, waar de back-up staat en hoe lang hij bewaard wordt. Zoek voor minstens twee clouddiensten op wat de aanbieder zelf zegt over bewaren en terugzetten. Markeer elke regel die niet aan 3-2-1 voldoet en schrijf op wat je eraan doet.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar of anders. Vraag het je aanbieder.

• DirectAdmin handleiding 16.1: Welke back-ups er zijn bij WebOké
• WebOké handleiding 6.10: WebOké Backups: bestanden terugzetten
• Nextcloud handleiding 6.6: Back-ups bij WebOké: wat wij bewaren en wat je zelf kunt doen
• WebOké Backups: een backup bekijken, terugzetten of downloaden
• NCSC, Een back-up strategie opstellen: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• Microsoft, Shared responsibility in the cloud (Engels): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility
• Microsoft, Recoverable Items folder in Exchange Online (Engels): https://learn.microsoft.com/en-us/exchange/security-and-compliance/recoverable-items-folder/recoverable-items-folder
• Google Workspace, Recover deleted files and folders for Drive users (Engels): https://knowledge.workspace.google.com/admin/drive/recover-deleted-files-and-folders-for-drive-users