Partnerbijdrage,
Vraag een ondernemer of zijn bedrijfsgegevens veilig zijn en het antwoord is bijna altijd hetzelfde: “We hebben een back-up.” Dat klinkt geruststellend, maar het zegt weinig over de vraag die er echt toe doet: hoe snel ben je weer aan het werk als het misgaat? Een back-up is een kopie van je gegevens. Een herstelplan is de afspraak over hoe je die kopie terugzet, in welke volgorde en binnen welke tijd.
Het verschil merk je pas op het slechtste moment: na een ransomware-aanval, een gestolen laptop of een medewerker die per ongeluk een gedeelde map leegmaakt. Wie het IT-beheer van de omgeving goed heeft geregeld, weet op dat moment precies wat er gebeurt. Wie alleen een back-up heeft, begint vaak met zoeken. Drie vragen helpen je om te bepalen waar jouw bedrijf staat.
Vraag 1: wat wordt er precies geback-upt?
Veel ondernemers gaan ervan uit dat alles wat in de cloud staat vanzelf veilig is. Dat is maar ten dele waar. Microsoft zorgt ervoor dat de dienst draait, maar verwijderde of versleutelde bestanden in Microsoft 365 blijven maar een beperkte tijd terug te halen. Een aparte back-up van mail, OneDrive, SharePoint en Teams is daarom geen overbodige luxe.
Kijk ook verder dan de cloud. Staan er bestanden lokaal op laptops? Draait er nog een boekhoudpakket of tekenprogramma op een server op kantoor? En hoe zit het met de instellingen van je netwerk en je telefonie? Maak een lijst van alles waar je bedrijf op draait en controleer per onderdeel of er een kopie van is, waar die staat en hoe lang die bewaard blijft.
Vraag 2: hoe snel moet je weer draaien?
Niet elk systeem is even belangrijk. Een webshop die een dag stilligt kost omzet, terwijl een archief met oude offertes best een week kan wachten. In de IT gebruiken we hiervoor twee begrippen. De hersteltijd is hoe lang je zonder een systeem kunt. Het herstelpunt is hoeveel werk je hooguit kwijt mag raken: de gegevens van een uur, een dag of een week.
Bepaal die twee waarden samen met de mensen die het werk doen, niet alleen met je IT-partner. Zij weten welke systemen je klanten direct merken. Pas daarna kun je beoordelen of je huidige back-up past. Een back-up die één keer per nacht draait, betekent dat je in het ergste geval een volle werkdag aan gegevens kwijt bent.
Vraag 3: wanneer heb je het herstel voor het laatst getest?
Dit is de vraag waar de meeste bedrijven stil van worden. Een back-up die nooit is teruggezet, is een belofte en geen zekerheid. Pas bij een test blijkt of de bestanden compleet zijn, of het terugzetten uren of dagen duurt en of iemand nog weet hoe het moet. Een proefherstel van een paar mappen of één systeem per kwartaal geeft al veel inzicht.
Let daarbij op een detail dat bij ransomware vaak misgaat. Aanvallers zoeken actief naar back-ups om ook die te versleutelen. Een goede opzet houdt daarom minimaal één kopie gescheiden van het netwerk, zodat die niet met de rest kan worden aangetast. De bekende 3-2-1-regel helpt: drie kopieën, op twee soorten opslag, waarvan één buiten het eigen netwerk.
Wat staat er in een herstelplan?
Een herstelplan hoeft geen dik document te zijn. Voor een mkb-bedrijf volstaan vaak een paar pagina’s, zolang ze actueel zijn en iedereen weet waar ze liggen. Neem in elk geval het volgende op:
● Prioriteiten: welke systemen eerst terug moeten en welke kunnen wachten.
● Rollen: wie besluit, wie de IT-partner belt en wie klanten en medewerkers informeert.
● Contactgegevens: op papier of offline beschikbaar, want bij een storing is je mail misschien niet bereikbaar.
● Noodwerkwijze: hoe je de belangrijkste processen een paar dagen handmatig of op een andere manier draaiende houdt.
Herstel hoort bij beveiliging
Een herstelplan staat niet los van de rest van je beveiliging. Hoe beter je aanvallen tegenhoudt met bijvoorbeeld meervoudige authenticatie, e-mailfiltering en bewaking van laptops, hoe kleiner de kans dat je het plan ooit nodig hebt. Wie de IT-beveiliging van werkplekken en de back-up als één geheel inricht, voorkomt dat er gaten tussen zitten.
Ook regelgeving wijst die kant op. De Europese NIS2-richtlijn vraagt organisaties in vitale en belangrijke sectoren om bedrijfscontinuïteit, back-upbeheer en herstel na incidenten aantoonbaar te regelen. Val je er zelf niet onder, dan kan een grote klant of opdrachtgever er toch naar vragen.
Van geruststelling naar zekerheid
Een back-up hebben is een goed begin, maar het is de helft van het verhaal. Weet wat er geback-upt wordt, spreek af hoe snel je weer moet draaien en test het herstel regelmatig. Leg dat vast in een kort plan en loop het één keer per jaar door. Dan is “we hebben een back-up” niet langer een geruststelling, maar een antwoord waar je op kunt bouwen.