Backup is geen recovery: waarom je herstelvermogen moet testen

De backup-illusie

Uit het Veeam Data Protection Trends Report 2024 blijkt dat 75 procent van de organisaties het afgelopen jaar minstens één serieus dataverlies heeft meegemaakt. Tegelijk heeft vrijwel iedere organisatie een backup-oplossing draaien. Hoe past dat bij elkaar?

Een backup is iets anders dan recovery. Een backup is een kopie. Recovery is het bewezen vermogen om snel weer aan het werk te gaan als het misgaat. Dat onderscheid wordt in de dagelijkse praktijk zelden zichtbaar, totdat het echt nodig is.

RPO en RTO: bereid je voor

Als je herstelvermogen serieus neemt, ontkom je niet aan RPO en RTO. Deze twee getallen bepalen of je organisatie morgen nog operationeel is na een incident. En toch zijn ze in veel organisaties nooit afgestemd met de operatie. IT kiest een getal dat technisch haalbaar voelt, de operatie weet niet beter, en pas bij het eerste echte incident blijkt dat de RTO van 24 uur in de praktijk 5 werkdagen is.

Deze twee getallen bepalen of je organisatie morgen nog operationeel is na een incident. En toch zijn ze in veel organisaties nooit afgestemd met de operatie. IT kiest een getal dat technisch haalbaar voelt, de operatie weet niet beter, en pas bij het eerste echte incident blijkt dat de RTO van 24 uur in de praktijk 5 werkdagen is.

Waarom recovery zelden wordt getest

Een fatsoenlijke test kost tijd, vraagt planning en soms ook downtime. Het voelt veilig om te zeggen: ‘we weten dat het werkt, we testen wel als het nodig is’.

Maar dat moment komt altijd op een ander tijdstip dan je hoopt. Met meer stress, minder mensen en zonder tweede kans. Een mislukte test in een gecontroleerde omgeving is ongemakkelijk. Een mislukte test tijdens een echt incident legt je bedrijf stil.

Maak het ransomware-operators moeilijk

Moderne ransomware-operators weten precies waar jouw backups staan. Dat is hun eerste doel. Als je backups op hetzelfde netwerk staan, met dezelfde inlogaccounts, dan zijn ze even kwetsbaar als de rest.

Het Sophos State of Ransomware 2024-rapport laat jaar na jaar dezelfde patronen zien: van de organisaties die losgeld betaalden, kreeg minder dan een derde alle data terug. De betaling is geen herstelplan. De backup is dat dus ook niet, tenzij hij geïsoleerd en onveranderbaar is.

Van backup naar dataweerbaarheid

Dataweerbaarheid is meer dan kopieën maken. Het is weten waar je kritieke data staat, welke RPO en RTO daarbij horen, hoe snel je echt kunt herstellen en wie dat doet. Het is aantoonbaar maken dat je organisatie een cyberincident doorstaat, in plaats van vertrouwen hebben dat het wel goed komt.

In die verschuiving zit meteen de kern van NIS2. Toezichthouders van deze richtlijn vragen straks niet of je een backup hebt. Ze vragen of je kunt aantonen dat je kunt herstellen. Een andere vraag, met een ander soort antwoord.

Begin met het testen van één systeem

Je hoeft niet morgen je hele infrastructuur om te gooien. Kies één kritiek systeem. Plan een restore-test in. Voer hem uit. Noteer hoe lang het duurt, wat er haperde, wie erbij nodig was. Volgend kwartaal doe je dezelfde test met een volgend systeem, of met hetzelfde, om te zien of je RTO naar beneden gaat. De kans is groot dat er iets misgaat tijdens deze testen. Dat is precies de reden waarom je ze doet.

Je data is de ruggengraat van je bedrijfsvoering. Je herstelvermogen bepaalt of je morgen gewoon weer openstaat voor klanten of dat je wekenlang bezig bent met schade herstellen. Begin met testen, zo snel mogelijk.