De 3-2-1-back-upregel uitgelegd (en waarom OneDrive geen back-up is)

Bijna elke zaakvoerder die we spreken, zegt hetzelfde: 'Onze bestanden staan in OneDrive, dus we hebben een back-up.' Begrijpelijk, maar fout. Synchronisatie en back-up lijken op elkaar, maar ze beschermen tegen andere dingen. Het verschil merk je pas op de dag dat je iets terug nodig hebt, en dat is een slecht moment om het te ontdekken. Hieronder: waarom synchronisatie geen back-up is, wat de 3-2-1-regel inhoudt en hoe je test of je back-up echt werkt.

Waarom OneDrive geen back-up is

OneDrive, Google Drive en Dropbox doen precies wat ze beloven: een bestand heeft op al je toestellen dezelfde versie. Handig om samen te werken, maar elke wijziging wordt dus overal doorgevoerd. Ook de wijzigingen die je liever niet had gehad.

• Verwijder je per ongeluk een map, dan verdwijnt ze binnen enkele seconden ook in de cloud en op de laptop van je collega. De synchronisatie doet gewoon haar werk.
• Versleutelt ransomware de bestanden op één werkstation, dan worden de versleutelde versies netjes mee gesynchroniseerd naar iedereen.
• De prullenbak en de versiegeschiedenis helpen, maar alleen binnen een beperkte termijn en bestand per bestand. Wie een probleem pas na weken opmerkt of duizenden bestanden moet terugzetten, komt er niet ver mee.

Een back-up is iets anders: een aparte kopie, op een aparte plek, die niet meeverandert met wat er op je werkstations gebeurt. Die afstand laat je toe om terug te keren naar een moment vóór de fout. Hoe je merkt dat er al iets misgelopen is, lees je in Is mijn bedrijf al gehackt?.

De 3-2-1-regel in mensentaal

De 3-2-1-regel is een oude vuistregel die nog altijd overeind staat: simpel om te onthouden, streng genoeg voor de meeste rampen.

• Drie kopieën van je gegevens: de versie waarmee je werkt, plus twee back-ups. Eén back-up is geen back-up, want ook back-ups gaan stuk.
• Twee soorten media: bijvoorbeeld een NAS in je kantoor en een cloudback-up. Faalt het ene type door een defect of een softwarefout, dan blijft het andere over.
• Eén kopie buiten de deur: op een andere locatie, offline of onveranderbaar. Brand, diefstal of ransomware die je hele netwerk bereikt, mogen die laatste kopie niet raken.

Dat laatste punt is vandaag het belangrijkste. Ransomware zoekt actief naar back-ups die via het netwerk bereikbaar zijn en versleutelt die eerst. Een kopie die niemand kan aanpassen of wissen, ook geen beheerder, is je echte vangnet. Vraag je leverancier naar een 'onveranderbare' of 'immutable' back-up.

Wat back-up je, hoe vaak en hoe lang?

Een bedrijf van vijftien medewerkers heeft zelden nog een serverkast, maar wel verrassend veel plekken waar data leeft:

• Microsoft 365 of Google Workspace: mailboxen, SharePoint, Teams en OneDrive. Microsoft en Google bewaren je data, maar beschermen je niet tegen eigen verwijderingen of een gekaapt account. Daar bestaat aparte back-upsoftware voor.
• Boekhouding en ERP: draait het lokaal, dan hoort de database in de back-up. In de cloud? Vraag je leverancier wat hij bewaart en hoe je een export krijgt.
• Server of NAS: alles wat er gedeeld op staat. Een NAS is een goede eerste back-uplocatie, maar kan zelf ook uitvallen.
• Werkstations van sleutelfiguren: de laptop van de zaakvoerder of de boekhouder bevat vaak bestanden die nooit op de gedeelde schijf beland zijn.
• Je website of webshop: bestanden én database, los van wat je hostingpartij belooft.

Hoe vaak en hoe lang hangt af van twee zakelijke vragen die jij beter kunt beantwoorden dan je IT'er. Hoeveel werk mag je verliezen? Draait je back-up elke nacht, dan ben je bij een probleem om 16 uur een werkdag kwijt. Hoe lang mag je stilliggen? Terugzetten uit de cloud kan bij grote hoeveelheden uren tot dagen duren; is dat te lang, dan heb je ook een snelle lokale kopie nodig. En omdat ransomware soms pas weken later opvalt, wil je ook wekelijkse en maandelijkse herstelpunten, niet alleen de laatste versie. Schrijf die antwoorden op: het zijn de afspraken die je IT-partner nodig heeft.

De testvraag: wanneer heb je voor het laatst iets teruggezet?

Hier wordt het tijdens een cyberscan meestal stil. Een back-up die draait, is niet hetzelfde als een back-up die werkt. We zien back-ups die al maanden op een fout stoten zonder dat iemand de melding leest, en back-ups waarin net de belangrijkste map ontbreekt. Een klein testplan volstaat:

1. Zet elk kwartaal één bestand en één volledige map terug op een andere plek. Controleer of alles er is en of het opent.
2. Zet één keer per jaar een volledige mailbox of werkstation terug, liefst op een testtoestel. Klok hoe lang het duurt en vergelijk met wat je aanvaardbaar vond.
3. Kijk na wie de meldingen van de back-upsoftware krijgt en of die gelezen worden. Een mailbox die niemand opent, is geen bewaking.
4. Noteer datum, resultaat en wie het deed. Die notities zijn goud waard voor je cyberverzekering en NIS2.

Wat kost dat aan tijd, en wat doet een IT-partner?

Eenmalig: een halve dag om de inventaris te maken, de afspraken vast te leggen en de back-up in te stellen. Daarna een paar uur per kwartaal voor de tests en de meldingen. Als IT-partner nemen wij dat werk uit handen en maken we er een routine van: back-ups dagelijks bewaken, hersteltests inplannen en documenteren, en de opzet aanpassen als je bedrijf verandert. Wat we vooral toevoegen is niet de software, maar de zekerheid dat iemand ernaar kijkt.