De meeste MKB-bedrijven hebben een backup. Bijna niemand heeft getest of die backup ook daadwerkelijk werkt op het moment dat het ertoe doet. Dat onderscheid (backup versus disaster recovery-plan) is precies waar het misgaat als er iets misgaat.
Een backup is een kopie van je data. Een disaster recovery-plan is het antwoord op de vraag: hoe snel ben je weer operationeel, en met welk verlies? Dat zijn twee heel verschillende dingen, en het verschil wordt pas zichtbaar op het moment dat je het niet meer kunt gebruiken om te oefenen.
Vraag 1: Weet je hoe lang een recovery duurt?
Niet "een backup hebben we", maar: als je serveromgeving nu vastloopt, hoeveel uur duurt het dan voordat medewerkers weer kunnen werken? Veel bedrijven weten dit niet, omdat ze het nog nooit hebben getest onder realistische omstandigheden. Een backup die "ergens" staat, zonder geteste recoverytijd, is een aanname, geen plan. In vaktermen heet dit de RTO (Recovery Time Objective): de maximale tijd die een recovery mag kosten voordat het bedrijf schade oploopt.
Vraag 2: Hoeveel data ben je kwijt als het misgaat?
Als je laatste succesvolle backup van gisteravond is, en er gaat vandaag om 15:00 iets mis, ben je dan bereid een hele werkdag aan mutaties kwijt te raken? Dat is de RPO (Recovery Point Objective): hoeveel dataverlies acceptabel is. Voor de meeste bedrijven is het antwoord "eigenlijk niet", maar de backupfrequentie is daar nooit op afgestemd.
Vraag 3: Is je backup zelf ook een doelwit?
Ransomware richt zich tegenwoordig actief op backups, juist om een restore onmogelijk te maken en de druk op losgeld te verhogen. Een backup die vanaf dezelfde omgeving bereikbaar is als je productiedata, is geen vangnet. Onveranderlijke (immutable) opslag, gescheiden van je productieomgeving, is inmiddels de norm, geen luxe. Een onveranderbare kopie buiten je netwerk voorkomt dat. Lees hoe BCP Vault offsite backup dat in Nederland regelt.
Waarom dit zo vaak misgaat
Niet omdat bedrijven het niet belangrijk vinden, maar omdat een backup "gewoon draait" totdat hij nodig is, en dan blijkt dat niemand ooit heeft getest of het restoreproces ook echt werkt. Een test kost een paar uur. Een mislukte restore tijdens een incident kost dagen tot weken.
Wat je vandaag kunt doen
Vraag intern (of aan je IT-partner) concreet naar de RTO en RPO van je huidige backupstrategie, en wanneer voor het laatst een volledige restoretest is uitgevoerd. Geen antwoord op die vraag is zelf al het antwoord.
Bij BCP zetten we backup en disaster recovery op met Veeam, met periodieke restoretests als vast onderdeel: geen aanname, maar een geteste garantie. Werk je met Microsoft 365? Loop dan de Microsoft 365-backup checklist in 5 vragen door.
Werk je in de zorg, het onderwijs of de financiële sector? Check wat de Cyberbeveiligingswet van je backup vraagt.
