Definitie
Een back-up is een kopie van data of een heel systeem, opgeslagen op een andere locatie of medium, met als doel: herstellen wanneer het origineel verdwijnt of beschadigd raakt. Het gaat om kopieen van bestanden, databases, e-mail, virtuele servers en de configuratie van applicaties. Een goede back-up is geen losse exportknop ergens, maar een automatisch en geverifieerd proces.
De gangbare 3-2-1 vuistregel: drie kopieen van de data, op twee verschillende soorten opslag, waarvan minimaal een buiten de eigen locatie. Synchronisatie tussen mappen (zoals OneDrive of Dropbox) is geen back-up: als de bron beschadigd of versleuteld raakt, gaat de fout direct mee naar de andere kant.
Waarom het ertoe doet voor MKB
Voor MKB-bedrijven is een back-up de laatste verdedigingslinie tegen ransomware, defecte hardware, foutieve handelingen (“ik heb per ongeluk de hele klantenmap weggegooid”) en leverancierfaillissementen. Zonder werkende back-up is een ransomware-aanval in het beste geval een week stilstand en in het slechtste geval einde bedrijf. De cijfers liegen niet: een aanzienlijk percentage van bedrijven zonder herstelplan haalt het jaar na zo’n incident niet.
De praktische impact zit niet alleen in het maken van back-ups, maar vooral in het regelmatig testen of herstel ook echt werkt. Veel bedrijven ontdekken pas tijdens een crisis dat de back-up al maanden niet meer draait of dat niemand weet hoe de restore-procedure werkt. Dat is dan een dure ontdekking.
Concreet voorbeeld
Een administratiekantoor met 18 medewerkers werkt met een centrale fileserver, een online boekhoudpakket en Microsoft 365. Een medewerker opent een phishing-bijlage, ransomware versleutelt binnen 90 minuten de fileserver inclusief de gedeelde mappen waar 14 jaar dossiers staan.
Doordat het kantoor draait met een back-upoplossing die elk uur snapshots maakt en die naar een tweede locatie repliceert (€220 per maand, ongeveer €1.500 setup), wordt het hele systeem teruggezet vanaf de snapshot van twee uur voor de besmetting. Totale stilstand: 6 werkuren. Verloren werk: bijna niets. Zonder die back-up had het kantoor weken in nood gezeten met onzekere uitkomst.
Misverstanden en valkuilen
- “Onze data staat in de cloud, dus we hoeven geen back-up te maken.” Cloudproviders garanderen beschikbaarheid van hun dienst, niet bescherming tegen eigen fouten of malware. Microsoft 365, Google Workspace en de meeste SaaS-systemen verwachten dat de klant zelf voor back-up zorgt.
- “Een externe schijf in de kast is genoeg.” Als die schijf permanent aangesloten staat, versleutelt ransomware hem mee. Als hij eens per week wordt aangesloten, is de back-up gemiddeld dagen oud op het moment dat hij nodig is.
- “We hebben back-ups, dus we zijn veilig.” Zonder periodieke herstel-test weet je niet of de back-ups bruikbaar zijn. Minimaal twee keer per jaar een test-restore voorkomt onaangename verrassingen.
- “Back-up is iets technisch, dat regelt onze IT-leverancier.” Misschien, maar de bedrijfsverantwoordelijkheid blijft bij de directie. Vraag jaarlijks om een herstelrapportage en weet wat het herstelvenster is voor de belangrijkste systemen.
Wanneer moet je hiervan wakker liggen, wanneer niet
Wakker liggen: als jouw bedrijf operationeel afhankelijk is van digitale data en je niet kunt antwoorden op de vraag “wanneer is de laatste succesvolle restore-test gedaan en hoe lang duurt een volledige herstelactie”. Zonder dat antwoord neem je een risico dat de meeste verzekeraars inmiddels niet meer afdekken.
Niet wakker liggen: als er een actueel back-upbeleid is, herstel-tests regelmatig slagen en de back-up offsite of in een aparte cloud-tenant staat. Dan is het onderwerp onder controle en is energie beter besteed aan preventie en bewustzijn rond phishing.
Gerelateerde termen
- Encryption: back-ups horen versleuteld te zijn om datalekken via gestolen back-up-media te voorkomen.
- Cloud computing: de meest gebruikte locatie voor offsite back-ups.
- SLA: bevat doorgaans de afspraken over herstel-tijd en back-up-frequentie.
- SaaS: bij SaaS is back-up vaak de verantwoordelijkheid van de klant, niet van de leverancier.
- NIS2: stelt expliciete eisen aan herstelvermogen en back-up-strategie voor bedrijven die eronder vallen.
- Penetration testing: helpt zwakke plekken te vinden die back-ups uiteindelijk moeten kunnen opvangen.