De 3-2-1 back-upregel uitgelegd: Is uw data echt veilig?

De meeste ondernemers gaan ervan uit dat er een back-up van hun gegevens is gemaakt omdat iemand ooit een back-up heeft ingesteld. Weinigen kunnen echter vertellen waar die back-ups staan, hoe vaak ze worden uitgevoerd of of ze ooit zijn getest. Dat gat is precies wat de 3-2-1 back-upregel moet dichten.

Dit is wat de 3-2-1 back-upregel echt betekent en hoe u kunt zien of uw bedrijf deze daadwerkelijk volgt of dat u er alleen maar vanuit gaat.

Wat is de 3-2-1 back-upregel?

De 3-2-1 back-upregel is een eenvoudige standaard voor zakelijke gegevensback-up die al decennia standhoudt omdat deze rekening houdt met de manieren waarop back-ups in de praktijk falen:

• 3 kopieën van uw data. Het origineel, plus minstens twee back-ups. Eén kopie is geen back-up, het is een ‘single point of failure’.
• 2 verschillende opslagtypen. Bijvoorbeeld een lokale server en cloudopslag. Als het ene opslagtype faalt of gecompromitteerd raakt, zal het andere dat waarschijnlijk niet zijn.
• 1 kopie offsite. Een offsite back-up biedt bescherming tegen brand, overstroming, diefstal of ransomware die zich over uw lokale netwerk verspreidt.

Waarom de 3-2-1 back-upregel nog steeds essentieel is tegen ransomware

Moderne ransomware versleutelt niet alleen uw actieve bestanden, maar zoekt actief naar verbonden back-upschijven en netwerkshares om ook die te versleutelen. Een back-up die zich op hetzelfde netwerk bevindt als de systemen die hij beschermt, kan bij dezelfde aanval worden uitgeschakeld.

Dit is precies waarom het offsite-gedeelte van de regel vandaag de dag veel belangrijker is dan jaren geleden. Een offsite back-up, losgekoppeld van uw hoofdnetwerk, is een van de weinige dingen die ransomware echt niet kan bereiken.

Hoe u zakelijke data op de juiste manier back-upt

In de praktijk ziet een 3-2-1 opstelling voor een klein bedrijf er vaak zo uit: uw actieve bestanden op een lokale server of werkstation, een tweede kopie op een Network Attached Storage (NAS) apparaat of externe schijf, en een derde kopie gesynchroniseerd met een cloud back-updienst. Cloud back-up voldoet van nature aan zowel de vereiste van het “verschillende opslagtype” als de “offsite” vereiste, wat verklaart waarom de meeste moderne back-upstrategieën hier zwaar op leunen.

Is uw data echt veilig? De vragen die u moet stellen

Een 3-2-1 back-upregel is slechts zo sterk als de zwakste schakel in de uitvoering. Stel uzelf deze vragen over uw huidige back-upstrategie:

• Heeft er de afgelopen drie maanden daadwerkelijk iemand geprobeerd een bestand uit de back-up te herstellen?
• Zouden uw back-ups het overleven als uw kantoor vannacht zou overstromen of afbranden?
• Als ransomware nu uw hoofdserver zou treffen, zou de back-up dan ook worden versleuteld?
• Krijgt er iemand een melding wanneer een back-up mislukt, of faalt deze geruisloos?

Als een van deze antwoorden u ongerust maakt, ligt dat niet aan de regel, maar aan de uitvoering ervan.

Hoe dit past in uw bredere IT-omgeving

Back-ups zijn een onderdeel van een groter geheel op het gebied van continuïteit. Ze sluiten direct aan op wat wordt behandeld in onze gids over het bouwen van een bedrijfscontinuïteitsplan rond uw IT, en op de dagelijkse risico’s die worden besproken in hoeveel digitale branden er op dit moment in uw bedrijf woeden.

Voor meer achtergrondinformatie over back-upstandaarden zijn CISA’s best practices voor cybersecurity en de algemene achtergrond over back-upmethoden beide betrouwbare bronnen.

Veelgestelde vragen

Wat is de 3-2-1 back-upregel?

Drie kopieën van uw data, op twee verschillende opslagtypen, met één kopie offsite opgeslagen.

Is cloudopslag op zichzelf voldoende voor de 3-2-1 regel?

Cloudopslag kan tellen als uw offsite en tweede opslagtype, maar u heeft nog steeds een aparte lokale of extra kopie nodig om aan alle drie de onderdelen van de regel te voldoen.

Hoe vaak moeten zakelijke back-ups worden getest?

Minstens elk kwartaal. Een back-up die nooit is hersteld, is ongetest, en ongeteste back-ups falen vaker dan verwacht.

Veelgestelde vragen

Wat is de 3-2-1 back-upregel?

Drie kopieën van uw data, op twee verschillende opslagtypen, met één kopie offsite opgeslagen.

Is cloudopslag op zichzelf voldoende voor de 3-2-1 regel?

Cloudopslag kan tellen als uw offsite en tweede opslagtype, maar u heeft nog steeds een aparte lokale of extra kopie nodig om aan alle drie de onderdelen van de regel te voldoen.

Hoe vaak moeten zakelijke back-ups worden getest?

Minstens elk kwartaal. Een back-up die nooit is hersteld, is ongetest, en ongeteste back-ups falen vaker dan verwacht.