De 3-2-1 back-upregel in de praktijk: zo maak je een back-up die ransomware overleeft
De 3-2-1-regel betekent: drie kopieën van je gegevens, op twee verschillende soorten opslag, waarvan één op een andere locatie. Tegen ransomware is daarnaast belangrijk dat minstens één kopie geïsoleerd of onwijzigbaar (immutable) is, zodat een aanvaller of een fout van een beheerder hem niet kan wissen. Synchronisatie met OneDrive of SharePoint is geen volwaardige back-up: verwijderde of versleutelde bestanden worden net zo goed gesynchroniseerd. En een back-up is pas iets waard als herstel aantoonbaar is getest.
Dit artikel hoort bij het thema Cloud- en back-upbeheer, onderdeel van ICT-beveiliging voor het MKB.
De regel in gewone taal
| Onderdeel | Betekenis | Voorbeeld |
|---|---|---|
| 3 kopieën | Het origineel plus twee back-ups. | Bestanden in Microsoft 365, plus twee aparte back-ups. |
| 2 soorten opslag | Niet alles op hetzelfde type systeem. | Een cloudback-updienst en een lokale NAS of tape. |
| 1 op een andere locatie | Minstens één kopie buiten het kantoor of netwerk. | Een back-up bij een externe dienst in een ander datacenter. |
Veel IT-partners breiden dit uit tot 3-2-1-1-0: één kopie is daarnaast offline of onwijzigbaar, en bij hersteltests treden 0 fouten op. Dat is een gangbare praktijkuitbreiding, geen officiële norm.
Synchronisatie is geen back-up
Cloudsynchronisatie zorgt dat bestanden overal beschikbaar zijn. Wordt een bestand versleuteld of verwijderd, dan gebeurt dat ook in de cloud. Prullenbak en versiegeschiedenis helpen, maar hebben een beperkte bewaartijd en vallen onder dezelfde accounts. Wie die accounts overneemt, kan ook die vangnetten leegmaken.
Norm en bron
- CIS Controls v8, safeguard 11.4: houd een geïsoleerde kopie van herstelgegevens aan, bijvoorbeeld offline, in de cloud of op een andere locatie.
- CIS Controls v8, safeguard 11.5: test het herstel elk kwartaal of vaker voor een steekproef van systemen.
- NCSC: adviseert organisaties regelmatig back-ups te maken, deze gescheiden te bewaren en herstel te oefenen.
ICTklaar-richtlijn
Dit is eigen advies van ICTklaar, gebaseerd op bovenstaande bronnen. Het is geen wettelijke eis.
- Maak een aparte back-up van Microsoft 365 of Google Workspace, naast de synchronisatie.
- Zorg dat minstens één kopie onwijzigbaar is of buiten het netwerk staat, met een bewaartermijn die past bij hoe laat je een aanval mogelijk ontdekt (bijvoorbeeld 30 dagen of langer).
- Gebruik voor het back-upsysteem aparte inloggegevens met MFA, los van de gewone beheeraccounts.
- Leg vast hoeveel gegevensverlies acceptabel is en hoe snel systemen terug moeten zijn.
- Doe periodiek een kleine hersteltest en minimaal halfjaarlijks een functionele hersteltest van een bedrijfskritisch systeem.
- Laat je IT-partner na elke hersteltest een kort verslag maken met datum, wat is hersteld en hoe lang het duurde.
Aantoonbaar bewijs
| Onderwerp | Claimed | Verified |
|---|---|---|
| Aparte kopie | "Alles staat in de cloud." | Overzicht van back-uplocaties, wat er wordt geback-upt en bewaartermijnen. |
| Onwijzigbaar | "De back-up is veilig." | Screenshot of export van de immutability-instelling, met datum. |
| Aparte toegang | "Alleen IT kan erbij." | Overzicht van accounts met toegang tot het back-upsysteem en MFA-status. |
| Herstel | "Het groene vinkje staat aan." | Verslag van een recente hersteltest met datum en hersteltijd. |
Veelgestelde vragen
Is OneDrive of SharePoint genoeg als back-up?
Nee. Het is synchronisatie met beperkte versiegeschiedenis onder dezelfde accounts. Een aparte back-up met eigen bewaartermijn en aparte toegang is nodig.
Wat betekent immutable?
Dat een kopie gedurende een vaste periode niet kan worden gewijzigd of verwijderd, ook niet met beheerrechten.
Is een externe harde schijf voldoende?
Alleen als die na de back-up echt wordt losgekoppeld en op een andere plek wordt bewaard. Een schijf die altijd aangesloten blijft, kan mee versleuteld worden.
Hoe vaak moet ik herstel testen?
CIS adviseert elk kwartaal of vaker een steekproef. ICTklaar adviseert daarnaast minimaal halfjaarlijks een functionele test van een bedrijfskritisch systeem.