Je back-up testen: zo doe je een herstelproef

Waarom is de melding “back-up geslaagd” niet genoeg?

Back-upsoftware laat weten of een back-up is gemaakt. Dat zegt nog niets over wat je er straks uit terugkrijgt. Het NCSC (het Nationaal Cyber Security Centrum) wijst erop dat je zonder test pas merkt dat er al een tijd iets misgaat op het moment dat je de back-up echt nodig hebt. Een herstelproef haalt dat moment naar voren, naar een dag waarop je er rustig voor kunt gaan zitten.

Welke soorten test onderscheidt het NCSC?

Het NCSC beschrijft op zijn pagina over het testen van een back-up twee niveaus: een technische test en een functionele test.

De technische test

Bij de technische test kijk je of de back-upsoftware meldt dat de back-up is gelukt. Daarnaast voer je in de software een herstelactie uit en controleer je of die slaagt. Beide stappen zijn vaak te automatiseren. Doe je dat, dan moet je blijven controleren of ze technisch slagen, zodat je niet pas bij echt gebruik ontdekt dat er al langer iets misgaat.

De functionele test

Bij de functionele test herstel je een volledige back-up en probeer je bedrijfsprocessen uit, om te zien of je weer kunt werken. Het NCSC schrijft dat zo’n test aanzienlijk meer tijd kost, maar je wel de zekerheid geeft dat je echt weer aan de slag kunt. Wat je precies doet, hangt af van wat je hebt geback-upt:

• Bestanden: open een aantal teruggezette bestanden en kijk of de inhoud klopt.
• Systemen of toepassingen: start een systeem of toepassing en voer er een gewone handeling mee uit.
• Een bedrijfsproces: neem bijvoorbeeld je boekhoudpakket. Start het op, log in en open een boeking van vorige maand.

Een bijkomend voordeel, dat ook het NCSC noemt: je controleert meteen of je de juiste dingen back-upt en niets bent vergeten. Ontbreekt er bijvoorbeeld een map, dan weet je dat nu en niet pas na een aanval.

Zo doe je een herstelproef in zes stappen

1. Kies wat je test. Neem de gegevens waar je bedrijf niet zonder kan, zoals je boekhouding en klantbestanden, en kies een paar bestanden en één systeem of toepassing.
2. Plan een rustig moment. Herstel naar een aparte plek, zodat je de gegevens waarmee je werkt niet overschrijft.
3. Scan de back-up op malware voordat je herstelt. Het NCSC beschrijft deze stap in zijn incidentresponsplan voor ransomware, voor het herstel na een aanval: de aanvallers zijn mogelijk al langere tijd in het netwerk, waardoor malafide bestanden in de back-ups terecht kunnen zijn gekomen. Wij raden aan om deze stap in de oefening mee te nemen.
4. Doe de technische test. Controleer of de software succes meldt en voer een herstelactie uit.
5. Doe de functionele test. Open teruggezette bestanden, start een systeem of toepassing en probeer een bedrijfsproces uit.
6. Leg het resultaat vast. Noteer hoe lang het duurde, wat niet werkte en wie wat deed. Volgens het NCSC blijkt pas uit een restore-test van een heel volume of systeem wat realistische hersteltijden zijn. Los wat misging op en plan de volgende proef.

Hoe vaak doe je een herstelproef?

Het NCSC noemt geen vaste frequentie. Het adviseert wel om een back-up periodiek te herstellen en van testen een routine te maken, zoals je ook een brandoefening houdt.

Ons advies als HAN-IT is om minstens eens per jaar een herstelproef met een functionele test te doen, en vaker voor gegevens waar je bedrijf niet zonder kan. Dat advies komt van HAN-IT en niet van het NCSC.

De technische controle kun je vaak automatiseren. Het NCSC raadt aan om back-ups en hersteltests te automatiseren en daarna de resultaten te blijven controleren. Over de back-ups zelf adviseert het NCSC om te beschikken over een goede rapportage waarmee je, het liefst dagelijks, nagaat of ze daadwerkelijk draaien. Heb je de IT uitbesteed, dan blijft het volgens het NCSC belangrijk dat je als ondernemer die rapportages ontvangt en controleert.

Waarom hoort er een kopie offline bij?

Geavanceerde ransomware kan volgens het NCSC naast lokale IT-systemen ook harde schijven, databases en back-ups versleutelen. Het NCSC adviseert om een back-up niet met je computer verbonden te houden, omdat ransomware hem anders ook kan versleutelen. Ook voor netwerken geeft het NCSC een richting: probeer in grotere omgevingen, waar mogelijk, het back-upnetwerk en het productienetwerk te scheiden, omdat aanvallers veel energie steken in het versleutelen van ook de back-ups.

Met goede, recente, offline back-ups blijft de schade van ransomware volgens het NCSC minimaal. Ons advies als HAN-IT: zorg voor een recente kopie die los staat van je netwerk en test ook die kopie, want die heb je bij een aanval nodig.

In het incidentresponsplan raadt het NCSC verder aan om back-ups of back-upmedia offline en off-site op te slaan, online en offline back-ups niet met dezelfde accounts bereikbaar te maken en daarvoor andere accounts te gebruiken dan de standaard beheeraccounts, inclusief meervoudige verificatie. Lees meer over meervoudige verificatie. Wat de 3-2-1-regel inhoudt, lees je in het artikel over de 3-2-1 back-upregel.

Controlelijst: vijf vragen over je herstelproef

1. Wanneer heb je voor het laatst echt iets teruggezet, zowel bestanden als een systeem of toepassing?
2. Kon je na het terugzetten weer werken met je belangrijkste bedrijfsproces, en weet je hoe lang het duurde?
3. Draaien je back-ups (en waar mogelijk je hersteltests) automatisch, en bekijkt iemand de rapportage, liefst dagelijks?
4. Staat er een recente kopie offline of los van je netwerk, en heb je ook die kopie getest?
5. Weet je wie wat doet bij een herstel, en wordt een back-up eerst op malware gescand voordat je hem terugzet?