De 3-2-1 back-upregel voor mkb-bedrijven

Wat betekent 3-2-1?

Het NCSC beschrijft de 3-2-1-regel in zijn adviezen over back-ups. De regel heeft drie onderdelen:

• 3 kopieën van je gegevens: het origineel en twee back-ups.
• 2 soorten opslag, bijvoorbeeld een externe schijf en cloudopslag. Elke soort kent eigen risico’s, zodat de kans kleiner is dat één oorzaak beide back-ups raakt. Het NCSC merkt op dat fysieke en digitale opslag verschillende risico’s hebben.
• 1 kopie op een andere locatie, zodat bijvoorbeeld een brand op kantoor niet alles meeneemt.

De regel wordt ook buiten Nederland gebruikt. Het document Data Backup Options, dat Carnegie Mellon University in 2012 opstelde voor US-CERT (een Amerikaanse overheidsorganisatie), beschrijft hem al: één primaire kopie, twee back-ups, twee soorten media en één kopie buiten je woning of bedrijfspand. Als bron noemt dat document het boek The DAM Book van Peter Krogh (tweede druk, 2009).

Waarom is 3-2-1 alleen niet genoeg tegen ransomware?

Een back-up helpt pas als hij heel blijft. Het NCSC schrijft dat geavanceerde ransomware ook back-ups, USB-sticks en gegevens in de cloud kan versleutelen. In een bericht van 14 april 2025 over onderzoek naar meer dan 500 ransomware-incidenten bij mkb-bedrijven tussen 2019 en 2023 staat dat aanvallers die in een netwerk zitten, bewust naar back-ups zoeken en ze verwijderen. Alleen een back-up hebben is dan niet genoeg: hij moet ook beschermd zijn tegen aanpassing door onbevoegden in je netwerk. De onderzoeker, een specialist cybercriminaliteit bij de politie, noemt offline back-ups daarvoor de meest eenvoudige oplossing. Onder de maatregelen in hetzelfde bericht adviseert het NCSC goed beveiligde of offline back-ups.

Hoe vaak back-ups ontbreken of onregelmatig gebeuren, laten twee bronnen zien. Volgens het NCSC-jaarbeeld over ransomware in 2023, dat gaat over Nederlandse bedrijven en organisaties met meer dan 100 medewerkers, had 58 procent van de slachtoffers geen back-up (NCSC, bericht van 23 februari 2024). Voor kleinere bedrijven geeft de Benchmark van het Digital Trust Center uit 2023 dit beeld, volgens hetzelfde bericht: 32 procent van de zzp’ers en 23 procent van de kleine mkb-bedrijven (tot 25 medewerkers) maakt niet regelmatig (dagelijks of wekelijks) een back-up van de belangrijkste bedrijfsgegevens, of weet niet of dat gebeurt.

Zo maak je 3-2-1 bestand tegen aanvallers

• Houd één kopie losgekoppeld. Haal een externe schijf na de back-up van het netwerk af. Het NCSC adviseert back-ups niet met de computer verbonden te houden, omdat ransomware ze anders mee kan versleutelen.
• Scheid het back-upsysteem van je werknetwerk en beperk wie erbij mag. Het NCSC adviseert back-ups gescheiden te houden van het productienetwerk.
• Versleutel de back-ups en beveilig ze met een wachtwoord, zodat een gestolen schijf onleesbaar blijft.
• Zet er een datum op. Zo is de kans kleiner dat je per ongeluk een besmette versie terugzet.

Is Microsoft 365 niet al een back-up?

Microsoft spreekt van een gedeelde verantwoordelijkheid. In de uitleg op Microsoft Learn blijft de klant bij elke vorm van clouddienst verantwoordelijk voor zijn gegevens, accounts en instellingen. Microsoft noemt Microsoft 365 daar als voorbeeld van SaaS (software als dienst): Microsoft beheert datacenters, netwerk en de onderliggende systemen, jij blijft verantwoordelijk voor je gegevens.

Er zit wel herstel ingebouwd. Microsoft beschrijft in zijn uitleg over ransomwarebescherming onder meer dit:

• Een verwijderd bestand in SharePoint of OneDrive kun je 93 dagen uit de prullenbak terughalen.
• SharePoint en OneDrive bewaren standaard minstens 500 versies van een bestand.
• Met bestandsherstel (File Restore) haal je bestanden uit de afgelopen 30 dagen terug.
• Verwijderde mail kun je standaard 14 dagen terughalen. Die termijn is in te stellen tot maximaal 30 dagen.

Dat helpt bij een bestand dat per ongeluk is verwijderd. Het NCSC wijst erop dat een per ongeluk verwijderd bestand vaak pas maanden later wordt opgemerkt. Merk je na een half jaar dat een map is verwijderd, dan is de prullenbak van 93 dagen voorbij. Een deel van de termijnen is in te stellen, dus controleer wat er bij jou geldt.

Microsoft adviseert zelf om Microsoft 365 Backup of een erkende partneroplossing daarop te overwegen, naast de ingebouwde voorzieningen. Houd er rekening mee dat Microsoft die oplossing zelf verkoopt. Microsoft waarschuwt ook dat sommige partneroplossingen je gegevens alleen naar een andere plek kopiëren en daardoor waarschijnlijk te weinig herstelsnelheid bieden na een ransomware-aanval. Ons advies: vraag een leverancier waar de kopie staat, hoe ver terug je kunt herstellen en hoe lang een herstel duurt. Over Microsoft 365 Backup schrijft Microsoft dat de gegevens de grens van Microsoft 365 niet verlaten. Of dat voor jou voldoet als ‘andere locatie’ in de 3-2-1-regel, is een afweging die je met je IT-partner maakt.

Hoe vaak, hoe ver terug en hoe snel?

In zijn uitleg over een back-upstrategie noemt het NCSC drie punten om vooraf te bepalen:

• Hoeveel werk kun je missen? Dat bepaalt hoe vaak je een back-up maakt. Het NCSC noemt dit het herstelpunt (RPO). Maak je elke nacht een back-up, dan ben je bij een storing tot een dag werk kwijt.
• Hoe snel moet alles weer werken? Dat is de hersteltijd (RTO). Stel prioriteiten: lopende projecten komen eerder terug dan het archief.
• Hoe ver terug wil je kunnen? Dat is de retentie, ook wel bewaartermijn. Een langere termijn kost meer opslag. Vraag je boekhouder of een jurist welke wettelijke bewaarplichten voor jou gelden.

Bestanden of het hele systeem?

Het NCSC onderscheidt een bestandskopie en een systeemkopie. Een bestandskopie bewaart alleen je bestanden. Een systeemkopie is een één-op-één kopie van de hele schijf, waarmee je bestanden, instellingen en programma’s kunt herstellen. Gaat er hardware kapot, bijvoorbeeld een harde schijf, dan is volgens het NCSC het terugzetten van een systeemkopie nodig: alleen de bestanden terugzetten volstaat niet. Cloudopslag die je bestanden direct kopieert, noemt het NCSC in zekere zin geen back-up: een verwijderd bestand verdwijnt ook uit de cloud, zodat je niet terug in de tijd kunt.

Zo pas je 3-2-1 toe in je bedrijf

1. Maak een lijst van wat je niet kwijt wilt raken: projectbestanden, boekhouding, klantgegevens, mail en website.
2. Leg vast hoeveel werk je kunt missen en hoe snel alles weer moet werken.
3. Kies per onderdeel twee soorten opslag en één andere locatie. In de 3-2-1-regel telt het origineel als eerste kopie, ook als dat in Microsoft 365 staat. De twee back-ups komen daar bovenop.
4. Houd minstens één kopie losgekoppeld van je netwerk, versleuteld en voorzien van een datum.
5. Laat back-ups automatisch draaien en controleer de meldingen, liefst dagelijks. Heb je de IT uitbesteed, vraag dan om de rapportages en lees ze.
6. Test periodiek of terugzetten lukt en leg vast wie wat doet als het misgaat. Hoe je dat aanpakt, lees je in het artikel over de herstelproef.