De 3-2-1 backup strategie: uw beste verdediging tegen ransomware

Het probleem: 'wij hebben toch een backup?'

Bijna elk bedrijf zegt dat ze backups hebben. In de praktijk blijkt bij een ransomware-aanval vaak dat de backups: (a) niet recent genoeg waren, (b) óók versleuteld zijn door de ransomware, (c) nooit getest zijn en niet blijken te werken, of (d) op dezelfde server staan als de originele data.

Moderne ransomware is slim. Het zoekt actief naar backup-bestanden en netwerkschijven en versleutelt die als eerste. Een externe harde schijf die altijd in de server hangt, is dus géén backup — die wordt gewoon mee-versleuteld.

De 3-2-1 regel uitgelegd

De gouden standaard voor backups is wereldwijd hetzelfde: de 3-2-1 regel. Deze regel werkt al decennia en is nog steeds de beste verdediging tegen dataverlies door ransomware, brand, diefstal of menselijke fouten.

• 3 — Bewaar minstens DRIE kopieën van uw data (origineel + 2 backups)
• 2 — Op TWEE verschillende soorten media (bijvoorbeeld: harde schijf én cloud)
• 1 — Met EEN kopie offsite (buiten het pand — bijvoorbeeld cloud of bij een bijkantoor)

Voor moderne ransomware: voeg een 0 en 1 toe

Sinds ransomware-aanvallen ook backups aanvallen, raden experts de aangepaste 3-2-1-1-0 regel aan:

• 1 (extra) — Eén kopie moet 'air-gapped' of onveranderbaar (immutable) zijn — niet te wijzigen of verwijderen door ransomware
• 0 — Nul fouten bij de backup-verificatie (controleer regelmatig of restoren ook écht werkt)

Hoe ziet dit er in de praktijk uit?

Een voorbeeld voor een MKB-bedrijf met 15 medewerkers:

• Kopie 1 (origineel): de bestanden waar mensen dagelijks mee werken op de server
• Kopie 2 (lokaal): dagelijkse backup naar een NAS in een aparte ruimte, alleen toegankelijk via aparte inloggegevens
• Kopie 3 (cloud, immutable): dagelijkse backup naar een cloud-dienst zoals Backblaze B2 of Veeam Cloud Connect, met 'object lock' aan zodat zelfs een crimineel de backups niet kan verwijderen
• Bewaartermijn: minimaal 30 dagen aan dagelijkse backups + maandelijkse archieven van 1 jaar

Test uw backup voordat u die nodig heeft

Een backup die nooit getest is, is geen backup — dat is wishful thinking. Plan minimaal één keer per kwartaal een restore-test: zet een willekeurig bestand terug en controleer of het werkt. Bij grotere systemen: doe één keer per jaar een complete disaster recovery oefening waarbij u een hele server vanaf nul herstelt naar tijdelijke hardware.

Veelgemaakte backup-fouten

Deze fouten zien we keer op keer bij bedrijven die met ransomware kampen:

• USB-schijf altijd in de server gestoken (wordt mee-versleuteld)
• Backup-software draait onder beheerdersaccount (ransomware gebruikt dat account om backups te verwijderen)
• Alleen Microsoft OneDrive of Google Drive als 'backup' (synchronisatie, geen versie-historie)
• Geen alarm wanneer backups falen (maandenlang niets gebackupt zonder dat iemand het merkt)
• Backup en origineel in hetzelfde gebouw (brand, diefstal, waterschade)