Wie is verantwoordelijk voor back-ups binnen uw bedrijf?

Een verwijderde map, een ransomwaremelding of een fout bij een website-update is vaak geen ramp door het incident zelf. Het wordt een ramp als niemand weet waar de gegevens staan, hoe oud de laatste kopie is en wie het herstel mag starten. Wie is verantwoordelijk voor back-ups binnen uw bedrijf? Het korte antwoord: de onderneming blijft eindverantwoordelijk. De praktische uitvoering kunt u wel bij een ICT-partner neerleggen, mits afspraken helder zijn.

Voor veel mkb-bedrijven ligt de oorzaak van problemen niet bij een gebrek aan techniek, maar bij onduidelijkheid. De hostingpartij bewaart misschien een kopie van de server. Microsoft 365 heeft ingebouwde bescherming. Een medewerker zet bestanden in de cloud. Dat klinkt geruststellend, maar het is nog geen aantoonbaar back-upplan. Als het misgaat, wilt u geen discussie over wat wel of niet inbegrepen was. U wilt uw werk gewoon snel hervatten.

Wie is verantwoordelijk voor back-ups?

De directie of eigenaar van een bedrijf draagt de eindverantwoordelijkheid voor bedrijfsgegevens. Denk aan offertes, administratie, klantgegevens, e-mail, tekeningen, agenda’s en de content van uw website. Die verantwoordelijkheid verdwijnt niet wanneer u software, cloudopslag of hosting afneemt bij een externe partij.

Dat betekent niet dat u zelf iedere nacht een kopie hoeft te maken. Bij de meeste organisaties is dat onpraktisch en foutgevoelig. U kunt het dagelijkse beheer, de monitoring en het herstellen prima uitbesteden. Maar u moet wel weten welke gegevens worden beveiligd, hoe vaak dat gebeurt, hoe lang kopieën blijven bestaan en wie handelt wanneer herstel nodig is.

De beste verdeling is eenvoudig: uw bedrijf bepaalt wat kritisch is en welke hersteltijd acceptabel is. De ICT-partner richt de oplossing in, controleert deze en is het aanspreekpunt bij een incident. Leg die verdeling vast. Een mondelinge aanname als “dat zit toch bij onze hosting?” is geen plan.

Een back-up is meer dan een kopie

Een back-up is alleen waardevol als u er daadwerkelijk mee kunt herstellen. Een synchronisatiemap in de cloud is bijvoorbeeld handig voor samenwerken, maar geen volledige bescherming tegen verwijderingen of versleutelde bestanden. Als een fout zich automatisch synchroniseert, kan die fout ook op alle gekoppelde apparaten terechtkomen.

Ook snapshots van een server zijn nuttig, maar niet altijd voldoende. Ze kunnen zich in dezelfde omgeving bevinden als de oorspronkelijke gegevens. Bij een grote storing, een beveiligingsincident of een fout in de opslaglaag kan dan zowel de productieomgeving als de kopie geraakt worden.

Daarom kijkt een goed back-upbeleid verder dan alleen de techniek. Het gaat om drie vragen: welke gegevens mogen niet verloren gaan, hoe snel moet u weer kunnen werken en wie neemt de beslissing bij herstel? Voor een administratiekantoor kan een mailbox met klantcommunicatie zeer kritisch zijn. Voor een bouwbedrijf zijn actuele tekeningen en projectmappen vaak het eerst nodig. Voor een webshop zijn voorraad, bestellingen en klantdata onmisbaar.

De eigenaar bepaalt de prioriteit

Een ICT-partner kan adviseren, maar kent uw bedrijfsproces niet beter dan u. Alleen u kunt aangeven of het acceptabel is om maximaal een uur werk kwijt te raken, of dat een verlies van één werkdag nog te overzien is. Die keuze heeft gevolgen voor de kosten en inrichting.

Een back-up die ieder uur draait vraagt meer opslag en beheer dan een dagelijkse kopie. Een omgeving die binnen twee uur hersteld moet zijn, vraagt een andere aanpak dan een archief dat pas de volgende werkdag beschikbaar hoeft te zijn. Er is dus geen standaardantwoord dat voor ieder bedrijf klopt. Wel is er één vaste regel: kies bewust, niet op basis van aannames.

Leg verantwoordelijkheid vast in drie lagen

U voorkomt veel gedoe door back-ups op te delen in eigenaarschap, uitvoering en controle. Dit hoeft geen dik beleidsdocument te zijn. Een overzicht van één pagina met duidelijke afspraken is vaak al voldoende.

Eigenaarschap ligt bij een aangewezen persoon binnen uw organisatie. Dat kan de directeur, operationeel manager of financieel verantwoordelijke zijn. Deze persoon bepaalt welke systemen en data onder het back-upbeleid vallen, keurt keuzes goed en weet wie gebeld moet worden bij een incident.

Uitvoering ligt bij degene die de techniek beheert. Dat kan een interne medewerker zijn, maar bij mkb-bedrijven is het vaak een managed ICT-partner. Die partij stelt de back-ups in, bewaakt foutmeldingen, beheert de opslag en voert herstel uit volgens de gemaakte afspraken.

Controle is een gezamenlijke taak. De uitvoerende partij controleert of back-ups technisch slagen. Uw organisatie controleert of de afspraken nog passen bij de praktijk. Komt er een nieuw boekhoudpakket, een extra cloudomgeving of een nieuwe website bij? Dan moet die omgeving expliciet worden meegenomen. Juist veranderingen zorgen ervoor dat een ooit goed ingericht plan ongemerkt gaten krijgt.

Waar het in de praktijk vaak misgaat

Een veelvoorkomende misvatting is dat iedere dienst automatisch alles bewaart. Bij webhosting kan een provider bijvoorbeeld een serverback-up maken voor technisch herstel, zonder dat dit bedoeld is als langdurige gegevensbewaring of bescherming tegen een fout van een gebruiker. Bij e-mail kan er opslag en bewaarbeleid zijn, maar dat is iets anders dan een aparte, herstelbare kopie van mailboxen en agenda’s.

Ook verantwoordelijkheden tussen leveranciers kunnen onduidelijk worden. De websitebouwer beheert de site, de hoster beheert de server en een externe partij onderhoudt de domeinnaam. Als een update mislukt, kan iedereen naar elkaar wijzen. Dat kost tijd die u tijdens een storing niet heeft.

Ransomware maakt de noodzaak extra duidelijk. Als een aanvaller toegang krijgt tot een gebruikersaccount of server, probeert die vaak ook back-ups te wissen of te versleutelen. Daarom horen back-ups gescheiden te zijn van de dagelijkse werkomgeving en moeten beheeraccounts goed beveiligd worden. Een kopie die voor iedereen bereikbaar is, biedt schijnveiligheid.

Zo ziet een werkbare back-upaanpak eruit

Een praktische aanpak begint met een inventarisatie. Niet elk bestand hoeft dezelfde bescherming te krijgen, maar kritische gegevens mogen niet ontbreken. Breng daarom e-mail, bestanden, bedrijfssoftware, websites, databases, telefonieconfiguratie en cloudomgevingen in kaart. Vergeet lokale gegevens niet, zoals bestanden op een pc van een medewerker of een NAS op kantoor.

Daarna bepaalt u per onderdeel de frequentie en bewaartermijn. Financiële gegevens vragen vaak om langere bewaring dan tijdelijke projectbestanden. Voor actieve systemen is een dagelijkse of frequente back-up logisch. Voor een website is het verstandig om vóór updates een extra herstelpunt te hebben.

Een bewezen uitgangspunt is de 3-2-1-regel: houd drie kopieën van belangrijke data, op twee verschillende soorten opslag, waarvan minstens één kopie buiten de eigen werkomgeving staat. Dit is geen doel op zich, maar een goed vertrekpunt. Bij zeer kritische data kan een extra, niet-wijzigbare kopie nodig zijn. Die kan niet zomaar worden aangepast of verwijderd, ook niet als een account wordt misbruikt.

Versleuteling hoort er ook bij. Back-ups bevatten vaak dezelfde gevoelige informatie als uw dagelijkse systemen. Zorg dus dat opslag, overdracht en toegang goed zijn geregeld. Beperk beheertoegang tot de mensen die deze echt nodig hebben en gebruik sterke inlogbeveiliging.

Test herstel, niet alleen de melding

Een groene status betekent alleen dat een back-uptaak is uitgevoerd. Het zegt nog niet dat alle benodigde data beschikbaar zijn of dat een herstel binnen de gewenste tijd lukt. Plan daarom periodiek een hersteltest. Herstel bijvoorbeeld een bestand, een mailbox, een database of een testversie van uw website.

Zo’n test hoeft niet ingewikkeld te zijn. Het doel is vaststellen dat de kopie bruikbaar is, dat de juiste mensen toegang hebben en dat de werkwijze bekend is. Noteer hoe lang het herstel duurde en of er obstakels waren. Als blijkt dat een cruciale applicatie alleen met specialistische kennis teruggezet kan worden, weet u dat liever op een rustige dinsdag dan tijdens een volledige storing.

Bij NLXS zien we dat heldere afspraken veel stress wegnemen. Eén partij voor hosting, cloud en dagelijks ICT-beheer maakt het eenvoudiger om te zien waar verantwoordelijkheden beginnen en eindigen. Maar ook dan blijft een periodieke check met de klant nodig: uw bedrijf verandert, dus uw back-upplan moet mee veranderen.

Vragen die u aan uw ICT-partner moet stellen

U hoeft geen technisch specialist te zijn om de juiste vragen te stellen. Vraag welke systemen precies worden meegenomen, hoe vaak kopieën worden gemaakt en hoe lang ze bewaard blijven. Vraag ook waar de back-ups staan, of ze gescheiden zijn van de productieomgeving en hoe toegang is beveiligd.

Minstens zo relevant is het herstelproces. Wie mag een herstel aanvragen? Wat is de verwachte hersteltijd? Zijn er kosten bij een spoedherstel? En wordt herstel periodiek getest? Vraag om antwoorden in gewone taal en laat ze opnemen in de dienstverlening. Als een leverancier alleen zegt dat “back-ups geregeld zijn”, is dat te vaag.

Een goed back-upplan geeft geen garantie dat er nooit iets misgaat. Het zorgt er wel voor dat een fout, aanval of storing niet meteen uw bedrijfsvoering stillegt. Wijs vandaag één eigenaar aan, laat de afspraken controleren en test één herstel. Dat kleine gesprek kan u later dagen werk, omzet en zorgen besparen.