“Wij hebben een back-up systeem, we zijn dus veilig.” Dat is waarschijnlijk de meest gevaarlijke zin die we in een Belgische KMO kunnen horen. Voor veel ondernemers is de back-up een “set and forget” oplossing: eenmaal geïnstalleerd, wordt er vanuit gegaan dat de technologie het werk doet. Men kijkt naar het dashboard, ziet een groen vinkje en gaat rustig slapen. Maar in de wereld van IT is een groen vinkje geen garantie voor herstel; het is slechts een bevestiging dat er data is verplaatst.

Het fundamentele probleem is dat er een enorm verschil bestaat tussen een back-up maken en een succesvolle restore uitvoeren. Een back-up is het proces van kopiëren. Een restore is het proces van terugbrengen in productie. Het eerste is een technische handeling; het tweede is een business-kritisch proces. De ironie ontsnapt me niet: veel bedrijven betalen maandelijks voor enorme hoeveelheden opslagruimte in de cloud, maar ze betalen in feite voor een vals gevoel van zekerheid.

De onzichtbaarheid van het risico

Waarom wordt het testen van back-ups zo vaak vergeten? Omdat het risico onzichtbaar is tot het moment dat het catastrofaal wordt. Zolang de servers draaien en de medewerkers kunnen werken, is de back-up slechts een administratieve post op de maandelijkse factuur. Er is geen directe prikkel om te testen, want testen kost tijd en resources terwijl het “niets” oplevert als alles goed gaat.

De werkelijkheid is echter wreed. We zien regelmatig situaties in Vlaamse productiezaken of dienstverleningsbedrijven waar een ransomware-aanval de volledige infrastructuur platlegt. De paniek slaat toe, de IT-beheerder start het herstelproces, en dan komt de schokkende ontdekking: de back-ups waren corrupt, de encryptiesleutel is kwijt, of de data is incompleet. In sommige gevallen bleek dat de back-up al maanden geleden was gestopt door een kleine configuratiefout, terwijl het dashboard nog steeds een groen vinkje toonde.

Op dat moment is het verschil tussen “wij hebben een back-up” en “wij kunnen herstellen” het verschil tussen een tijdelijke onderbreking en een definitief faillissement.

Niet de software, maar de verificatie

Het is belangrijk om te begrijpen dat dit zelden een kwestie is van slechte software. De meeste moderne back-up tools zijn uitstekend. De fout ligt in het gebrek aan verificatie. Een back-up die nooit is getest, is geen back-up: het is een hoop digitale hoop. Het is het equivalent van een brandblusser kopen en hem in de gang zetten, maar nooit controleren of er nog wel blusmiddel in zit of dat de slang niet lek is.

Bedrijfscontinuïteit gaat niet over het bezitten van technologie, maar over het bewijs van herstelvermogen. Een serieus bedrijf stelt zich niet de vraag: “Wordt er geback-upt?”, maar: “Binnen hoeveel uur zijn we weer operationeel als alles nu verdwijnt?” Als u dat antwoord niet kunt onderbouwen met een recent testrapport, heeft u geen disaster recovery plan, maar een wenslijst.

Hoe u uw herstelvermogen echt test: Een stappenplan

Om van “digitale hoop” naar echte zekerheid te gaan, moet u een structureel testproces implementeren. Het volstaat niet om één keer per jaar een bestandje terug te halen. Volg deze stappen om uw bedrijfscontinuïteit te waarborgen:

• Stap 1: Definieer uw RTO en RPO. De Recovery Time Objective (RTO) is de maximale tijd dat u offline mag zijn. De Recovery Point Objective (RPO) is de maximale hoeveelheid data die u mag verliezen (bijv. maximaal 4 uur aan werk). Zonder deze cijfers weet u niet of uw back-upstrategie voldoet aan de behoeften van uw business.
• Stap 2: Voer individuele bestandstests uit. Test wekelijks of maandelijks willekeurige bestanden. Dit bevestigt dat de data leesbaar is, maar het zegt niets over de snelheid van een volledig herstel.
• Stap 3: Voer een ‘Bare Metal’ restore uit. Probeer één keer per kwartaal een volledige server te herstellen op een nieuwe machine. Dit is de enige manier om te zien of uw configuratiebestanden, OS-instellingen en applicaties echt samenwerken na een crash.
• Stap 4: Test de netwerkinfrastructuur. Een back-up van 2 terabyte herstellen vanuit de cloud kan uren of zelfs dagen duren als uw internetverbinding de bottleneck is. Test de werkelijke snelheid van de data-overdracht.
• Stap 5: Documenteer het proces. Wie doet wat bij een crash? Waar staan de wachtwoorden? Als de enige persoon die weet hoe de restore werkt ziek is of het bedrijf heeft verlaten, is uw back-up waardeloos.

Checklist voor de ondernemer

Stelt u zich voor dat uw servers morgenochtend volledig leeg zijn. Kunt u de volgende vragen met een hard “ja” beantwoorden?

• [ ] Hebben we een actueel document waarin staat hoe we herstellen zonder hulp van externe partijen?
• [ ] Is er in de afgelopen 90 dagen een volledige server-restore succesvol uitgevoerd?
• [ ] Weten we exact hoeveel uur downtime we kunnen overbruggen voordat de schade onherstelbaar is?
• [ ] Zijn onze back-ups ‘immutable’ (onveranderbaar), zodat ransomware de back-ups zelf niet kan versleutelen?
• [ ] Is er een kopie van de data op een fysiek andere locatie (de 3-2-1 regel: 3 kopieën, 2 verschillende media, 1 externe locatie)?

Conclusie: Van hoop naar zekerheid

De meeste bedrijven merken het verschil tussen een back-up en een restore pas als het te laat is. Tegen die tijd is de prijs voor het ontbreken van een testrapport vaak vele malen hoger dan de kosten van een goede IT-begeleiding. Echte rust in uw hoofd komt niet door een softwarelicentie, maar door het weten dat u binnen enkele uren weer operationeel bent, ongeacht wat er gebeurt.

Bij Pajotech beschouwen we back-ups niet als een product, maar als een belofte aan uw klanten en medewerkers dat uw bedrijf blijft bestaan. Wij helpen Belgische KMO’s niet alleen bij het installeren van de juiste tools, maar vooral bij het implementeren van een strikt verificatieproces. We testen uw herstelscenario’s, zodat u niet hoeft te hopen dat het werkt, maar zeker weet dat het werkt.

Twijfelt u of uw huidige back-upstrategie standhoudt bij een echte crisis? Wij ondersteunen u bij het uitvoeren van een onafhankelijke restore-test en het optimaliseren van uw bedrijfscontinuïteitsplan.