Backup og sikkerhedskopiering

En backup er en kopi af data, der opbevares adskilt fra originalen, og som kan bruges til at genskabe driften, når originalen er væk. Det er den sidste forsvarslinje: den virker først, når alle de andre har svigtet, og den er det eneste tiltag, der stadig hjælper, efter at et angreb er lykkedes.

Synkronisering er ikke backup

Den hyppigste fejl i mindre danske virksomheder er at forveksle en kopi med en backup. Tre ting, der ofte kaldes backup, er det ikke:

• Filsynkronisering til OneDrive, Dropbox eller Google Drev spejler ændringer. Bliver en fil krypteret eller slettet, replikeres krypteringen eller sletningen til skyen inden for få sekunder.
• RAID i serveren beskytter mod, at én disk går i stykker. Den beskytter ikke mod ransomware, en fejlagtig sletning eller en brand — alle diske indeholder det samme.
• Et snapshot på samme system som produktionen kan slettes af den, der har adgang til systemet. Og det har angriberen ofte, når snapshottet skal bruges.

Forskellen er adskillelse. En backup er kun en backup, hvis den ikke kan ændres eller slettes af det, der ødelagde originalen.

3-2-1-reglen

Den klassiske tommelfingerregel består stadig: tre kopier af data, på to forskellige medietyper, hvoraf én er på en anden fysisk lokation. Reglen løser tre uafhængige risici på én gang — et diskhavari, en fejl i én medietype eller ét system, og en hændelse der rammer hele adressen.

Ransomware har ført til en udvidelse, der kaldes 3-2-1-1-0: én af kopierne skal være uforanderlig eller offline, og gendannelsen skal være testet med nul fejl. De to tilføjelser er ikke pynt. De adresserer præcis det, moderne angreb gør.

Hvorfor ransomware ændrede kravene

Angriberne gik målrettet efter backupperne, så snart backup begyndte at virke. Et typisk forløb i dag ser sådan ud: angriberen får adgang, bevæger sig gennem netværket i dage eller uger, finder backupserveren, sletter eller krypterer kopierne — og krypterer først produktionen bagefter. Løsesummen kræves, når der ikke er noget at gendanne fra.

Modsvaret er at gøre backupperne umulige at slette, også for en administrator:

• Uforanderlig opbevaring (immutability eller object lock) låser kopien i et defineret tidsrum. Selv en kompromitteret administratorkonto kan ikke fjerne den før udløb.
• Adskilte legitimationsoplysninger. Backupsystemet må ikke kunne tilgås med de samme konti som resten af netværket, og backupserveren bør ikke være meldt ind i det samme domæne.
• En offline kopi. Et bånd eller en disk, der fysisk er koblet fra, kan ikke nås over netværket. Det er langsomt at gendanne fra, og det er hele pointen.

Det, der bliver glemt: Microsoft 365 og Google Workspace

Udbyderne af skytjenester driver platformen og garanterer, at den er tilgængelig. De påtager sig ikke at kunne genskabe jeres data, hvis I selv sletter dem, en medarbejder gør det ved en fejl, eller en angriber gør det med jeres egne legitimationsoplysninger. Papirkurven og opbevaringspolitikkerne har en tidsgrænse, og den er kortere end den periode, hvor et brud typisk opdages.

Mail, filer, Teams-samtaler og SharePoint-sider hører derfor med i backupplanen på lige fod med serverne i kælderen.

Gendannelse er det, der tælles på

En backup, der ikke er testet, er en formodning. Den skal vurderes på to størrelser:

• RPO (Recovery Point Objective) er, hvor meget data I kan tåle at miste, målt i tid. Kører backuppen én gang i døgnet, er jeres RPO et døgn.
• RTO (Recovery Time Objective) er, hvor længe I kan være nede. Den afhænger ikke af backuppens størrelse alene, men af båndbredde, hardware og af, hvor hurtigt nogen overhovedet går i gang.

Test en fuld gendannelse af de vigtigste systemer mindst én gang om året, og en enkeltfilsgendannelse hvert kvartal. Skriv rækkefølgen ned: domænecontroller før filserver, filserver før økonomisystem. Den rækkefølge skal ikke opfindes klokken tre om natten.

Persondata i backuppen

En backup indeholder de samme personoplysninger som produktionen og er omfattet af de samme krav. Databeskyttelsesforordningen forlanger i artikel 32, at I kan genoprette tilgængeligheden af personoplysninger rettidigt efter en hændelse — backup er altså ikke en god idé, men en retlig forpligtelse.

To praktiske konsekvenser: kopierne skal være krypteret, både under overførsel og hvor de ligger, og I skal kende opbevaringsstedet, hvis kopierne ligger uden for EU. Sletning af en persons oplysninger kræver ikke, at I bryder ind i eksisterende backupsæt — det er anerkendt praksis, at data i backup slettes ved den normale rotation, forudsat at de ikke bruges til andet i mellemtiden, og at det fremgår af jeres sletteprocedure.

Danske krav ud over GDPR

Bogføringsloven kræver, at regnskabsmateriale opbevares i fem år efter udgangen af det regnskabsår, det vedrører, og de digitale bogføringsregler stiller krav om, at registreringer og bilag opbevares sikkert med en kopi, der er adskilt fra det daglige system.

Under NIS2 indgår backup og driftskontinuitet direkte i de risikostyringsforanstaltninger, omfattede organisationer skal have på plads, og ansvaret for dem ligger hos ledelsen. Center for Cybersikkerhed regner backup blandt de grundlæggende tiltag, der har størst effekt i forhold til indsatsen.

Kom i gang i denne rækkefølge

1. 1Lav en liste over, hvilke data og systemer forretningen ikke kan undvære i 24 timer. Alt andet er sekundært.
2. 2Sæt daglig, automatisk backup op på den liste — manuelle rutiner skrider inden for få måneder.
3. 3Flyt én kopi ud af huset og gør den uforanderlig.
4. 4Skil backupsystemets adgange fra netværkets øvrige konti.
5. 5Slå overvågning til, så en fejlet kørsel giver besked. Den hyppigste årsag til en mislykket gendannelse er en backup, der har været stoppet i ugevis, uden at nogen opdagede det.
6. 6Test en gendannelse, og skriv ned, hvor lang tid den tog. Det tal er jeres reelle RTO — ikke det, leverandøren lover.