Een back-upbeleid beschrijft hoe een organisatie haar gegevens beschermt tegen verlies door vastgelegde afspraken over frequentie, opslag, verantwoordelijkheid en herstel. Het is een verplicht onderdeel van een goed ingericht informatiebeveiligingsbeleid en vormt de basis voor bedrijfscontinuïteit. In dit artikel worden de meest gestelde vragen over het back-upbeleid beantwoord, van verplichte inhoud tot testfrequentie en herzieningsmoment.
Welke elementen zijn verplicht in een back-upbeleid?
Een back-upbeleid moet minimaal beschrijven welke gegevens worden geback-upt, hoe vaak dat gebeurt, waar de back-ups worden opgeslagen, hoe lang ze worden bewaard en wie verantwoordelijk is voor uitvoering en controle. Daarnaast hoort een herstelproces met bijbehorende doelstellingen voor hersteltijd en gegevensverlies in het beleid te staan.
In de praktijk zijn dit de elementen die een volledig back-upbeleid informatiebeveiliging omvat:
- Scope: welke systemen, applicaties en datasets vallen onder het beleid
- Back-upfrequentie: dagelijks, wekelijks of continu, afhankelijk van de kritikaliteit van de data
- Bewaartermijnen: hoe lang back-ups beschikbaar blijven, rekening houdend met wettelijke vereisten zoals de AVG
- Opslaglocaties: waar de back-ups worden bewaard en of er een offsite- of cloudkopie is
- Herstelprocedure: stap-voor-stap beschrijving van hoe data wordt teruggezet
- RPO en RTO: de maximaal acceptabele dataverlies- en hersteltijddoelstellingen
- Testprotocol: hoe en hoe vaak de back-up wordt getest op herstelbaarheid
- Verantwoordelijkheden: wie uitvoert, controleert en rapporteert
Normen zoals ISO 27001 schrijven niet exact voor hoe een back-upbeleid eruit moet zien, maar vereisen wel aantoonbare maatregelen voor beschikbaarheid en continuïteit van informatie. Bijlage A van de norm bevat specifieke beheersmaatregelen voor back-up, waarbij de nadruk ligt op het feit dat afspraken niet alleen op papier staan maar ook daadwerkelijk werken in de praktijk.
Wat is het verschil tussen een RPO en een RTO?
De RPO (Recovery Point Objective) is de maximale hoeveelheid dataverlies die een organisatie accepteert, uitgedrukt in tijd. De RTO (Recovery Time Objective) is de maximale tijd die een organisatie heeft om systemen te herstellen na een incident. Beide begrippen zijn de kern van elke serieuze back-upstrategie.
Recovery Point Objective (RPO)
De RPO beantwoordt de vraag: hoeveel data mogen we kwijtraken? Als een organisatie een RPO van vier uur hanteert, betekent dit dat back-ups minimaal elke vier uur worden gemaakt. Bij een storing gaat maximaal vier uur aan gegevens verloren. Hoe kritischer de data, hoe korter de RPO moet zijn. Voor een ziekenhuisomgeving kan dit minuten zijn; voor een administratief systeem soms een dag.
Recovery Time Objective (RTO)
De RTO beantwoordt de vraag: hoe snel moet het systeem weer beschikbaar zijn? Een RTO van twee uur betekent dat alle betrokken systemen binnen twee uur na een incident hersteld moeten zijn. De RTO bepaalt hoe snel de herstelinfrastructuur moet reageren en welke technische middelen daarvoor nodig zijn, zoals een warme stand-byomgeving of een eenvoudigere restore-procedure.
RPO en RTO worden vastgesteld op basis van een risicoanalyse en een bedrijfsimpactanalyse (BIA). Ze moeten expliciet in het back-upbeleid worden opgenomen, omdat ze de basis vormen voor technische keuzes en contractuele afspraken met leveranciers.
Hoe vaak moet je een back-up testen?
Een back-up moet minimaal één keer per jaar worden getest op daadwerkelijke herstelbaarheid. Voor kritieke systemen is een hogere testfrequentie, zoals kwartaallijks of zelfs maandelijks, aan te raden. Een back-up die nooit is getest, biedt geen garantie dat herstel ook werkelijk lukt op het moment dat het nodig is.
Testen betekent niet alleen controleren of de back-upjob succesvol is uitgevoerd. Het gaat om een volledige hersteltest: data terugzetten naar een testomgeving en verifiëren of de informatie compleet, correct en bruikbaar is. Pas dan weet een organisatie zeker dat het back-upproces werkt zoals bedoeld.
Leg vast in de back-upprocedure wie de test uitvoert, hoe het testresultaat wordt gedocumenteerd en wat de procedure is bij een mislukte hersteltest. Testresultaten horen te worden bewaard als bewijs voor interne audits en externe certificeringsaudits. Een interne audit is een goed moment om de testhistorie te beoordelen en eventuele hiaten in het testprotocol te signaleren.
Waar mogen back-ups worden opgeslagen?
Back-ups mogen worden opgeslagen op locatie (on-premise), bij een externe cloudprovider of op een combinatie van beide. De 3-2-1-regel is een breed toegepast uitgangspunt: bewaar drie kopieën van de data, op twee verschillende opslagmedia, waarvan één kopie offsite of in de cloud staat.
De keuze voor opslaglocatie hangt af van de gevoeligheid van de gegevens, de toepasselijke wet- en regelgeving en de risico’s die de organisatie wil afdekken. Voor organisaties die werken met persoonsgegevens gelden aanvullende eisen vanuit de AVG: back-ups mogen niet zomaar buiten de Europese Economische Ruimte worden opgeslagen zonder aanvullende waarborgen.
Enkele aandachtspunten bij de keuze van opslaglocatie:
- Zorg dat de back-uplocatie fysiek gescheiden is van de primaire omgeving, zodat brand of overstroming niet beide treft
- Versleutel back-ups, zowel tijdens transport als in opslag, om ongeautoriseerde toegang te voorkomen
- Controleer bij cloudopslag in welk land de data wordt opgeslagen en welke verwerkersovereenkomst van toepassing is
- Leg de opslaglocaties vast in het back-upbeleid en koppel dit aan de bewaartermijnen
Normen zoals NEN-7510 voor de zorgsector stellen aanvullende eisen aan de opslag van gevoelige gezondheidsinformatie. Controleer altijd of de gekozen opslagstrategie aansluit bij de toepasselijke sectorspecifieke normen.
Wie is verantwoordelijk voor het back-upbeleid?
De eindverantwoordelijkheid voor het back-upbeleid ligt bij het management van de organisatie. In de dagelijkse uitvoering wordt deze verantwoordelijkheid doorgaans belegd bij een IT-verantwoordelijke, een Security Officer of een functionaris die specifiek is aangesteld voor informatiebeveiliging. Cruciaal is dat de verantwoordelijkheid expliciet is toegewezen en niet impliciet verondersteld wordt.
Een goed back-upbeleid maakt onderscheid tussen drie niveaus van verantwoordelijkheid:
- Eigenaarschap: het management stelt het beleid vast, keurt het goed en draagt eindverantwoordelijkheid
- Uitvoering: de IT-afdeling of een externe leverancier voert de back-ups uit en bewaakt de technische werking
- Controle: een interne of externe auditor controleert of het beleid wordt nageleefd en of tests plaatsvinden
Wanneer back-upbeheer is uitbesteed aan een externe partij, blijft de organisatie zelf verantwoordelijk voor de naleving van het beleid. Maak in dat geval duidelijke afspraken in de verwerkersovereenkomst of Service Level Agreement over RPO, RTO, testfrequentie en rapportage.
Wanneer moet een back-upbeleid worden herzien?
Een back-upbeleid moet minimaal jaarlijks worden herzien. Daarnaast moet het altijd worden bijgewerkt na een significante wijziging in de organisatie, de IT-infrastructuur of de wet- en regelgeving. Een beleid dat niet actueel is, biedt onvoldoende bescherming en voldoet niet aan de eisen van gangbare normen voor back-upbeleid informatiebeveiliging.
Situaties die aanleiding geven tot een tussentijdse herziening zijn onder andere:
- Migratie naar een nieuwe cloudomgeving of wijziging van een cloudleverancier
- Uitbreiding van het aantal systemen of applicaties dat geback-upt moet worden
- Een beveiligingsincident waarbij back-ups een rol speelden, of juist niet beschikbaar bleken
- Wijzigingen in wet- en regelgeving, zoals nieuwe AVG-interpretaties of sectorspecifieke normen
- Een mislukte hersteltest die aantoont dat de huidige aanpak niet volstaat
Leg de herzieningscyclus vast in het beleid zelf, inclusief wie de herziening initieert, uitvoert en goedkeurt. Documenteer elke versie met een datum en versienummer, zodat bij een audit aantoonbaar is dat het beleid actueel is gehouden. Dit sluit direct aan bij de continue verbetering van het ISMS die normen zoals ISO 27001 vereisen.
Hoe Kwinzo helpt bij een solide back-upbeleid
Een goed back-upbeleid opstellen klinkt overzichtelijk, maar in de praktijk blijkt het regelmatig dat beleid onvolledig is, niet aansluit bij de werkelijke situatie of nooit is getest. Kwinzo helpt organisaties om hun back-upbeleid te verankeren in een werkend informatiebeveiligingssysteem dat voldoet aan normen zoals ISO 27001 en NEN-7510.
Wat wij daarbij bieden:
- Beoordeling van het bestaande back-upbeleid en identificatie van hiaten ten opzichte van de norm
- Begeleiding bij het opstellen of herzien van beleid, procedures en testprotocollen
- Ondersteuning bij het bepalen van realistische RPO- en RTO-doelstellingen op basis van een risicoanalyse
- Interne audits die de naleving van het back-upbeleid toetsen als voorbereiding op externe certificering
- Praktische hulpmiddelen via onze eigen ISMS-tool, inclusief sjablonen en een actuele kennisbank
Informatiebeveiliging werkt alleen als beleid ook in de praktijk wordt nageleefd. Wil je weten hoe jouw organisatie er nu voor staat? Neem contact op voor een vrijblijvend adviesgesprek.