Back-ups voor kmo's: de 3-2-1-regel zonder IT-afdeling

Een back-up is pas bruikbaar als je ze ook na een incident kunt terugzetten. Het Centrum voor Cybersecurity België waarschuwt dat moderne aanvallers back-ups bewust proberen te wissen of versleutelen. Daarom adviseert het CCB meerdere beschermingslagen, isolatie, voldoende bewaartermijnen en regelmatige hersteltests. Een kopie die te oud is, naast het origineel staat of nooit getest werd, biedt alleen schijnzekerheid.

De kans dat je vangnet ooit nodig is, stijgt. België telt volgens het Centrum voor Cybersecurity gemiddeld 22 ransomware-aanvallen per dag, en 42% van de kmo's werd al eens getroffen. Bij ransomware is een goede, geïsoleerde back-up het verschil tussen afhankelijk zijn van een aanvaller en gecontroleerd kunnen herstellen.

De regel is simpel genoeg om te onthouden zonder ze op te schrijven:

Die laatste stap is de belangrijkste en wordt het vaakst overgeslagen. Een back-upschijf die permanent aan je computer hangt, gaat mee verloren bij brand, diefstal of ransomware, want ransomware versleutelt alles wat aangesloten is. De kopie op een andere locatie elimineert precies dat risico van één rampzalige gebeurtenis op één plek.

Moderne varianten voegen er nog eisen aan toe, zoals een kopie die niet gewijzigd kan worden en het regelmatig testen van herstel. Voor een kmo zonder IT-afdeling geldt: pas eerst 3-2-1 correct toe, dat vangt al veruit het grootste deel van de risico's op.

Niet alles hoeft in de back-up, en dat maakt het goedkoper en sneller. Stel jezelf per soort gegevens de vraag: kan ik dit opnieuw maken of opnieuw downloaden? Zo kom je tot een korte lijst die er echt toe doet:

• Onvervangbaar en kritiek: je klantenbestand, boekhouding en facturen, contracten en offertes, projectdossiers, foto's van je werk, de inhoud en database van je website of webshop.
• Belangrijk maar herstelbaar: sjablonen, prijslijsten, marketingmateriaal. Meenemen in de back-up, maar geen paniek nodig.
• Niet nodig: programma's en besturingssystemen (die installeer je opnieuw), downloads en tijdelijke bestanden.

Vergeet twee categorieën niet die bijna iedereen vergeet. Eén: je website en webshop. Vraag je hoster of webbouwer expliciet of er automatische back-ups zijn, hoe lang die bewaard blijven en hoe je een herstel aanvraagt. Twee: je clouddata. Veel ondernemers denken dat alles in Microsoft 365 of Google Workspace automatisch veilig is, maar die diensten beschermen vooral tegen hun eigen pannes, niet tegen jouw fouten: een verwijderde map of een gekaapt account kan ook daar gegevens definitief wissen. Er bestaan betaalbare diensten die net die cloudomgevingen apart back-uppen.

Zo ziet 3-2-1 eruit voor een typische kleine zaak, zonder server en zonder IT'er:

1. Kopie 1: je werkomgeving zelf. Je werkt in de cloud (documenten, mail, boekhouding online) of lokaal op een computer. Dit is het origineel.
2. Kopie 2: automatische cloudback-up. Een back-updienst die dagelijks automatisch je computers en, indien nodig, je Microsoft 365- of Google-omgeving veiligstelt. Automatisch is het sleutelwoord: back-ups die op een mens wachten, stoppen na drie weken.
3. Kopie 3: een externe schijf die niet aangesloten blijft. Wekelijks of maandelijks een kopie van je kritieke mappen, daarna loskoppelen en op een andere plek bewaren. Dit is je vangnet als ransomware of een gekaapt account ook je cloudback-up bereikt.

Budget: een stevige externe schijf koop je eenmalig voor enkele tientallen euro's, cloudback-up voor een kleine zaak kost doorgaans enkele euro's tot enkele tientallen euro's per maand. Zet ten slotte een terugkerende afspraak in je agenda: elk kwartaal één bestand terugzetten uit de back-up als test. Een back-up die nooit getest is, is een hoop, geen plan.

Deze fouten komen bij kmo's telkens terug, en elk ervan heeft al bedrijven de kop gekost:

• De back-upschijf hangt permanent aan de computer. Ransomware versleutelt ze vrolijk mee. Loskoppelen na elke back-up.
• Niemand kijkt of de back-up nog draait. Back-upsoftware die maanden geleden stilviel zonder dat iemand het merkte, is een klassieker. Zet meldingen aan en controleer maandelijks even.
• Herstellen is nooit geprobeerd. Pas tijdens de crisis blijkt de back-up onvolledig, corrupt of onleesbaar. Test per kwartaal.
• Alles staat bij dezelfde aanbieder. Als je mail, bestanden én back-up bij één account horen, dan is één gekaapt wachtwoord genoeg om alles te verliezen. Gebruik voor je back-updienst een apart account met tweestapsverificatie.
• De kennis zit in één hoofd. Als alleen de zaakvoerder weet waar de back-ups staan en hoe herstel werkt, is die kennis zelf een risico. Zet de procedure op één blad papier.

Herken je er een paar? Dan weet je meteen waar je deze week aan werkt.

Back-ups beschermen wat je hebt opgebouwd; je website en online zichtbaarheid bepalen hoeveel er bij komt. Wil je weten of jouw online aanwezigheid even goed in orde is als je vangnet? Doe de gratis marketing scan en zie in enkele minuten waar jouw site vertrouwen wint, en waar bezoekers stilletjes afhaken.