Backup voor het MKB: zo bescherm je je bedrijfsgegevens

Waarom een backup onmisbaar is voor het MKB

Voor veel MKB-bedrijven zijn data het hart van de organisatie. Klantgegevens, facturen, projectdossiers, e-mail en boekhouding staan verspreid over servers, laptops en clouddiensten. Als die gegevens verloren gaan door een hardwarestoring, een verkeerde druk op de delete-knop of een ransomware-aanval, ligt het werk soms dagen of weken stil.

De cijfers zijn nuchter. Een harde schijf in dagelijks gebruik heeft een reële kans van enkele procenten per jaar om te falen. Bij een bedrijf met 50 medewerkers en evenzoveel werkplekken betekent dat statistisch gezien meerdere defecten per jaar. Daarbovenop komt het menselijke risico: een medewerker die per ongeluk een map met 3 jaar projectwerk overschrijft, kost je zonder backup een onomkeerbaar verlies.

Ransomware is een aparte categorie. Bij zo'n aanval worden bestanden versleuteld en eisen criminelen losgeld. Bedragen lopen uiteen van enkele duizenden euro tot meer dan 100.000 euro voor een middelgroot bedrijf. Een werkende backup is vaak de enige manier om zonder betaling te herstellen. Bekijk dit onderwerp ook in de bredere context van onze pagina over cybersecurity, want een backup is een onderdeel van een groter geheel.

De kosten van uitval lopen hard op. Een bedrijf dat per dag 10.000 euro omzet draait, verliest bij 5 dagen stilstand al 50.000 euro aan misgelopen omzet, nog los van herstelkosten en reputatieschade.

De 3-2-1-regel uitgelegd

De bekendste vuistregel voor backups is de 3-2-1-regel. Die is eenvoudig te onthouden en werkt voor bedrijven met 15 tot 250 werkplekken. De regel schrijft voor dat je altijd 3 kopieën van je data hebt, op 2 verschillende soorten opslagmedia, waarvan 1 kopie buiten je eigen locatie staat.

De gedachte erachter is dat je risico's spreidt. Eén kopie op de server en één in de cloud is beter dan twee kopieën op dezelfde server. En een kopie buiten de deur beschermt tegen brand, waterschade en diefstal die je hele kantoor treffen.

Een moderne aanvulling is de 3-2-1-1-0-regel. De extra 1 staat voor 1 kopie die offline of onveranderbaar is, zodat ransomware er niet bij kan. De 0 staat voor 0 fouten bij het testen van het herstel. Steeds meer MKB-bedrijven kiezen voor deze uitgebreide variant, omdat ransomware ook backups probeert te versleutelen. Lees hoe je dit vertaalt naar een concreet plan in ons artikel over backupstrategie.

Cloudbackup versus lokale backup

Een veelgestelde vraag is of je je backup in de cloud zet of lokaal op eigen apparatuur. Beide hebben voor- en nadelen, en in de praktijk kiezen de meeste bedrijven voor een combinatie.

Een lokale backup, bijvoorbeeld op een NAS of een aparte backupserver, is snel. Het terugzetten van 500 gigabyte gaat over een gigabit-netwerk in minder dan 1 uur. Het nadeel is dat de lokale backup hetzelfde lot deelt bij brand of diefstal en dat je zelf verantwoordelijk bent voor onderhoud.

Een cloudbackup staat per definitie buiten je pand en vinkt daarmee het externe deel van de 3-2-1-regel af. Het terugzetten kan langer duren, afhankelijk van je internetverbinding. Met een uploadsnelheid van 100 megabit per seconde duurt het herstellen van 500 gigabyte ongeveer 11 uur. De keuze tussen eigen apparatuur en clouddiensten speelt breder dan alleen backups; we behandelen die afweging in ons artikel over cloud of eigen server.

Bij cloudbackup is versleuteling belangrijk. Je data reist over het internet en staat bij een externe partij. Zorg dat de data zowel tijdens transport als in opslag versleuteld is, bij voorkeur met een sleutel die alleen jij beheert. Meer hierover lees je in ons artikel over data-encryptie.

Let bij de keuze van een cloudleverancier op de locatie van de servers. Voor veel MKB-bedrijven is opslag binnen de Europese Unie gewenst in verband met de AVG. Vraag de leverancier expliciet in welk land de data staat en of er een verwerkersovereenkomst is.

Hoe vaak en wat je moet back-uppen

Niet alle data is even kritisch en niet alle data verandert even snel. Daarom maak je onderscheid in frequentie. De boekhouding die elke dag verandert, vraagt een dagelijkse backup. Een archief dat 12 maanden niet wijzigt, kun je wekelijks of maandelijks back-uppen.

Twee begrippen helpen bij het bepalen van de frequentie. De RPO (Recovery Point Objective) is hoeveel data je maximaal mag verliezen, uitgedrukt in tijd. Een RPO van 24 uur betekent dat je bij een storing maximaal 1 dag aan werk kwijt bent. De RTO (Recovery Time Objective) is hoe snel je weer operationeel wilt zijn. Een RTO van 4 uur betekent dat het herstel binnen 4 uur klaar moet zijn.

Denk ook aan data die niet op je eigen server staat. E-mail en bestanden in Microsoft 365 of Google Workspace worden door de leverancier niet automatisch langdurig bewaard. Een verwijderd item is na 30 tot 90 dagen vaak definitief weg. Voor deze clouddiensten heb je een aparte backupoplossing nodig die de data minimaal 6 tot 12 maanden bewaart.

Bewaartermijnen verdienen aandacht. Voor de fiscale administratie geldt in Nederland een bewaarplicht van 7 jaar, voor gegevens over onroerend goed zelfs 10 jaar. Je backupbeleid moet dus rekening houden met langdurige opslag, niet alleen met de backup van gisteren.

Backups testen en herstel oefenen

Een backup die je nooit hebt teruggezet, is een aanname en geen zekerheid. In de praktijk blijkt een deel van de backups bij de eerste echte hersteltest niet bruikbaar, bijvoorbeeld door een onvolledige selectie, een corrupte bestandsset of een vergeten wachtwoord voor de versleuteling. Daarom test je het herstel structureel.

Plan minimaal 1 keer per kwartaal een hersteltest waarbij je een steekproef terugzet. Voer minstens 1 keer per 12 maanden een volledige herstelsimulatie uit, waarbij je doet alsof de hele server is uitgevallen. Meet hoe lang het herstel duurt en vergelijk dat met je RTO. Als je RTO 4 uur is maar het herstel duurt 9 uur, weet je dat je iets moet aanpassen.

Documenteer het herstelproces

Leg het herstelproces vast in een document dat ook leesbaar is voor iemand die de dagelijkse beheerder niet is. Beschrijf welke stappen je doorloopt, waar de wachtwoorden en sleutels staan en wie je belt. Bij een echte calamiteit is er stress en tijdsdruk; een helder draaiboek scheelt dan uren. Bewaar dit draaiboek ook op papier of op een tweede locatie, want een document dat alleen op de uitgevallen server staat, helpt je niet.

Wijs verantwoordelijkheid toe

Bepaal wie de backups bewaakt en wie de tests uitvoert. In een bedrijf met 30 medewerkers is dit vaak één persoon of een externe IT-partner. Spreek af dat deze persoon minimaal 1 keer per week controleert of de backups zonder fouten zijn gedraaid. Een backup die 3 weken stilletjes faalde voordat iemand het merkte, is een veelvoorkomend en duur probleem.

Backup voor het MKB in cijfers

De onderstaande tabel zet een aantal richtgetallen op een rij. Het zijn indicaties die per branche en bedrijfsgrootte verschillen; gebruik ze als startpunt voor je eigen berekening.

Deze getallen onderstrepen dat een backup vooral een operationele gewoonte is. Een bedrijf dat wekelijks 5 minuten besteedt aan het controleren van het logboek en jaarlijks 1 dag aan een herstelsimulatie, staat er bij een calamiteit aanzienlijk beter voor dan een bedrijf dat alleen software heeft geïnstalleerd en er verder niet naar omkijkt. Meer achtergrond bij deze thema's vind je in onze categorie cybersecurity.

Een backupbeleid in stappen opzetten

Voor wie nog geen gestructureerd backupbeleid heeft, helpt een fasering. Begin met de inventarisatie van waar je data staat. Bepaal vervolgens per datatype de RPO en RTO. Kies daarna de combinatie van lokaal en cloud die bij je budget en je hersteleisen past, en richt de 3-2-1-regel in. Sluit af met het inplannen van tests in de agenda.

Wie deze stappen doorloopt, heeft binnen enkele weken een werkbaar fundament. Het is verstandig om het beleid jaarlijks tegen het licht te houden, omdat databronnen, het aantal medewerkers en de wetgeving veranderen.

Veelgestelde vragen

Hoe vaak moet ik mijn backups testen?

Test losse bestanden minimaal 1 keer per maand, een grotere steekproef 1 keer per kwartaal en voer minimaal 1 keer per 12 maanden een volledige herstelsimulatie uit. Zo weet je dat je backups echt bruikbaar zijn en niet alleen lijken te werken.

Heb ik nog een backup nodig als ik alles in Microsoft 365 heb staan?

Ja. Microsoft 365 en vergelijkbare diensten bewaren verwijderde items vaak slechts 30 tot 90 dagen en beschermen niet tegen alle vormen van dataverlies. Een aparte backup die je data 6 tot 12 maanden of langer bewaart, vult dit gat.

Wat kost een backupoplossing voor een MKB-bedrijf?

Dat hangt af van de hoeveelheid data en de gekozen opzet. Indicatief liggen de maandkosten voor cloudbackup tussen 100 en 500 euro, met lokale opslag soms vanaf 50 euro per maand. De kosten van uitval, bij 5 dagen stilstand al snel tienduizenden euro, zetten deze bedragen in perspectief.

Wat is het verschil tussen RPO en RTO?

RPO geeft aan hoeveel data je maximaal mag verliezen, uitgedrukt in tijd, bijvoorbeeld 1 uur of 24 uur. RTO geeft aan hoe snel je weer operationeel moet zijn, bijvoorbeeld binnen 4 uur. Samen bepalen ze hoe vaak je back-upt en hoe snel je herstel moet verlopen.

Beschermt een backup tegen ransomware?

Een gewone backup helpt, maar moderne ransomware probeert ook backups te versleutelen. Daarom is minimaal 1 offline of onveranderbare kopie aan te raden, zoals beschreven in de 3-2-1-1-0-regel. Combineer dit met versleuteling en regelmatige hersteltests. Onze back-upstrategie voor het MKB gaat dieper in op immutable back-ups, ransomware-bestendige methoden en de kosten van back-uptools.

Dit artikel is informatief en geen advies op maat. Voor je eigen situatie raadpleeg je een gespecialiseerde adviseur.