Een medewerker verwijdert per ongeluk een map met offertes. Een server valt uit vlak voor de loonverwerking. Of ransomware versleutelt gedeelde bestanden terwijl iedereen gewoon aan het werk is. Zonder doordachte back-upstrategie voor kmo’s verandert zo’n incident snel van een technisch probleem in omzetverlies, tijdsdruk en ongeruste klanten. Een back-up is pas waardevol wanneer u gegevens snel, volledig en veilig kunt terugzetten.
Waarom een gewone kopie van bestanden niet volstaat
Veel kmo’s nemen wel ergens een kopie van hun bestanden: op een externe schijf, een NAS of in een cloudmap. Dat is beter dan niets, maar het is geen garantie op bedrijfscontinuïteit. Een schijf die naast de server ligt, kan bij brand, diefstal of ransomware even goed onbruikbaar worden. Een synchronisatiemap in de cloud kan bovendien een verwijdering of besmet bestand meteen mee synchroniseren.
De relevante vraag is dus niet: “Hebben we een back-up?” De vraag is: “Kunnen we na een incident opnieuw werken, en hoe snel?” Daarbij gaat het niet alleen om documenten. Denk ook aan e-mail, boekhoudsoftware, klantendatabases, gedeelde Teams- en SharePoint-bestanden, virtuele servers, instellingen en toegangsrechten. Als één cruciale toepassing ontbreekt, ligt uw werking mogelijk alsnog stil.
Een goede aanpak vertaalt technische keuzes naar twee heldere bedrijfsafspraken. De eerste is hoeveel gegevensverlies aanvaardbaar is. Mag u maximaal één uur werk verliezen, of is een dagelijkse kopie voldoende? De tweede is hoe snel u opnieuw operationeel moet zijn. Een winkel die niet kan factureren, een school zonder leerlingadministratie of een aannemer zonder planning kan meestal geen dagen wachten.
De basis van een back-upstrategie voor kmo’s: 3-2-1-1-0
De 3-2-1-regel blijft een sterke basis: bewaar minstens drie kopieën van uw gegevens, op twee verschillende soorten opslagmedia, waarvan minstens één kopie op een andere locatie staat. Voor moderne dreigingen voegen we daar best nog twee elementen aan toe. De extra ‘1’ staat voor een onveranderlijke of offline kopie. De ‘0’ betekent nul fouten na een gecontroleerde hersteltest.
Concreet ziet dat er voor veel organisaties zo uit:
- De productieomgeving bevat de actieve gegevens en toepassingen waarmee medewerkers werken.
- Een lokale back-up zorgt voor snel herstel van bestanden, servers of virtuele machines.
- Een versleutelde kopie buiten het kantoor beschermt tegen brand, waterschade en diefstal.
- Een onveranderlijke kopie kan gedurende een afgesproken periode niet worden aangepast of verwijderd, ook niet door ransomware met beheerdersrechten.
- Regelmatige hersteltests tonen aan dat de kopieën volledig, leesbaar en bruikbaar zijn.
Niet elke kmo heeft dezelfde combinatie nodig. Voor een klein kantoor met vooral Microsoft 365 is een beveiligde SaaS-back-up vaak belangrijker dan een grote lokale opslagomgeving. Een organisatie met een eigen server, productiegegevens of gespecialiseerde software heeft doorgaans nood aan lokale én externe back-ups, met een duidelijk plan voor volledig serverherstel.
Ransomware vraagt om meer dan opslagruimte
Ransomware is een van de meest voorkomende redenen waarom bedrijven hun back-upaanpak opnieuw bekijken. Aanvallers versleutelen niet alleen productiebestanden. Ze zoeken ook naar back-upservers, netwerkopslag en accounts met uitgebreide rechten. Als uw back-up verbonden blijft met hetzelfde netwerk en met dezelfde beheerdersaccounts wordt beheerd, kan ook die worden geraakt.
Daarom horen beveiliging en back-up bij elkaar. Back-upgegevens moeten versleuteld worden tijdens verzending en opslag. Toegang tot de beheeromgeving vraagt sterke wachtwoorden en multifactorauthenticatie. Beheerdersrechten worden best beperkt tot wie ze werkelijk nodig heeft. Meldingen bij mislukte back-ups, ongewoon grote gegevenswijzigingen of verwijderde herstelpunten maken een incident sneller zichtbaar.
Een immutable back-up biedt hier een extra verdedigingslaag. Binnen de bewaartermijn kan niemand die kopie wissen of aanpassen, ook geen aanvaller die een account heeft overgenomen. Dat is geen vervanging voor preventie zoals endpointbeveiliging, patchbeheer en gebruikersbewustzijn. Het geeft u wel een betrouwbare uitweg als preventie toch wordt doorbroken.
Bepaal wat u eerst moet kunnen herstellen
Een volledige IT-omgeving tegelijk terugzetten is zelden de slimste eerste stap. Maak daarom een overzicht van uw kritische processen. Welke systemen zijn nodig om facturen te maken, klanten verder te helpen, te communiceren, bestellingen te verwerken of lessen te organiseren? Wie is verantwoordelijk om na een incident te beslissen wat prioriteit krijgt?
Leg per toepassing twee waarden vast. De Recovery Point Objective, of RPO, bepaalt hoeveel gegevens u maximaal mag verliezen. Een RPO van vier uur betekent dat er minstens om de vier uur een herstelpunt beschikbaar moet zijn. De Recovery Time Objective, of RTO, legt vast hoe lang het herstel maximaal mag duren. Een planningstool kan bijvoorbeeld binnen twee uur nodig zijn, terwijl een oud archief enkele dagen kan wachten.
Dit onderscheid voorkomt twee dure fouten: te weinig beschermen wat cruciaal is, of te veel geld besteden aan extreem snelle back-ups voor gegevens die zelden worden gebruikt. Een realistische prioriteitenlijst maakt ook duidelijk welke dienstverlening, opslagcapaciteit en internetverbinding nodig zijn.
Vergeet Microsoft 365 en cloudtoepassingen niet
Microsoft 365, SharePoint, OneDrive en Teams bieden een hoge beschikbaarheid van hun platform. Dat betekent niet automatisch dat uw organisatie voor elke verwijdering, overschrijving of langdurige bewaartermijn volledig is beschermd. Bewaartermijnen, prullenbakken en versiegeschiedenis hebben grenzen. Ook een medewerker met de juiste rechten kan snel veel informatie verwijderen of delen.
Een afzonderlijke back-up van cloudgegevens biedt meer controle over herstelpunten en bewaartermijnen. Dat is vooral relevant wanneer documenten een lange wettelijke, contractuele of operationele waarde hebben. Voor scholen kunnen dat leerlingendossiers zijn. Voor ondernemingen gaat het vaak om contracten, projectdocumentatie, financiële gegevens of correspondentie met klanten.
Herstel testen is geen detail, maar het bewijs
Een groen vinkje in een back-upconsole zegt alleen dat een taak zonder technische fout lijkt te zijn uitgevoerd. Het bewijst niet dat een bestand volledig is, dat een database correct opent of dat een server kan opstarten in een herstelomgeving.
Plan daarom vaste hersteltests. Begin praktisch: zet maandelijks enkele willekeurige bestanden terug naar een aparte locatie en controleer of medewerkers ze kunnen openen. Test minstens periodiek ook een volledige toepassing of virtuele server. Meet daarbij de echte hersteltijd en vergelijk die met uw afgesproken RTO.
Noteer wat er nodig was: welke accounts, sleutels, licenties, netwerkconfiguraties en contactpersonen betrokken waren. Tijdens een incident is er geen tijd om die informatie nog bijeen te zoeken. Een kort, actueel herstelplan maakt het verschil tussen gericht handelen en urenlang improviseren.
Wie volgt de back-ups elke dag op?
Geautomatiseerde back-ups besparen tijd, maar nemen de verantwoordelijkheid niet weg. Iemand moet afwijkingen opvolgen. Een mislukte taak door een volle opslaglocatie, verlopen toegangsrechten of een onbereikbare server lost zichzelf niet op. Als die fout weken blijft bestaan, ontdekt u het pas wanneer herstel nodig is.
Voor veel kmo’s is dat een moeilijk punt. De zaakvoerder, interne medewerker of externe boekhouder heeft andere prioriteiten en kijkt niet dagelijks in technische meldingen. Dan is beheerde back-up een logische keuze: monitoring, opvolging van fouten, capaciteitsbeheer en hersteltests krijgen een duidelijke eigenaar. Network-IT combineert die opvolging met ondersteuning bij incidenten, zodat u niet zelf hoeft uit te zoeken welke kopie bruikbaar is wanneer de druk hoog is.
Wanneer moet u uw aanpak herzien?
Een back-upstrategie is geen eenmalig project. Ze moet mee evolueren wanneer u naar Microsoft 365 verhuist, een nieuwe vestiging opent, thuiswerk uitbreidt, software vervangt of meer persoonsgegevens verwerkt. Ook na een ransomware-incident, een mislukte hersteltest of terugkerende back-upmeldingen is een grondige evaluatie nodig.
Stel uzelf vooral deze praktische vraag: als uw belangrijkste systeem deze namiddag uitvalt, wie doet wat en wanneer kunnen medewerkers weer verder? Kunt u daarop geen concreet antwoord geven, dan is dat geen reden tot paniek, maar wel een duidelijk startpunt. Breng uw kritische processen en gegevens in kaart, bepaal haalbare hersteltijden en laat uw herstel minstens één keer onder gecontroleerde omstandigheden bewijzen. Dat geeft uw organisatie iets waardevollers dan alleen een kopie van data: de zekerheid dat ze kan blijven werken.