Backup en Disaster Recovery Plan voor MKB

Stel je voor: maandagochtend kom je op kantoor en al je systemen zijn onbereikbaar. De server is gecrasht, ransomware heeft je bestanden versleuteld, of een brand heeft je serverruimte verwoest. Wat doe je? Als je het antwoord niet direct weet, heb je een probleem. Een probleem dat je met een goed disaster recovery plan kunt voorkomen.

Onderzoek van het Digital Trust Center laat zien dat ongeveer 60% van de MKB-bedrijven die getroffen worden door een ernstige IT-ramp en geen herstelplan hebben, binnen zes maanden de deuren sluit. Dat is geen theoretisch risico. Dat gebeurt bij echte bedrijven, met echte medewerkers en echte klanten. Wil je weten hoe jouw beveiliging ervoor staat? Neem dan contact met ons op voor een vrijblijvend gesprek.

In dit artikel leggen we alles uit over backups, disaster recovery en bedrijfscontinuiteit. Van de basisprincipes tot een concreet 7-stappenplan dat je direct kunt toepassen.

Wat is disaster recovery?#

Disaster recovery (DR) is het geheel van procedures, beleidsregels en technische maatregelen waarmee je je IT-systemen en data herstelt na een verstoring. Die verstoring kan van alles zijn: een hardwarefout, een cyberaanval, een stroomstoring, een overstroming of menselijke fouten.

Het doel van disaster recovery is eenvoudig: je bedrijf zo snel mogelijk weer operationeel krijgen na een incident. Dat klinkt logisch, maar in de praktijk betekent het dat je vooraf moet nadenken over welke systemen het belangrijkst zijn, hoeveel dataverlies je kunt accepteren en hoelang je zonder bepaalde applicaties kunt.

Disaster recovery is niet hetzelfde als een backup. Een backup is een kopie van je data. Disaster recovery is een compleet plan dat beschrijft hoe je die data terugzet, welke systemen je in welke volgorde herstelt, wie verantwoordelijk is en hoe je communiceert tijdens een crisis. Een backup zonder DR-plan is als een brandblusser zonder te weten waar de nooduitgang zit.

RTO en RPO uitgelegd#

Twee begrippen die centraal staan in elk disaster recovery plan zijn RTO en RPO. Ze klinken technisch, maar het concept is eenvoudig.

Recovery Time Objective (RTO)#

De RTO is de maximale tijd die mag verstrijken voordat een systeem weer operationeel is na een incident. Met andere woorden: hoelang kun je zonder een bepaald systeem?

Voorbeelden:

• Je webshop genereert 10.000 euro omzet per dag. Elke uur downtime kost je circa 400 euro. Je RTO voor de webshop is waarschijnlijk 1-2 uur.
• Je interne wiki wordt een paar keer per week geraadpleegd. Een RTO van 24-48 uur is acceptabel.
• Je boekhoudsoftware is nodig voor dagelijkse facturatie. RTO: 4-8 uur.

Recovery Point Objective (RPO)#

De RPO is de maximale hoeveelheid data die je kunt verliezen bij een incident. Het bepaalt hoe vaak je backups maakt.

Voorbeelden:

• RPO van 0 minuten: je kunt geen enkel dataverlies accepteren (vereist real-time replicatie)
• RPO van 1 uur: je kunt maximaal 1 uur aan data verliezen (vereist uurlijkse backups)
• RPO van 24 uur: je kunt maximaal een dag aan data verliezen (dagelijkse backups volstaan)

Vuistregel: Hoe lager je RTO en RPO, hoe hoger de kosten. Een RTO van 0 minuten vereist een volledig redundant systeem. Een RTO van 24 uur kan al met een goede backup en een helder herstelplan.

Backup strategie: de 3-2-1 regel#

De 3-2-1 regel is de gouden standaard voor backups en vormt de basis van elk disaster recovery plan. Het principe is eenvoudig:

• 3 kopieen van je data (het origineel plus twee backups)
• 2 verschillende opslagmedia (bijvoorbeeld lokale NAS en cloud)
• 1 kopie offsite (buiten je kantoorlocatie)

Waarom drie kopieen?#

Als je origineel en je backup op dezelfde locatie staan en er is brand, ben je alles kwijt. Met drie kopieen op verschillende locaties en media is de kans dat je alles verliest statistisch verwaarloosbaar.

Praktische invulling voor MKB#

Belangrijk: test je backups maandelijks. Bij 30% van de MKB-bedrijven blijken backups bij een incident corrupt, incompleet of te oud om bruikbaar te zijn. Een backup die je niet kunt terugzetten is geen backup.

Heb je behoefte aan professioneel backupbeheer? Bekijk dan onze onderhoudsdiensten voor een zorgeloze oplossing.

Backup vs disaster recovery: het verschil#

Dit onderscheid is cruciaal en wordt vaak over het hoofd gezien.

Een bedrijf met alleen backups maar zonder DR-plan staat bij een incident voor de vraag: wie zet wat terug, in welke volgorde, op welke hardware en hoe communiceren we naar klanten? Dat wil je niet uitzoeken terwijl de klok tikt.

Cloud disaster recovery (DRaaS)#

Disaster Recovery as a Service (DRaaS) is een cloudoplossing waarbij je complete IT-omgeving continu gerepliceerd wordt naar een extern datacenter. Bij een incident kun je binnen minuten overschakelen naar de cloudomgeving.

Voordelen van DRaaS voor MKB#

• Geen eigen hardware nodig: je hoeft geen tweede serverruimte in te richten
• Lagere RTO: failover in minuten in plaats van uren of dagen
• Schaalbaar: je betaalt voor wat je gebruikt
• Automatisch testen: veel DRaaS-providers bieden geautomatiseerde DR-tests

Populaire DRaaS-oplossingen#

• Azure Site Recovery: ideaal als je al Microsoft 365 of Azure gebruikt
• Veeam Cloud Connect: breed ondersteund, werkt met veel cloudproviders
• Acronis Cyber Protect Cloud: combineert backup en DR met cybersecurity
• Datto: populair bij managed service providers voor MKB

Kosten indicatie: DRaaS voor een MKB-omgeving met 5-10 servers kost tussen de 500 en 2.000 euro per maand, afhankelijk van opslagruimte en gewenste RTO. Dat lijkt veel, maar vergelijk het met de kosten van een week bedrijfsstilstand. Voor advies over de juiste hosting-oplossing voor jouw situatie kun je altijd bij ons terecht.

Disaster recovery plan opstellen: 7 stappen#

Hieronder vind je een concreet stappenplan waarmee je een DR-plan voor je bedrijf opstelt.

Stap 1: Inventariseer je kritieke systemen#

Maak een lijst van alle IT-systemen, applicaties en databronnen die je bedrijf gebruikt. Prioriteer ze op basis van bedrijfsimpact:

• Kritiek (RTO < 4 uur): webshop, ERP, email, telefoonsysteem
• Belangrijk (RTO < 24 uur): CRM, boekhoudsoftware, projectmanagement
• Ondersteunend (RTO < 72 uur): intranet, kennisbank, archiefsystemen

Stap 2: Bepaal je RTO en RPO per systeem#

Stel voor elk systeem vast hoelang je zonder kunt (RTO) en hoeveel dataverlies je accepteert (RPO). Betrek hierbij je financiele afdeling: wat kost een uur downtime van je webshop? Wat kost het als je een dag aan orders kwijtraakt?

Stap 3: Kies je backup- en recovery-strategie#

Op basis van je RTO en RPO kies je de juiste technische oplossing:

• RPO < 15 minuten: real-time replicatie of continue data protection (CDP)
• RPO < 1 uur: uurlijkse snapshots naar cloud
• RPO < 24 uur: dagelijkse backups (3-2-1 regel)
• RTO < 1 uur: DRaaS met automatische failover
• RTO < 4 uur: warm standby met handmatige failover
• RTO < 24 uur: cold standby met backups terugzetten

Stap 4: Wijs rollen en verantwoordelijkheden toe#

Elk DR-plan heeft duidelijke rollen nodig:

• DR-manager: neemt het besluit om het DR-plan te activeren
• Technisch team: voert de herstelwerkzaamheden uit
• Communicatie-lead: informeert medewerkers, klanten en leveranciers
• Management: beslist over budgetten en prioriteiten

Zorg dat er voor elke rol een vervanger is. Een DR-plan dat afhankelijk is van een persoon die toevallig op vakantie is, werkt niet.

Stap 5: Schrijf de herstelprocedures uit#

Documenteer voor elk kritiek systeem stap voor stap hoe het herstel verloopt. Wees specifiek:

• Waar staan de backups precies?
• Welke inloggegevens zijn nodig en waar zijn ze opgeslagen?
• In welke volgorde moeten systemen worden opgestart?
• Welke afhankelijkheden bestaan er tussen systemen?
• Hoe verifieer je dat het herstel geslaagd is?

Stap 6: Stel een communicatieplan op#

Tijdens een crisis is communicatie net zo belangrijk als technisch herstel. Je communicatieplan bevat:

• Interne communicatie: hoe informeer je medewerkers? Via welk kanaal als email niet werkt?
• Externe communicatie: hoe informeer je klanten en leveranciers?
• Wettelijke meldingen: bij een datalek moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens
• Sociale media: wie beheert communicatie op social media tijdens een incident?

Stap 7: Documenteer en bewaar het plan#

Je DR-plan moet toegankelijk zijn, ook als je IT-systemen niet beschikbaar zijn. Bewaar het plan daarom op meerdere plaatsen:

• Digitaal in de cloud (apart van je productieomgeving)
• Fysiek geprint op een bekende locatie
• Beschikbaar voor alle betrokkenen (niet alleen IT)

Testen van je disaster recovery plan#

Een DR-plan dat nooit getest is, is een document. Geen plan. Test minimaal jaarlijks en bij voorkeur halfjaarlijks.

Soorten DR-tests#

Tabletop exercise (desktop-oefening): Het team loopt het plan stap voor stap door zonder daadwerkelijk systemen te raken. Laagdrempelig, snel uitgevoerd. Ideaal als eerste test.

Walkthrough test: Het technisch team doorloopt de herstelprocedures in detail en controleert of alle documentatie klopt. Zijn de inloggegevens nog actueel? Bestaan de genoemde backups?

Simulation test: Een realistisch scenario wordt nagespeeld. Bijvoorbeeld: "De fileserver is versleuteld door ransomware. Herstel de data vanuit de backup." Dit test de daadwerkelijke hersteltijd.

Full failover test: De complete omgeving wordt overgeschakeld naar de DR-locatie. De meest grondige test, maar ook de meest risicovolle. Plan dit buiten kantooruren.

Documenteer de resultaten van elke test en pas het plan aan op basis van bevindingen. Veelvoorkomende resultaten: backups die niet compleet zijn, procedures die verouderd zijn of medewerkers die hun rol niet kennen.

Ransomware recovery: specifieke aandachtspunten#

Ransomware is de meest voorkomende reden waarom MKB-bedrijven hun DR-plan nodig hebben. Bij ransomware worden al je bestanden versleuteld en wordt losgeld geeist.

Waarom standaard backups niet altijd werken bij ransomware#

Moderne ransomware is slim. Het versleutelt niet meteen, maar wacht eerst dagen of weken. In die tijd worden ook je backups besmet. Als je alleen de laatste backup terugzet, zet je de ransomware mee terug.

Ransomware-bestendige backup strategie#

• Immutable backups: backups die niet gewijzigd of verwijderd kunnen worden, ook niet door een beheerder. Diensten als Veeam, Wasabi en Backblaze B2 ondersteunen dit.
• Air-gapped backups: backups op media die fysiek niet verbonden zijn met je netwerk. Denk aan tapes of externe schijven die na de backup losgekoppeld worden.
• Langere retentie: bewaar backups langer (30-90 dagen) zodat je kunt terugvallen op een versie van voor de infectie.
• Separate admin-accounts: gebruik aparte accounts voor backupbeheer die niet gekoppeld zijn aan je domein
• Patch management: houd alle systemen up-to-date om kwetsbaarheden te dichten die ransomware misbruikt -- lees meer over patch management en software actueel houden

Herstelprocedure bij ransomware#

1. Isoleer getroffen systemen direct van het netwerk -- volg daarbij je incident response plan voor een gestructureerde aanpak
2. Identificeer de ransomware-variant (tools: ID Ransomware, No More Ransom)
3. Bepaal de scope: welke systemen zijn geraakt?
4. Controleer of je backups schoon zijn (scan op malware)
5. Herstel systemen vanuit een schone backup
6. Versterk je beveiliging voordat je systemen weer online brengt
7. Meld het incident bij de politie en eventueel de Autoriteit Persoonsgegevens

Wil je je webbeveiliging laten beoordelen om ransomware-risico te verkleinen? Wij helpen je graag.

Microsoft 365 backup: een veelgemaakte misvatting#

Veel MKB-bedrijven denken dat Microsoft 365 automatisch al hun data beschermt. Dat is een gevaarlijke misvatting.

Wat Microsoft wel en niet beschermt#

Microsoft garandeert de beschikbaarheid van de dienst (99,9% uptime SLA), maar niet de bescherming van jouw data. Specifiek:

• Verwijderde items worden na 93 dagen definitief verwijderd uit de Prullenbak
• SharePoint versiehistorie is beperkt en kan overschreven worden
• OneDrive bestanden gedeeld met vertrokken medewerkers gaan verloren als het account wordt verwijderd
• Exchange mailboxen van voormalige medewerkers worden na licentie-opheffing verwijderd
• Ransomware kan via OneDrive sync je cloudbestanden versleutelen

Wat je moet backuppen in Microsoft 365#

Aanbevolen Microsoft 365 backup-oplossingen#

• Veeam Backup for Microsoft 365: marktleider, breed inzetbaar
• Acronis Cyber Protect: combineert backup met security
• AvePoint Cloud Backup: speciaal ontworpen voor Microsoft 365
• Backupify (Datto): eenvoudig, betaalbaar voor klein MKB

Kosten: reken op 3 tot 8 euro per gebruiker per maand voor een goede Microsoft 365 backup-oplossing.

Bedrijfscontinuiteitsplanning (BCP)#

Disaster recovery is een onderdeel van een breder concept: bedrijfscontinuiteitsplanning (Business Continuity Planning, BCP). Waar DR zich richt op het herstellen van IT-systemen, richt BCP zich op het continueren van alle bedrijfsprocessen.

Het verschil tussen DR en BCP#

• DR: hoe krijgen we onze IT-systemen weer werkend?
• BCP: hoe blijft ons bedrijf draaien, ook als de IT-systemen (tijdelijk) niet beschikbaar zijn?

BCP gaat verder dan technologie. Het omvat ook:

• Alternatieve werklocaties: waar werken medewerkers als het kantoor ontoegankelijk is?
• Handmatige fallbacks: hoe verwerk je orders als het ERP-systeem niet beschikbaar is?
• Leverancierscontinuiteit: wat als een kritieke leverancier uitvalt?
• Personeelscontinuiteit: wat als sleutelpersonen langdurig afwezig zijn?

BCP in 4 stappen#

1. Business Impact Analysis: identificeer welke processen het belangrijkst zijn en wat de financiele impact is van uitval
2. Risico-analyse: welke dreigingen zijn het meest waarschijnlijk en impactvol?
3. Continuiteitsstrategieen: welke maatregelen neem je om de impact van uitval te beperken?
4. Plan en test: documenteer alles, train je team en test regelmatig

De kosten van geen DR-plan#

De cijfers spreken voor zich:

• 60% van MKB-bedrijven zonder DR-plan die een grote ramp meemaken, gaat binnen 6 maanden failliet
• De gemiddelde kosten van een uur downtime voor een MKB-bedrijf liggen tussen de 500 en 5.000 euro
• De gemiddelde hersteltijd zonder DR-plan is 7-14 dagen. Met een DR-plan: uren
• 93% van bedrijven die langer dan 10 dagen zonder data zitten, gaat binnen een jaar failliet

Kosten van een DR-plan vs kosten van geen DR-plan#

De rekensom is helder. Een investering van 10.000 euro per jaar in disaster recovery beschermt je tegen een potentieel verlies van honderdduizenden euro en het voortbestaan van je bedrijf.

Praktisch: begin vandaag#

Je hoeft niet in een keer een volwassen DR-plan te hebben. Begin met deze drie stappen:

1. Inventariseer je drie belangrijkste systemen en controleer of je werkende backups hebt (test het)
2. Implementeer de 3-2-1 regel: zorg voor een offsite backup van je kritieke data
3. Schrijf op wie wat doet als het misgaat: een eenvoudig A4 met contactgegevens en eerste stappen is beter dan niets

Bouw van daaruit verder met een volledig DR-plan, DRaaS-oplossing en jaarlijkse tests. Overweeg een cybersecurity specialist in te huren als je professionele begeleiding wilt bij het opzetten en testen van je plan. Neem contact op als je direct hulp wilt bij een professioneel backup- en disaster recovery plan voor jouw bedrijf.