Backup og databeskyttelse

Backup og databeskyttelse er den service der sikrer at virksomhedens data kan gendannes, uanset om årsagen er en fejlslettet fil, en defekt harddisk, en medarbejderfejl eller et ransomwareangreb. Det er en af de mest grundlæggende IT-ydelser, men også en af dem der oftest bliver nedprioriteret, indtil skaden er sket og der ikke er noget at gendanne fra.

En backup-service dækker typisk tre lag af data. Serverdata, herunder filservere, databaser og virksomhedens applikationer, er det mest kritiske lag fordi det ofte er her de forretningskritiske systemer ligger. Klientdata på medarbejdernes computere dækker lokalt gemte filer, som mange virksomheder overser fordi de antager at alt vigtigt allerede ligger i skyen. Endelig er der cloud-data i Microsoft 365, Google Workspace og andre SaaS-platforme, som mange fejlagtigt tror er fuldt beskyttet af leverandøren selv, men hvor ansvaret for at kunne gendanne data reelt ligger hos jer.

Sådan fungerer en moderne backup-service i praksis. Data kopieres automatisk efter en fast tidsplan, typisk flere gange dagligt for kritiske systemer og dagligt for øvrige. Kopierne gemmes både lokalt for hurtig gendannelse ved mindre hændelser og i skyen eller på en fysisk adskilt lokation for beskyttelse mod større katastrofer som brand eller tyveri. Det centrale princip er 3-2-1-reglen: tre kopier af data, på to forskellige medietyper, med mindst én kopi fysisk adskilt fra det aktive netværk. Den sidste del er afgørende mod ransomware, fordi angribere aktivt søger efter og krypterer backup-systemer der er tilgængelige fra det samme netværk som de rammer først.

Hvad indgår typisk i en backup-aftale. Automatisk, planlagt backup af alle definerede systemer er grundydelsen, kombineret med overvågning der alarmerer hvis en backup-kørsel fejler eller ikke gennemføres som planlagt. Regelmæssig testgendannelse er en ydelse mange leverandører desværre springer over, men er den eneste måde at vide med sikkerhed at backuppen faktisk virker. God backup-service inkluderer også en defineret gendannelsestid, altså hvor hurtigt data kan være tilbage efter en hændelse, og opbevaringsperioder der matcher jeres behov, typisk mellem 30 dage og flere år afhængigt af data-typen og eventuelle lovkrav.

Prisen for backup varierer med datamængde og krav til gendannelseshastighed. Backup af servere ligger typisk mellem 300 og 1.000 kr. per server per måned afhængigt af datamængde, mens backup af Microsoft 365-data koster mellem 30 og 60 kr. per bruger per måned. Klientbackup af medarbejdercomputere koster typisk 50-100 kr. per enhed per måned. Den samlede omkostning skal altid ses i forhold til hvad et datatab reelt ville koste, og for de fleste virksomheder er svaret et sted mellem flere hundrede tusinde og flere millioner kroner når man medregner tabt produktivitet og eventuel løsesum.

Ved valg af backup-leverandør bør I stille konkrete spørgsmål. Hvor ofte testes gendannelse reelt, og kan I selv se dokumentation for testene. Er mindst én kopi immutable eller air-gapped, så den ikke kan krypteres af ransomware der har fået adgang til netværket. Hvad er den garanterede gendannelsestid for jeres mest kritiske systemer, og matcher det jeres forretningsbehov. Hvor lang opbevaringsperiode er inkluderet, og hvad koster det at forlænge den. Svarene afslører hurtigt om leverandøren har en moden backup-praksis eller blot sælger diskplads uden reel gendannelsesgaranti.

De mest almindelige faldgruber ved backup er alle undgåelige med den rette opmærksomhed. Den første er at antage at Microsoft 365 eller Google Workspace er fuldt beskyttet af leverandøren, hvilket kun gælder infrastrukturens oppetid, ikke jeres data ved sletning eller kompromittering. Den anden er at have backup uden nogensinde at teste gendannelse, hvilket betyder I først opdager et problem med backuppen i det øjeblik I desperat har brug for den. Den tredje er at have alle kopier tilgængelige fra det samme netværk, så et ransomwareangreb kan kryptere både de originale filer og backuppen i samme bevægelse. Den fjerde er en for kort opbevaringsperiode, hvor et problem der først opdages efter flere måneder allerede er rullet ud af alle backup-kopier.

For virksomheder der er omfattet af NIS2 eller har skærpede compliance-krav er dokumenteret backup ikke længere valgfrit. Direktivet kræver konkret dokumentation af backup-rutiner og gendannelsestest som en del af den generelle beredskabsdokumentation, og en backup-service der ikke kan levere den dokumentation, lever ikke op til kravene uanset hvor godt den tekniske løsning i øvrigt fungerer.

Selve gendannelsesprocessen efter et ransomwareangreb illustrerer hvorfor arkitekturen bag backuppen betyder mere end selve funktionen af tage kopier. Når systemer er krypteret, skal IT-teamet først bekræfte at den seneste rene backup faktisk er intakt og ikke selv er blevet ramt, hvilket kræver at mindst én kopi har været utilgængelig for angriberne. Dernæst gendannes systemerne typisk i en bestemt rækkefølge, hvor de mest forretningskritiske, som e-mail, ERP og kundedatabaser, prioriteres først, mens mindre kritiske systemer som interne wikis og arkiver kan vente. En veldokumenteret backup-service har denne rækkefølge og de tilhørende procedurer klar på forhånd, så gendannelsen ikke skal improviseres midt i en krise.

Cloud-baseret backup-infrastruktur har i de senere år gjort professionel databeskyttelse økonomisk overkommelig for selv mindre virksomheder. I stedet for at investere i eget backup-udstyr og et fysisk offsite-lokale, kan data sendes krypteret til en cloud-udbyders datacentre og gendannes derfra ved behov. Det reducerer både anlægsomkostningen og behovet for intern teknisk ekspertise, men stiller til gengæld krav til at internetforbindelsen er stabil nok til at håndtere de datamængder der skal overføres ved en fuld gendannelse, hvilket bør indgå i dimensioneringen af jeres internetlinje.