Sikkerhetskopiering for små bedrifter: 3-2-1-regelen i praksis

Regelen er en tommelfingerregel som har holdt seg fordi den fjerner de vanligste enkeltfeilene:

• 3 kopier av dataene: originalen pluss minst to sikkerhetskopier.
• 2 forskjellige medier eller lagringsteknologier – for eksempel lokal disk/NAS og skylagring. Da rammer ikke én feiltype alt samtidig.
• 1 kopi utenfor lokalene. Denne redder deg ved brann, flom, tyveri – og ved løsepengevirus som sprer seg i det lokale nettverket.

NSM anbefaler i sine grunnprinsipper for IKT-sikkerhet at man tar sikkerhetskopier og verifiserer at tilbakekopiering er mulig. Det siste er den delen folk hopper over.

Dette er den dyreste misforståelsen på hele feltet. Tjenester som synkroniserer filene dine til skyen speiler endringer – og det gjelder også de endringene du ikke ønsket.

Sletter du en mappe, blir den slettet overalt. Krypterer et løsepengevirus filene, blir de krypterte versjonene synkronisert opp. Overskriver noen et regneark med tull, forsvinner innholdet i alle kopiene.

En ekte sikkerhetskopi er en versjon i tid som du kan gå tilbake til, og som ikke endres av det som skjer med originalen. Sjekk hvor lang versjonshistorikk tjenesten din faktisk har – ofte er den kortere enn tiden det tar å oppdage at noe er galt.

Moderne løsepengevirus leter aktivt etter sikkerhetskopier og sletter dem før de krypterer. Derfor må minst én kopi være utenfor rekkevidde:

• Uforanderlig lagring (immutable / WORM): kopien kan ikke endres eller slettes i en bestemt periode, heller ikke av en administrator.
• Frakoblet kopi: en disk som fysisk kobles fra etter kopiering.
• Separate tilganger: backup-systemet skal ikke bruke samme kontoer som resten av nettverket, og bør ha egen tofaktorpålogging.

En sikkerhetskopi som en angriper med domeneadministrator-tilgang kan slette, er ikke en sikkerhetskopi – det er en fil.

Mange sikkerhetskopierer filserveren og glemmer resten. Gå gjennom listen:

• Filer og dokumenter
• E-post – også når den ligger i en skytjeneste
• Regnskap og lønn, inkludert bilag
• Nettsted og database (ikke bare filene – databasen er som regel det viktige)
• Kundesystem/CRM og prosjektsystem
• Konfigurasjon: brannmur, servere, oppsett som tok dager å få riktig
• Sertifikater, lisensnøkler og tilganger

Skytjenester har delt ansvar. Leverandøren sikrer infrastrukturen; *dine data* er som regel ditt ansvar. Sjekk hva avtalen faktisk dekker – flere store e-post- og kontorpakker har begrenset gjenopprettingsvindu, ofte 30–90 dager.

To spørsmål gir deg hele backup-strategien:

RPO – hvor mye data tåler du å miste? Svarer du «én arbeidsdag», må du kopiere minst daglig. Svarer du «en time», trenger du hyppigere kopiering eller kontinuerlig replikering.

RTO – hvor lenge tåler du å være nede? Svarer du «to timer», holder det ikke å laste ned to terabyte over en vanlig internettlinje – da trenger du en lokal kopi å gjenopprette fra.

Regn på hva en dags stans faktisk koster i tapt omsetning og lønn. Det tallet forteller deg hvor mye det er rasjonelt å bruke på sikkerhetskopiering.

En sikkerhetskopi du aldri har gjenopprettet fra, er en antakelse. De klassiske overraskelsene er at jobben har feilet i månedsvis uten at noen så varselet, at en viktig mappe aldri var med, eller at gjenoppretting tar tre døgn i stedet for tre timer.

Gjør dette fast:

• Månedlig: gjenopprett noen tilfeldige filer og sjekk at de kan åpnes.
• Årlig: kjør en full gjenopprettingstest av et helt system, og ta tiden.
• Alltid: overvåk at jobbene faktisk kjører, og få varsel ved feil.
• Dokumenter hvordan gjenoppretting gjøres – og oppbevar dokumentasjonen et sted som er tilgjengelig når systemene er nede.

Skriv ned dato og resultat for hver test. Det er også nyttig dokumentasjon i en revisjon eller ved en forsikringssak.

Sikkerhetskopier inneholder personopplysninger, og reglene følger med. Det betyr at kopiene skal være tilstrekkelig sikret, som regel med kryptering, og at du bør ha en bevisst oppbevaringstid i stedet for å ta vare på alt for alltid.

Lagrer du kopier hos en leverandør, er det en databehandler, og da skal det foreligge en databehandleravtale. Sjekk også hvor dataene fysisk lagres.

Ved sletting av personopplysninger må du ha en plan for hvordan det håndteres i backup – en rimelig tilnærming er at kopiene rulleres ut innenfor en definert oppbevaringstid.

Sjekk hva som kopieres i dag, og hva som mangler. Sett RPO og RTO. Sørg for tre kopier, to medier, én utenfor huset – og minst én som ikke kan slettes av en angriper. Slå på varsling ved feil. Gjenopprett noen filer for å se at det virker.

Trenger du hjelp til å sette det opp eller til å teste at dagens løsning faktisk holder, kan du legge ut et oppdrag og få tilbud fra IT-leverandører.