Je hoort het vaak: “Ik heb toch een back-up?” of “Heb ik dat echt nodig?” Totdat er iets misgaat. Een laptop die crasht. Een map die per ongeluk wordt verwijderd. Ransomware die bestanden versleutelt. En dan wil je maar één ding: zo snel mogelijk weer door kunnen werken.

In dit artikel leggen we uit wat een goede back-up is, welke soorten back-ups er zijn, wat ‘best practice’ is (zoals de 3-2-1-regel) en waarom ‘in de cloud’ niet automatisch betekent dat je altijd alles kunt herstellen.

Wat is een back-up eigenlijk?

Een back-up is een onafhankelijke kopie van je data, bedoeld om te kunnen herstellen als er data kwijt is, beschadigd raakt of niet meer beschikbaar is. Belangrijk detail: een back-up is gemaakt voor herstel. Dus niet alleen “ergens opgeslagen”, maar terug te zetten naar een werkbare situatie.

Waarom een back-up nodig blijft (ook met moderne beveiliging)

• Menselijke fouten: per ongeluk verwijderen, overschrijven, verkeerde map verplaatsen.
• Cybercriminaliteit: ransomware, account takeover, kwaadwillende acties met geldige rechten.
• Technische issues: defecte schijf, corrupte database, mislukte update.
• Calamiteiten: brand, waterschade, diefstal, stroomproblemen.
• Compliance & bewaarplicht: data moet soms langer bewaard worden dan standaardinstellingen toestaan.

“Maar ik zit toch in de cloud… dan is het toch geregeld?”

Cloudopslag en samenwerken in de cloud is geweldig voor bereikbaarheid en productiviteit. Maar cloud is niet automatisch back-up. Veel clouddiensten werken met synchronisatie en beperkte bewaartermijnen. Als een bestand wordt verwijderd of versleuteld, wordt die wijziging vaak gewoon doorgezet.

Daarnaast hanteren cloudleveranciers een gedeelde verantwoordelijkheid: zij zorgen voor het platform (beschikbaarheid en infrastructuur), jij blijft verantwoordelijk voor je eigen data en herstel. Microsoft benoemt dit ook in hun documentatie rondom Microsoft 365 Back-up: disaster recovery-kopieën en versiegeschiedenis zijn niet hetzelfde als een schaalbare back-up voor herstel na bijvoorbeeld ransomware.

Welke soorten back-ups zijn er?

• On-premise back-up: back-up naar een lokale server/NAS of back-up appliance. Voordeel: snel herstel en volledige controle. Aandachtspunt: zorg voor een kopie buiten het pand.
• Cloud back-up: back-up naar een externe locatie (bijvoorbeeld een datacenter of cloudopslag) met duidelijke retentie en herstelopties. Voordeel: geografische scheiding. Aandachtspunt: internet en kosten/retentie goed inrichten.
• Hybride back-up: combinatie van lokaal (snel) en extern (veilig). In de praktijk vaak de beste mix: snel terugzetten bij dagelijkse incidenten én beschermd bij grotere calamiteiten.

Best practice: zo maak je back-ups die je ook écht kunt terugzetten

Een back-up valt of staat met inrichting én controle. Een paar praktische uitgangspunten die we in vrijwel elke omgeving toepassen:

1. Volg de 3-2-1-regel: houd minimaal 3 kopieën van belangrijke data, op 2 verschillende soorten opslag/media, waarvan 1 kopie offsite. De Amerikaanse cybersecurity-instantie CISA gebruikt deze regel als praktische richtlijn voor betere herstelbaarheid.
2. Maak retentie een bewuste keuze: hoe ver terug in de tijd moet je kunnen (dagen/weken/maanden/jaren)? Dit moet passen bij je risico’s en wet- en regelgeving.
3. Denk aan immutability/‘niet te wijzigen’ back-ups: bescherming tegen ransomware wordt sterker als (een deel van) je back-ups niet zomaar te verwijderen of aan te passen zijn.
4. Versleutel en beperk toegang: back-ups bevatten vaak je meest gevoelige data. Zorg voor sterke toegangsbeveiliging en encryptie.
5. Monitoren + rapportage: een back-up die ‘stil’ faalt, is geen back-up. Automatiseer meldingen en controleer rapportages.
6. Test herstel (periodiek): NIST benadrukt in guidance dat back-ups niet alleen gemaakt, maar ook onderhouden en getest moeten worden. Hersteltesten voorkomen verrassingen op het moment dat het erop aankomt.

Back-up met encryptie (NEN 7510 / ISO 27001): waarom het belangrijk is

Werk je met (bijzondere) persoonsgegevens of gevoelige bedrijfsdata, dan is het niet genoeg om alleen te back-uppen. Je moet ook kunnen aantonen dat de data in die back-up goed is beschermd. In normenkaders zoals NEN 7510 (zorg) en ISO 27001/27002 ligt de nadruk op vertrouwelijkheid: gevoelige informatie mag niet leesbaar zijn voor onbevoegden, óók niet als een back-upbestand of back-upschijf ooit in verkeerde handen valt.

Encryptie op je back-ups is daarom belangrijk op twee momenten: tijdens transport (bijv. van server naar back-up locatie) én opslag (de back-up die ‘rust’ op een NAS, tape of in de cloud). Zonder encryptie kan die back-up in het slechtste geval een compleet datalek worden—met alle meldplicht- en reputatierisico’s van dien.

• Encryptie op back-ups is alleen sterk als sleutelbeheer klopt: bewaar encryptiesleutels/credentials strikt gescheiden en beperkt toegankelijk (least privilege).
• Gebruik sterke encryptie (bijvoorbeeld AES-256 waar mogelijk) en leg vast wat je gebruikt (handig bij audits).
• Beperk wie kan back-uppen én terugzetten: restore-rechten zijn vaak net zo gevoelig als admin-rechten.
• Log en monitor back-up- en restore-acties (wie, wat, wanneer) zodat je kunt aantonen wat er is gebeurd.
• Test herstel: een versleutelde back-up is pas waardevol als je kunt bewijzen dat je hem ook kunt terugzetten (incl. sleutels en procedures).

Tip: zie encryptie niet als ‘extra’, maar als onderdeel van een volwassen back-upstrategie—zeker als je aan NEN 7510 of ISO moet voldoen. Het maakt het verschil tussen “we hebben een kopie” en “we zijn aantoonbaar in control”.

Microsoft 365 (Teams, SharePoint, OneDrive, Exchange): waar veel misverstanden ontstaan

Werken in Microsoft 365 voelt veilig: er is versiegeschiedenis, een prullenbak en er zijn retentie-instellingen. Handig, zeker. Maar in de praktijk zijn dit vooral functies voor dagelijkse fouten en niet altijd geschikt voor grootschalig herstel (bijvoorbeeld na ransomware of massale verwijdering).

• Retentie is geen back-up: retentie/bewaarbeleid is bedoeld voor bewaren en compliance, niet voor snel massaal terugzetten naar een ‘gezonde’ status.
• Versies zijn beperkt: versiegeschiedenis kan niet altijd schaalbaar of toereikend zijn (denk aan limieten, beheercomplexiteit of het gewenste herstelmoment).
• Shared responsibility: Microsoft beheert de dienst, maar organisaties blijven verantwoordelijk voor hun eigen data en herstelproces.

Snelle check: voldoet jouw back-up aan de basis?

• Heb je minimaal één kopie buiten je kantoor/bedrijfslocatie?
• Kun je terug naar een punt in de tijd van vorige week/maand (wat jij nodig hebt)?
• Worden back-ups automatisch gecontroleerd en krijg je meldingen bij fouten?
• Is (een deel van) de back-up beschermd tegen ransomware (bijv. immutable of streng afgeschermd)?
• Heb je het herstel getest (niet alleen ‘het maken’ van de back-up)?
• Is ook je Microsoft 365-data (Exchange/OneDrive/SharePoint/Teams) meegenomen volgens jouw eisen?

Back-up regelen zonder gedoe? Wij helpen je graag.

Bij Conniction kijken we naar jouw manier van werken (on-prem, cloud of hybride) en richten we een back-upoplossing in die past bij je organisatie. Met monitoring, heldere rapportages en periodieke hersteltests, zodat je weet dat je kunt herstellen als het nodig is. Wil je sparren over jouw situatie? Neem contact met ons op, dan denken we met je mee.