Back-ups voor je bedrijf: de 3-2-1-regel zonder gedoe

De 3-2-1-regel is de kortste samenvatting van een werkende back-upstrategie: zorg dat je van je belangrijke bestanden drie versies hebt (het origineel plus twee back-ups), bewaar die op minstens twee verschillende soorten opslag, en houd er één op een andere locatie. Dat advies komt van het NCSC, dat er een stappenplan voor ondernemers over publiceert. Voor een klein bedrijf is dat prima te regelen met spullen die je waarschijnlijk al hebt: je cloudopslag, een externe schijf en een half uur aandacht.

De reden voor die drie getallen wordt duidelijk als je bedenkt waar het misgaat. Eén kopie beschermt je tegen een kapotte schijf. Twee soorten opslag beschermen je tegen een fout in één systeem. Een kopie op een andere plek beschermt je tegen brand, waterschade en diefstal, want een externe schijf naast de laptop gaat bij een inbraak gewoon mee de deur uit.

Is mijn Dropbox of OneDrive al een back-up?

Nee, en dit is het misverstand dat de meeste bedrijven duur komt te staan. Synchronisatie is geen back-up. Een clouddienst zoals OneDrive, Google Drive of Dropbox zorgt dat je bestanden overal hetzelfde zijn. Dat is precies het probleem: verwijder je een map, of versleutelt ransomware je bestanden, dan synchroniseert die dienst die verwijdering of versleuteling keurig door naar al je apparaten. Binnen een minuut is de schade overal.

Deze diensten hebben wel een prullenbak en meestal versiegeschiedenis, en die redden je bij een enkel per ongeluk overschreven bestand. Maar de bewaartermijn is beperkt (vaak dertig dagen) en je merkt een probleem lang niet altijd binnen die termijn. Behandel je clouddienst dus als één van de drie kopieën, niet als de hele oplossing.

Wat back je eigenlijk op?

Begin niet bij de techniek maar bij de vraag welke bestanden je bedrijf stilleggen als ze morgen weg zijn. Voor de meeste eenmanszaken en kleine bedrijven is dat een korte lijst: je administratie en facturen, je klantgegevens, je lopende projectbestanden, je foto’s en ontwerpen, en de digitale sleutels van je bedrijf zoals de exports van je wachtwoordmanager en je back-upcodes voor tweestapsverificatie.

Wat mensen vergeten: je mailbox. Als al je afspraken, offertes en klantencorrespondentie alleen in Gmail of Outlook staan, dan is dat account je archief en heb je er geen kopie van. Zowel Google als Microsoft heeft een exportfunctie waarmee je je mail lokaal kunt binnenhalen. Twee keer per jaar zo’n export op een externe schijf is beter dan wat de meeste bedrijven hebben.

En vergeet je website niet, met de database erbij. Een WordPress-site zonder database is een lege huls.

Hoe vaak moet je een back-up maken?

Zo vaak dat je het verlies van de tussenliggende periode kunt dragen. Dat is de enige eerlijke maat. Zet het om in een concrete vraag: hoeveel werk kan ik opnieuw doen zonder dat het een ramp is? Als het antwoord “een dag” is, dan is een dagelijkse back-up je ondergrens.

Voor je administratie en je lopende werk betekent dat in de praktijk dagelijks, en automatisch, want een back-up die je handmatig moet starten sla je op een drukke week over. Voor het archief dat toch niet meer verandert, is maandelijks of per kwartaal genoeg. Het NCSC noemt dagelijks een systeemkopie de veiligste optie: dat is een complete kopie van je schijf inclusief programma’s en instellingen, in plaats van alleen je bestanden. Het verschil merk je pas als je computer echt kapot is, want dan scheelt een systeemkopie je een dag opnieuw installeren.

Waarom moet er één kopie los staan?

Vanwege ransomware. Kwaadaardige software die je bestanden versleutelt, zoekt tegenwoordig actief naar je back-ups, en alles wat op dat moment gekoppeld is, gaat mee. Een netwerkschijf die altijd aanstaat en een cloudmap die continu synchroniseert zijn allebei bereikbaar voor iets dat op je computer draait.

Een kopie die er niet bij kan, is daarom je laatste redmiddel. Dat kan een externe schijf zijn die je na de back-up loskoppelt en in een la legt, of een back-updienst waarin oudere versies niet overschreven of verwijderd kunnen worden. Laagdrempelige variant voor een eenmanszaak: twee externe schijven, om de week wisselen, en de ene ligt altijd ergens anders dan de andere. Dat is niet elegant, maar het werkt en het kost je één handeling per week.

Hoe weet je of je back-up werkt?

Door hem terug te zetten. Dit is de stap die vrijwel iedereen overslaat, en de reden waarom bedrijven op het slechtst denkbare moment ontdekken dat hun back-up al maanden stilletjes faalde of alleen een lege map bevatte.

De test hoeft niet groot te zijn. Pak een keer per kwartaal een willekeurig bestand uit je back-up en open het. Doe één keer per jaar de zwaardere versie: kun je vanaf je back-up daadwerkelijk verder werken als je laptop vanavond wordt gestolen? Zet ook een herinnering om te controleren of de automatische back-up nog draait, want de meest voorkomende storing is niet een corrupte kopie maar een taak die na een update van je computer is uitgevallen zonder dat iemand het merkte.

En je website?

Die valt buiten je eigen back-ups, want die staat op een server van iemand anders. Veel hostingpartijen maken back-ups, en dat is prettig, maar controleer twee dingen voordat je erop vertrouwt: hoe ver terug ze gaan, en of jij ze zelf kunt terugzetten of daarvoor afhankelijk bent van een supportafdeling die op zaterdag niet reageert. Een back-up van gisteren die je pas dinsdag kunt inzetten, is bij een gehackte site geen back-up.

Voor WordPress geldt daarbij dat je site uit twee delen bestaat: de bestanden (thema, plugins, geüploade afbeeldingen) en de database (je pagina’s, berichten en instellingen). Beide moeten mee, en het liefst uit hetzelfde moment. Een goede regel: maak altijd handmatig een verse back-up vlak voor je een grote update doet, want dat is statistisch het moment waarop websites breken.

Automatische back-ups van je website, met de bijbehorende updates en het terugzetten als het misgaat, horen bij hosting en beheer. Dan hoef je zelf niet te onthouden of de back-up van vannacht het heeft gehaald.