3-2-1-reglen, og hvad du skal tage backup af

Modul 6: Backup · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du afgøre, hvad du skal tage backup af (også dine cloudtjenester og din mail), forklare forskellen mellem synkronisering og en backup, og opstille et enkelt 3-2-1-skema for din egen virksomhed.
Nøglebegreber: backup, synkronisering, 3-2-1, version, opbevaringsperiode, cloud er ikke automatisk backup, delt ansvar

Hvorfor en backup er dit sidste sikkerhedsnet

Alle de andre tiltag i dette kursus mindsker risikoen for, at noget går galt. En backup gør noget andet: den sikrer, at du kan komme videre, når det går galt. En bærbar, der bliver stjålet fra bilen, en kollega der ved et uheld sletter en mappe med tilbud, en opdatering der ødelægger din webshop, ransomware der krypterer alt: i alle de tilfælde er spørgsmålet ikke længere "hvordan forhindrer vi det?" men "hvor hurtigt er vi tilbage?".

En backup er en kopi af dine data, som er adskilt fra originalen, og som du kan bruge til at gendanne en tidligere tilstand. De sidste ord er vigtige. En kopi, der straks ændrer sig sammen med originalen, hjælper dig ikke, hvis originalen er ødelagt eller krypteret.

Det nederlandske NCSC siger det ligeud i sin vejledning om, hvad du gør ved et ransomware-angreb: hvis der ikke er nogen måde at ophæve krypteringen på, er backup den eneste måde at få dine filer tilbage på.

Synkronisering er ikke en backup

Mange virksomhedsejere tror, de har en backup, fordi deres filer "ligger i skyen". Som regel mener de synkronisering: en mappe på din bærbare, der automatisk holdes ens med en mappe hos en cloudtjeneste, og ofte også med din telefon og en kollegas bærbare.

Synkronisering er praktisk, men gør præcis det, den lover: holde alt ens. Også fejlene.

Mange synkroniseringstjenester har faktisk en papirkurv og versioner: en slettet fil kan hentes tilbage i et stykke tid, og af en ændret fil gemmer tjenesten ældre udgaver. Det er et reelt sikkerhedsnet og ofte det hurtigste at hente noget tilbage med. Men det er begrænset. Papirkurven tømmes efter en fast periode, versioner udtyndes, og den, der overtager din konto, kan også tømme papirkurven. Se det som førstehjælp, ikke som din eneste backup.

3-2-1-reglen

En enkel tommelfingerregel, som det nederlandske NCSC også anbefaler, er 3-2-1-reglen:

• 3 kopier af dine data: originalen plus to backupper;
• på 2 forskellige typer lagring (for eksempel serveren hos din hostingudbyder og en ekstern disk, eller din bærbare og en separat backuptjeneste);
• hvoraf 1 er et andet sted, uden for dit kontor eller i et andet datacenter.

Tanken bag det: én hændelse må aldrig ramme alle kopier på samme tid. En brand på dit kontor rammer den bærbare og den eksterne disk, der ligger ved siden af, men ikke kopien et andet sted. En driftsforstyrrelse hos én cloudtjeneste rammer den tjeneste, men ikke disken i din skuffe. Ransomware rammer alt, der er koblet til, men ikke det, der er koblet fra (mere om det i lektion 6.2).

Et eksempel for Bageri Example:

1. Original: regnskabet og opskrifterne i cloudlageret, hjemmesiden og mailen hos hostingudbyderen.
2. Kopi 1: de automatiske backupper, som hostingudbyderen laver hver nat, på separate lagerservere.
3. Kopi 2: en gang om ugen en backup af de vigtigste mapper og en download af hjemmesidens backup på en ekstern disk, som derefter kobles fra og tages med hjem.

Hvad skal med på din liste?

De fleste backupproblemer opstår ikke, fordi backuppen slår fejl, men fordi noget aldrig var med i den. Lav derfor først en liste over alt, som din virksomhed afhænger af. Tænk på:

• Filer: dokumenter, tilbud, billeder, designs, på bærbare, et netværksdrev (NAS) og i cloudlager.
• E-mail: alle postkasser, også delte som info@example.com og factuur@example.com. Bemærk: den, der henter mail med POP3, har ofte kun mailen liggende på netop den computer.
• Hjemmeside og webshop: filer OG database. En hjemmeside uden den tilhørende database er som regel intet værd.
• Cloudtjenester: regnskabsprogrammet, kassesystemet, planlægningen, CRM-systemet. Kan du lave en eksport derfra, og hvor ofte gør du det?
• Konfiguration: DNS-poster for dit domæne, indstillinger for din router, adgangskodeadministrator (med gendannelsesdata et sikkert sted, se modul 2).
• Telefoner: billeder af kvitteringer, kontakter, chathistorik hvis den er vigtig for forretningen.

Skriv for hver del: hvor det ligger, hvem der tager backup af det, hvor tit, hvor backuppen ligger, og hvor længe den opbevares. En tom celle i den tabel er et hul.

Delt ansvar ved cloudtjenester

"Det ligger hos Microsoft (eller Google, eller min hostingudbyder), så det er sikkert." Det er kun halvt sandt. Store udbydere arbejder med en model for delt ansvar: udbyderen sørger for serverne, datacenteret og tjenestens drift; du forbliver ansvarlig for dine egne data, konti og indstillinger.

Microsoft skriver direkte i sin egen dokumentation, at kunden ved enhver form for cloudtjeneste, også ved færdig software som Microsoft 365, forbliver ansvarlig for sine data, sine konti og adgangen til dem. Det, tjenesterne selv opbevarer, er begrænset og tidsbundet. To eksempler fra den officielle dokumentation:

• Exchange Online (mailen i Microsoft 365) opbevarer som standard endeligt slettet mail i 14 dage, som administratoren kan forlænge til højst 30 dage. Derefter er den væk.
• Google Drive sletter filer, der har ligget i papirkurven i mere end 30 dage, permanent. Efter tømning af papirkurven kan en administrator stadig hente filer tilbage i 25 dage; derefter kan de ifølge Google ikke genskabes.

Det er fine sikkerhedsnet for en fejl fra sidste uge. Men opdager du først efter to måneder, at en medarbejder, der er stoppet, har tømt en mappe, hjælper det ikke. Læs for hver tjeneste, du bruger, hvad udbyderen selv siger om opbevaring og gendannelse, og spørg din udbyder, hvis det ikke er tydeligt. Bruger du tjenesten til vigtige data, så sørg selv for en backup eller en fast eksport.

Sådan ser det ud i praksis

Hos eksempeludbyderen WebOké findes der flere typer backup side om side, og de fungerer forskelligt:

• WebOké Backups laver hver nat automatisk en komplet backup af en hostingpakke: filer, databaser, postkasser og indstillinger. De backupper ligger krypteret på separate lagerservere i et andet datacenter, og du kan selv gendanne fra backupperne for de seneste 30 dage.
• Derudover kan du selv lave en backup i DirectAdmin. Den havner i din egen pakke, tæller med i dit lagerplads og ligger dermed samme sted som originalen. Sådan en kopi er først en reel ekstra kopi, når du downloader den og opbevarer den et andet sted.
• I Nextcloud er papirkurven og versionerne sikkerhedsnettet for det daglige arbejde: slettede filer og versioner gemmes i op til 31 dage (hurtigere slettet, hvis pladsen er nødvendig). Servernes systembackupper er til nødsituationer og er ikke tilgængelige for kunder. Vejledningen anbefaler selv, at du også gemmer en egen kopi af filer, du ikke kan undvære.
• To begrænsninger, som vidensbasen nævner: en mail, der modtages og slettes samme dag, er ikke med i nogen natlig backup, og mail, der kun ligger på din computer via POP3, er heller ikke med.

Hos andre udbydere kan dette være ordnet på lignende vis eller helt anderledes: andre opbevaringsperioder, backup kun mod betaling, eller kun en backup til nødsituationer, som du ikke selv har adgang til. Spørg din udbyder, og skriv svaret ind i din liste.

Opsummering

• En backup er en separat kopi, som du kan bruge til at gendanne en tidligere tilstand; synkronisering sender også fejl og kryptering videre overalt.
• Papirkurv og versioner i cloudtjenester er praktiske, men tidsbegrænsede og ingen erstatning for en backup.
• 3-2-1: tre kopier, to typer lagring, én et andet sted.
• Lav først en liste over alt, din virksomhed afhænger af, herunder mail, databaser, cloudtjenester og konfiguration.
• Ved cloudtjenester forbliver du ansvarlig for dine data; tjek hvad din udbyder opbevarer, og hvor længe.

Quiz

Opgave

Opgave D6.1: Din backupliste og 3-2-1-skema. Lav en tabel over alt, din virksomhed afhænger af: filer, postkasser, hjemmeside og database, cloudtjenester, konfiguration og telefoner. Udfyld for hver linje: hvor det ligger, hvem der tager backup af det, hvor tit, hvor backuppen ligger, og hvor længe den opbevares. Find for mindst to cloudtjenester ud af, hvad udbyderen selv siger om opbevaring og gendannelse. Markér hver linje, der ikke overholder 3-2-1, og skriv, hvad du gør ved det.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis eller anderledes. Spørg din udbyder.

• DirectAdmin vejledning 16.1: Hvilke backup er der hos WebOké
• WebOké vejledning 6.10: WebOké Backups: gendan filer
• Nextcloud-vejledning 6.6: Backup hos WebOké: hvad vi gemmer, og hvad du selv kan gøre
• WebOké Backups: Se, gendan eller download en backup
• Det nederlandske NCSC, Sådan laver du en backupstrategi: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• Microsoft, Shared responsibility in the cloud (engelsk): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility
• Microsoft, Recoverable Items folder in Exchange Online (engelsk): https://learn.microsoft.com/en-us/exchange/security-and-compliance/recoverable-items-folder/recoverable-items-folder
• Google Workspace, Recover deleted files and folders for Drive users (engelsk): https://knowledge.workspace.google.com/admin/drive/recover-deleted-files-and-folders-for-drive-users