Microsoft 365 beschermd? Niet zonder een back-up

Eerder dit jaar schreven we al over het belang van een goede back-up onder de AVG en NIS2. Dat artikel ging vooral over het waarom. In de praktijk merken we dat daarna vaak een andere vraag ontstaat: hoe zorg je ervoor dat jouw organisatie daadwerkelijk kan herstellen wanneer er iets misgaat?

Back-up gaat niet over opslag, maar over herstel
Cybersecurity krijgt terecht veel aandacht. Organisaties investeren in multifactor-authenticatie, endpointbeveiliging, awareness-trainingen en monitoring. Daarmee verklein je de kans op een incident, maar helemaal voorkomen kun je het nooit.

Een medewerker verwijdert per ongeluk een belangrijke map. Een mailbox wordt getroffen door phishing. Een ransomware-aanval versleutelt bestanden. Of een technische storing maakt gegevens tijdelijk onbereikbaar.

In al deze situaties is niet alleen de oorzaak van belang, maar vooral de vraag: hoe snel kun je verder?

Daarmee verschuift de focus van beveiliging naar herstelbaarheid. Een organisatie die snel weer over haar gegevens beschikt, beperkt de impact van een incident aanzienlijk. Een organisatie zonder betrouwbare back-up moet vaak veel meer tijd, geld en energie investeren om weer operationeel te worden.

AVG en NIS2 vragen om meer dan alleen beveiliging
Zowel de Algemene Verordening Gegevensbescherming (AVG) als de NIS2-richtlijn leggen nadruk op het beschermen van informatie en het waarborgen van continuïteit.

Dat betekent niet dat de wet voorschrijft welke back-up oplossing je moet gebruiken. Wel wordt van organisaties verwacht dat zij passende maatregelen nemen om gegevens beschikbaar te houden en te kunnen herstellen wanneer dat nodig is.

Voor veel organisaties betekent dit dat een back-up niet langer alleen een technische voorziening is, maar onderdeel wordt van risicobeheersing en compliance. Het gaat immers niet alleen om het voorkomen van dataverlies, maar ook om het kunnen aantonen dat bedrijfsprocessen na een incident kunnen worden hervat.

Het grootste misverstand rondom Microsoft 365
Een van de meest voorkomende aannames die we tegenkomen, is dat Microsoft 365 automatisch een volledige back-up oplossing biedt.

Dat lijkt logisch. Gegevens staan immers in de cloud en verwijderde bestanden of e-mails kunnen vaak worden teruggezet. Toch is dat niet hetzelfde als een zelfstandige back-up.

Microsoft biedt verschillende retentie- en herstelmogelijkheden binnen het platform, maar organisaties blijven zelf verantwoordelijk voor hun data. Wanneer gegevens worden verwijderd, overschreven of getroffen worden door een beveiligingsincident, kan een onafhankelijke back-up noodzakelijk zijn om gegevens volledig te herstellen.

Vooral binnen organisaties die intensief gebruikmaken van Outlook, OneDrive, SharePoint en Teams is het verstandig om bewust te kijken naar de risico's die zij willen afdekken.

Datto Backup for Microsoft 365
Om Microsoft 365-gegevens aanvullend te beschermen levert CASE Datto Backup for Microsoft 365.

Deze oplossing maakt dagelijks een back-up van gegevens zoals e-mail, documenten in OneDrive en SharePoint, eigen Teams-meetings, agenda's, taken en andere persoonlijke Microsoft 365-gegevens.

Het grote voordeel is dat er een onafhankelijke kopie van deze data beschikbaar blijft. Wanneer gegevens verloren gaan of niet meer beschikbaar zijn, kunnen deze vanuit de back-up worden hersteld.

Het is daarbij belangrijk om te weten dat de back-up eenmaal per dag wordt uitgevoerd. In de meeste situaties is dat een passende oplossing, maar het betekent wel dat er tussen het laatste back-upmoment en een incident een beperkt verschil in gegevens kan ontstaan.

Microsoft 365 is niet de hele IT-omgeving
Hoewel steeds meer bedrijfsprocessen naar de cloud zijn verhuisd, draaien veel organisaties nog steeds op een combinatie van cloud- en lokale systemen.

Bestandsservers, applicatieservers, databases en werkstations bevatten vaak bedrijfskritische informatie die niet binnen Microsoft 365 valt. Een Microsoft 365-back-up alleen biedt daarvoor geen bescherming.

Daarom kijken we bij CASE altijd naar de totale omgeving. De vraag is niet alleen welke data in Microsoft 365 staat, maar vooral welke systemen essentieel zijn voor de dagelijkse bedrijfsvoering.

Veeam voor servers en werkplekken
Voor servers, werkstations en andere IT-systemen buiten Microsoft 365 zetten we Veeam in.

Met Veeam kunnen organisaties niet alleen bestanden herstellen, maar indien nodig ook complete systemen. Dat verkort de hersteltijd en helpt om bedrijfsprocessen sneller weer beschikbaar te krijgen.

Voor organisaties met lokale infrastructuur, specifieke brancheapplicaties of hybride omgevingen vormt dit vaak een belangrijk onderdeel van de totale back-upstrategie.

De juiste vragen stellen
Een effectieve back-upstrategie begint niet bij een product, maar bij inzicht in de organisatie. Daarbij zijn een aantal vragen essentieel:

• Welke gegevens zijn bedrijfskritisch?

• Hoeveel dataverlies is acceptabel?

• Hoe snel moeten systemen weer beschikbaar zijn?

• Is Microsoft 365 voldoende beschermd?

• Zijn servers, werkplekken en applicaties meegenomen?

• Is duidelijk hoe gegevens worden hersteld wanneer dat nodig is?

Pas wanneer deze vragen zijn beantwoord, ontstaat een realistisch beeld van de risico's en de maatregelen die nodig zijn om die risico's te beperken.

Bedrijfscontinuïteit als uitgangspunt
Een goede back-upstrategie levert meer op dan alleen een extra kopie van gegevens.

De impact van menselijke fouten wordt kleiner. Ransomware veroorzaakt minder verstoring. Gegevens kunnen sneller worden teruggezet en systemen zijn sneller weer beschikbaar. Daarnaast helpt een doordachte aanpak bij het invullen van bredere eisen rondom informatiebeveiliging, compliance en cyberweerbaarheid.

Daarmee wordt back-up een investering in bedrijfscontinuïteit. Niet omdat een incident gegarandeerd plaatsvindt, maar omdat iedere organisatie voorbereid moet zijn op het moment dat er iets misgaat.

Is jouw back-upstrategie nog compleet?
Veel organisaties hebben in de loop der jaren verschillende oplossingen toegevoegd zonder de totale back-upstrategie opnieuw te beoordelen. Daardoor ontstaan regelmatig blinde vlekken, bijvoorbeeld binnen Microsoft 365, op servers of op werkplekken.

Wil je weten of jouw huidige back-upstrategie nog aansluit bij de risico's binnen jouw organisatie én bij de aandachtspunten vanuit AVG en NIS2? CASE helpt je graag met een inventarisatie van de huidige situatie. Samen bekijken we welke gegevens beschermd zijn, waar risico's liggen en welke maatregelen nodig zijn om jouw organisatie beter voor te bereiden op een mogelijk incident.