Implementeer veilige back-ups

Alle informatie en voorbeelden in dit artikel zijn implementatie-aanbevelingen voor veilige back-ups.

Niets hier is contractueel bindend.

Back-ups vormen je laatste verdedigingslinie tijdens ransomware- en destructieve aanvallen.

Het succes van herstel hangt af van de kwaliteit van de back-up, de frequentie, de retentie en het vermogen om snel te herstellen.

Voorwaarden voor Stoik cyberverzekering

Stoïk cyberverzekering stelt eisen aan back-ups tijdens de acceptatie.

Minimumeis: minstens één wekelijkse back-up moet zijn:

• offlineof

• op onveranderlijke opslag

Met een minimale bewaartermijn van 2 weken.

Als offline of onveranderlijk niet mogelijk is, is een minder aanbevolen optie een veilige online back-up.

Het back-upsysteem blijft verbonden, maar moet voldoen aan alle onderstaande vereisten:

• Back-upsysteem is buiten het AD-domein

• Back-upsysteem is gesegmenteerd (firewall + allowlist-toegang)

• Verwijderen/wijzigen van back-ups is alleen mogelijk via een webconsole beveiligd met MFA

Doel: zelfs met een gecompromitteerde domeinbeheerder of cloudbeheerder kan een aanvaller back-ups nog steeds niet wissen.

Back-uptypen (en wat meetelt)

Type	Typische voorbeelden	Waarom dit belangrijk is	Voldoet aan de eis?
Offline back-ups	Externe schijven, USB-media, offline NAS, magneetbanden (LTO/DLT)	Hoogste bescherming. Niet bereikbaar via het netwerk.
Onveranderlijke online back-ups (cloud)	AWS S3 Object Lock, Azure onveranderlijke blobs (WORM), Wasabi Object Lock	Online bereikbaar, maar kan niet worden gewijzigd of verwijderd.
Online back-ups (on-prem / datacenter)	Toegewijde back-upserver met beperkte toegang	Kan acceptabel zijn alleen als de toegang sterk is geïsoleerd.	(alleen indien gehard)
Niet-onveranderlijke online “opslag” (cloud)	Dropbox, Google Drive, OneDrive zonder WORM	Makkelijk te gebruiken, makkelijk te verwijderen als accounts gecompromitteerd zijn.
Lokale back-ups	Lokale schijven, bestandskopie op dezelfde server, RAID-mirroring	Wordt versleuteld of verwijderd samen met de host. Geen herstelplan.

“Veilige online back-up” betekent “bestand tegen een typisch ransomware-aanvalsplan dat probeert alle back-ups te verwijderen”.

Offline back-upopties

Gebruik rotatie. Houd minstens één recente kopie losgekoppeld.

Optie	Hoe dit veilig te doen
Magneetbanden (LTO/DLT)	Roteer minstens 2 tapes. Houd altijd 1 tape extern/offline.
Offline NAS	Alleen verbinden voor het back-upvenster. Na de taak loskoppelen. Indien mogelijk meerdere apparaten roteren.
Externe schijven / USB-media	Alleen verbinden voor het back-upvenster. Na de taak loskoppelen. Bewaren op een afgesloten locatie. Meerdere apparaten roteren.

Onveranderlijke back-upopties

Cloudgehoste onveranderlijke back-ups

Leverancier	Onveranderlijkheidsfunctie	Handleiding / documentatie
AWS	S3 Object Lock (en/of Glacier)	Onveranderlijke S3-back-ups
Azure	Onveranderlijke blobs (WORM)	Cloud-back-upoplossingen
Wasabi	S3 Object Lock	Maak een back-up van je gegevens met Wasabi
Acronis Cyber Protect Cloud	Compliance-modus (controleer je plan/versie)	Acronis-documentatie 1, Acronis-documentatie 2
Scaleway	Object Storage (controleer ondersteuning voor Object Lock)	Scaleway Object Storage-concepten
OVHcloud	Object Lock voor S3 Object Storage	OVHcloud-handleiding
Fast LTA	“Zero Loss Storage”	Fast LTA-overzicht

Lokaal gehoste onveranderlijke back-ups

Leverancier / product	Vereisten	Handleiding / documentatie
Veeam Linux Hardened Repository	Veeam >= 11. Vereist verharding van de repository-host.	Veeam-referentie
Synology	DSM >= 7.2. Vereist ondersteunde modellen.	Ondersteunde modellen, Documentatie voor onveranderlijke snapshots
Dell Data Domain	Gebruik compliance-modus.	Dell-paper

Voorbeelden van “onbeveiligde” back-ups

Dit zijn veelvoorkomende patronen die falen wanneer aanvallers beheerdersaccounts overnemen.

Voorbeeld	Waarom het faalt
Dropbox / Google Drive / OneDrive / SharePoint (geen WORM)	Een gecompromitteerde beheerder kan gegevens verwijderen en ook prullenbakken / retentie leegmaken.
“Onveranderlijke” NAS alleen in software geïmplementeerd	Als het NAS-besturingssysteem wordt gecompromitteerd, kan de aanvaller nog steeds volumes vernietigen.
Uitbesteed datacenter met een permanente netwerkverbinding	Functioneel vergelijkbaar met een online bestandsserver. Ransomware kan via de verbinding versleutelen/verwijderen.
Niet-onveranderlijke cloudopslag	Als de cloudbeheerder is gecompromitteerd, kan de aanvaller buckets, back-ups en retentieregels verwijderen.

Operationele controles (aanbevolen)

Zelfs met offline/onveranderlijke opslag bepalen operationele controles vaak het succes van herstel:

• Hersteltests op een schema (minstens maandelijks voor kritieke systemen).

• Gebruik aparte back-upbeheerdersaccounts. Synchroniseer ze niet vanuit AD.

• Dwing MFA op back-upconsoles en cloudaccounts.

• Bewaar back-upreferenties buiten gebruikersendpoints (geen opgeslagen wachtwoorden in scripts).

• Inschakelen waarschuwingen bij mislukte back-uptaken, wijzigingen in retentie en pogingen tot verwijdering.

• Documenteer de herstelhandleiding en bewaar een kopie offline.