Onveranderbare back-up: wat je verzekeraar bedoelt met ‘immutable’

Op het aanvraag- of verlengingsformulier van een cyberverzekering staat tegenwoordig een vraag die veel ondernemers laat aarzelen: “Beschikt u over onveranderbare (immutable), air-gapped of offline back-ups van uw bedrijfskritische gegevens?”

Die vraag staat er niet voor de sier. Verzekeraars hebben gezien dat aanvallers eerst de back-ups slopen en daarna pas versleutelen. Dat is inmiddels standaardwerk, geen uitzondering — het is de vierde stap in de fasen die aan de versleuteling voorafgaan. Een bedrijf waarvan de back-ups met dezelfde beheerdersaccount te wissen zijn als de rest van de omgeving, heeft na een aanval maar één route over: betalen.

In dit artikel: wat onveranderbaar precies betekent, drie back-upopstellingen die de vraag níét met ja beantwoorden, drie vragen die je aan je IT-partner stuurt vóór je het formulier tekent, en wat je doet als het eerlijke antwoord nee is.

Wat onveranderbaar betekent

Een onveranderbare back-up, in het Engels een immutable back-up, is een kopie die gedurende een vaste, vooraf ingestelde periode niet gewijzigd of verwijderd kan worden. Door niemand. Niet door jou, niet door je IT-partner, en niet door iemand die met gestolen beheerdersrechten in je omgeving zit.

Dat laatste is precies waar het de verzekeraar om gaat. In vrijwel elk back-upsysteem kan iemand met beheerrechten alles weggooien. Onveranderbaarheid betekent dat het slot niet in de software zit maar in de opslag zelf, waardoor geen enkele set inloggegevens het binnen de bewaarperiode kan openen. Leveranciers noemen dat object lock, WORM (write once, read many) of simpelweg immutability; een immutable back-up is precies dat. De term verschilt, het mechanisme is hetzelfde.

Air-gapped betekent iets anders, maar met een vergelijkbaar doel: de kopie is opgeslagen op iets dat vanuit je productienetwerk niet te bereiken is, en blijft daardoor veilig als de rest van je omgeving valt. In de praktijk kiezen de meeste MKB-bedrijven voor onveranderbaarheid in de cloud, omdat een fysiek losgekoppelde kopie handwerk vraagt en dus wordt vergeten.

Drie opstellingen die niet meetellen

Drie situaties komen we regelmatig tegen waarvan de ondernemer aannam dat het goed zat.

Een NAS of externe schijf op kantoor

Een netwerkschijf in je meterkast is per definitie bereikbaar vanaf je netwerk — dat is de bedoeling ervan. Verspreidt ransomware of andere malware zich door je omgeving, dan komt hij daar ook: de bestanden op die schijf zijn net zo kwetsbaar als je andere systemen. Iemand met domeinbeheerrechten wist de inhoud in een paar seconden. Een externe schijf die permanent aangesloten blijft, heeft precies hetzelfde probleem.

Zulke apparaten kunnen prima een rol spelen in je geheel, bijvoorbeeld voor snel terugzetten van een bestand. Als antwoord op de onveranderbaarheidsvraag volstaan ze niet.

Microsoft 365-bewaarbeleid als back-up beschouwen

Microsoft 365 heeft bewaarfuncties, en sommige bedrijven gebruiken die als back-up. Dat is niet wat het formulier bedoelt. Iemand met globale beheerrechten in je tenant kan gegevens verwijderen en bewaarinstellingen opheffen.

Microsoft werkt bovendien met een gedeelde verantwoordelijkheid: zij zorgen dat het platform draait, jij blijft verantwoordelijk voor het beschermen van je eigen gegevens. Is wat Microsoft standaard biedt je enige bescherming, dan is het eerlijke antwoord op de vraag nee. Meer daarover in je gegevens in Microsoft 365 beschermen.

Een cloudback-up waarbij de knop uitstaat

Dit is de meest voorkomende situatie, en de vervelendste. Veel serieuze back-upplatformen beschikken over onveranderbaarheid, maar het staat niet altijd standaard aan. De functie is er; iemand moet hem inschakelen en goed instellen.

Je kunt dus betalen voor een oplossing die er op papier prima uitziet, terwijl de schakelaar uit staat. Van buitenaf zie je dat niet. Alleen iemand die in de instellingen kijkt, weet het.

Drie vragen aan je IT-partner

Kopieer deze drie in een mail en stuur ze vóór je het vakje aanvinkt.

Vraag 1: “Zijn onze back-ups onveranderbaar, en zo ja, hoe lang?”

Verzekeraars zijn hierin strenger geworden. Veertien dagen wordt doorgaans als ondergrens gehanteerd, dertig dagen wordt steeds vaker als voorkeur genoemd. Aanvallers zitten geregeld weken in een netwerk voordat ze toeslaan, dus een kopie van gisteren kan al besmet zijn. De periode moet lang genoeg zijn om terug te grijpen naar een moment vóór de aanvaller binnenkwam.

Vraag 2: “Als onze domeinbeheerder of globale beheerder morgen gestolen wordt, kan dat account dan onze back-ups verwijderen?”

Het juiste antwoord is nee. Is het antwoord ja, of weet je partner het niet zeker, dan zijn je back-ups niet onveranderbaar in de betekenis die het formulier bedoelt.

Vraag 3: “Kun je me een schermafbeelding of leveranciersdocumentatie sturen waaruit blijkt dat het aanstaat?”

Wie het werk heeft gedaan, stuurt binnen een dag iets concreets. Komt er alleen een geruststellend antwoord zonder bewijs, behandel dat dan als een nee tot het tegendeel is aangetoond. Dat is niet wantrouwig, dat is hetzelfde bewijs dat je verzekeraar na een schade zal opvragen.

Hoe een opstelling eruitziet die wél meetelt

Er moeten een paar dingen tegelijk kloppen.

De onveranderbaarheid staat aan, niet alleen “beschikbaar”. De grote back-upleveranciers ondersteunen het allemaal, net als vrijwel elke objectopslag met een lock-functie. Een merknaam op de factuur is dus geen antwoord; de instelling moet aan staan en over de juiste gegevens gaan.

De back-upgegevens staan los van je gewone beheerdersaccounts. Beheer je je back-upplatform met dezelfde login als je Microsoft 365-omgeving, dan opent één gestolen account beide deuren. Aparte inloggegevens, aparte MFA, niet gekoppeld aan je dagelijkse identiteitsomgeving.

De bewaarperiode is lang genoeg. Een back-up die zichzelf elke 24 uur overschrijft, helpt niet als er al een week iemand meekijkt.

En je hebt een keer teruggezet. Een back-up waar in twaalf maanden niemand data uit heeft hersteld, is een aanname: pas als je een keer echt hebt teruggezet, weet je dat je je systemen ermee kunt herstellen. Verzekeraars vragen tegenwoordig ook naar de datum van je laatste geslaagde hersteltest, en ze willen er één zien. Hoe je zo’n test opzet, staat in de best practices voor veilige back-ups.

Een praktijkscenario

Een groothandel met 31 medewerkers vulde het verlengingsformulier in en vinkte de back-upvraag met ja aan. Ze hadden immers een bekend back-upproduct, netjes elke nacht, met een cloudkopie erbij.

De vraag van hun makelaar om bewijs bracht het aan het licht. De onveranderbaarheid bleek nooit ingeschakeld, en het beheeraccount van het back-upplatform was hetzelfde account waarmee de systeembeheerder ook Microsoft 365 deed. Inschakelen kostte uiteindelijk anderhalve week: de functie zat in hun abonnement, er moest alleen een aparte beheeromgeving worden opgezet en de bewaartermijn op dertig dagen worden gezet.

De les zat niet in de techniek maar in het moment. Was dat ja blijven staan en had er daarna iets plaatsgevonden, dan had de verzekeraar bij het schadeonderzoek exact dit verschil gevonden.

Wat je doet als het antwoord nee is

Vul in wat er is, en gebruik het formulier als aanleiding om het recht te zetten.

Vraag eerst of onveranderbaarheid op je huidige platform kan worden aangezet. In veel gevallen zit het er al in en is het een instelling, geen aankoop. Dan ben je binnen een paar dagen klaar. Weet je leverancier niet waar je het over hebt, of komt er geen helder antwoord op de drie vragen hierboven, dan is dát het signaal — ook als de rest van je IT prima loopt.

Eén ding vooral niet doen: ja aanvinken om een premieverhoging te ontlopen. Een verzekeringsaanvraag is een verklaring waar je aan gehouden wordt. Blijkt na een schade uit forensisch onderzoek dat je situatie niet overeenkwam met wat je hebt opgegeven, dan kan de verzekeraar uitkering weigeren of de overeenkomst aantasten. Wij zijn geen juristen en de precieze gevolgen hangen af van je polis en van de vraag of het verzwegen punt relevant was voor het risico — maar de richting is duidelijk genoeg om het risico niet te nemen. Wat wel en niet gedekt is, lees je in wat een cyberverzekering wel en niet dekt.

Nee aanvinken kost je waarschijnlijk iets, in premie of in voorwaarden. Dat is een bekend bedrag en te overzien. Neem die klap, en gebruik de maanden tot je volgende verlenging om het gat te dichten. Wat stilstand je zou kosten als het misgaat, reken je door met de verborgen kosten van IT-uitval.

Veelgestelde vragen

Wat betekent onveranderbare back-up in gewone taal?

Een kopie die gedurende een vastgestelde periode door niemand gewijzigd of verwijderd kan worden, ook niet met beheerdersrechten. Het slot zit in de opslag, niet in de software eromheen, dus rechten kunnen het niet opheffen.

Is het bewaarbeleid van Microsoft 365 een back-up?

Nee. Bewaarinstellingen zijn te omzeilen door iemand met globale beheerrechten. Microsoft legt de bescherming van je eigen gegevens bij jou neer; bewaarbeleid en back-up zijn twee verschillende dingen. Zie ook waarom een back-up alleen niet genoeg is.

Hoe lang moet de onveranderbare periode zijn?

Veertien dagen is de ondergrens die je bij de meeste verzekeraars terugziet, dertig dagen is steeds vaker het uitgangspunt. Hoe langer de periode, hoe groter de kans dat je een schone herstelpunt hebt van vóór het moment dat de aanvaller binnenkwam.

Kan mijn IT-partner dit gewoon aanzetten?

Vaak wel. Ondersteunt je platform het en staat het uit, dan is het een configuratiewijziging in plaats van een nieuwe aankoop. Vraag om schriftelijke bevestiging zodra het gebeurd is, met de ingestelde bewaartermijn erbij.

Beschermt een immutable back-up tegen ransomware?

Het voorkomt de aanval niet, maar het houdt je herstelpunt heel. Ransomware en andere malware richten zich juist op de back-up: zijn je bestanden eenmaal versleuteld en is je kopie net zo kwetsbaar, dan blijft alleen betalen over. Bij een immutable back-up kan de aanvaller de opgeslagen kopie binnen de bewaartermijn niet wijzigen of verwijderen, waardoor er voor je organisatie een schone versie beschermd blijft om van te herstellen. Dat is de extra laag waar je verzekeraar naar vraagt.

Twijfel je of jouw back-up de vraag op het formulier eerlijk met ja beantwoordt? We kijken in de instellingen, testen een herstel en leveren het bewijs dat je verzekeraar wil zien. Bel 030-7115791 of mail info@okayict.nl.