Een disaster-recovery-plan dat werkt als het misgaat

Een disaster-recovery-plan is geen dik document voor de audit. Het is het antwoord op twee vragen, afgesproken voordat het misgaat: hoe lang mogen we plat liggen (RTO, recovery time objective) en hoeveel werk mogen we kwijtraken (RPO, recovery point objective). Al het andere, van backupschema tot wie er in welke volgorde belt, volgt uit die twee getallen.

Waarom backups alleen niet genoeg zijn

Een backup die bestaat is niet hetzelfde als een bedrijf dat weer draait. Tussen die twee zit een restore, en die kost tijd: van uren voor een mailbox tot dagen voor een volledige server met terabytes aan data. Wie nooit heeft gemeten hoe lang een volledige restore duurt, heeft geen RTO maar een hoop. Hoe je dat testritme opzet beschreven we eerder in backups testen: hoe vaak en hoe.

De 3-2-1-basis

Drie kopieën van je data, op twee verschillende soorten media, waarvan één buiten de deur. Dat is de basis, maar de invulling verschilt per datatype. Microsoft 365 heeft een eigen backup nodig naast wat Microsoft zelf bewaart. Een eigen fileserver vraagt om een offsite kopie die een brand of ransomware op locatie overleeft. En een maatwerkdatabase heeft naast de data ook een geteste herstelprocedure nodig, want een dump zonder draaiende applicatie is nog geen herstel.

RTO en RPO bepalen de prijs

Hoe scherper je doelen, hoe duurder de oplossing. Vier uur hersteltijd vraagt andere infrastructuur dan een week, en maximaal een uur dataverlies vraagt iets anders dan een dag. De juiste vraag is dus niet wat backup kost, maar wat downtime kost. Die rekensom maakten we eerder in hoe duur is een uur downtime: zet die naast de prijs van een strakkere RTO en de keuze maakt zichzelf.

Wat wij in de praktijk zien misgaan

Het plan bestaat, maar niemand heeft de restore ooit echt gedraaid. De herstelvolgorde is onbekend, dus na een incident start iedereen alles tegelijk. De wachtwoorden die je voor herstel nodig hebt staan in een systeem dat zelf plat ligt. En niemand heeft afgesproken wie beslist dat het een incident is, dus de eerste uren gaan op aan overleg. Elk van die vier is met een middag werk te voorkomen.

Sinds de Cyberbeveiligingswet is aantoonbaarheid bovendien geen luxe meer: wie onder de wet valt moet zijn maatregelen kunnen laten zien, en je cyberverzekeraar vraagt bij schade om precies hetzelfde bewijs.

Zelf beginnen: de Disaster-recovery-plan-generator stelt twaalf vragen over je setup en geeft een 3-2-1-plan op maat, met RTO- en RPO-doelen, een testritme en de gaten die nu openstaan. Printbaar als PDF, gratis, geen registratie.