Wanneer heb je voor het laatst iets teruggezet?

Vraag een directeur of zijn back-up geregeld is en het antwoord komt zonder aarzeling. Ja, dat loopt. Er is een leverancier, er is een rapportage, en de rapportage staat op groen. Vraag daarna wanneer er voor het laatst iets is teruggezet, en dan komt de aarzeling wel. Een back-up die je nooit hebt teruggezet, is een aanname.

Groen betekent dat het kopiëren is gelukt

Dat vinkje bevestigt dat de kopie er staat. Over herstellen zegt het weinig, want dat is een ander proces met een andere uitkomst. Meestal blijkt dat er al een tijd niets is teruggehaald, of dat iemand een los bestand terugzette voor een collega die te grondig had opgeruimd.

Het verschil merk je pas op het moment dat je het nodig hebt. Dan telt elk uur, zeker nu ransomware zich op je data richt.

Herstellen is een keten en de volgorde telt

De zwakste schakel bepaalt hoe lang je stilstaat. Je hebt het bestand nodig, je hebt de machine nodig waarop het draait, je hebt de licentie of de sleutel nodig waarmee die machine opstart, en je hebt de inlogomgeving nodig waarmee je mensen erbij komen. Die laatste blijft structureel buiten beeld. Een teruggezette server waar niemand op kan inloggen omdat de identiteitsomgeving zelf ook geraakt is, is een dure doos die stilstaat.

Daar komt de volgorde bij, en die staat zelden op papier. Systemen hangen aan elkaar. Je financiële pakket wil bij een database, die database wil bij een netwerkschijf, en de applicatieserver wil eerst weten wie jij bent. Zet je die in de verkeerde volgorde terug, dan start alles op en werkt er niets. In een oefening kost dat een geïrriteerde middag. Tijdens een incident kost het je een dag waarop je klanten wachten.

De vragen die je iets vertellen

Bij een test is de interessante vraag dus een andere dan of het gelukt is. Iedereen die genoeg tijd krijgt, krijgt data terug. Vraag hoe lang het duurde, welk moment er terugkwam, wat er tussen dat moment en het incident verloren is gegaan, en wie het deed.

Dat laatste is scherper dan het lijkt. Doet de test degene die de omgeving heeft gebouwd, dan test je zijn kennis. Doe hem met iemand anders en je test je documentatie.

Wat een restore test inhoudt, bepaalt je leverancier

Hier hoort een eerlijke kanttekening bij. Elke leverancier vult de term op zijn eigen manier in. Eén bedoelt dat de software heeft gecontroleerd of het bestand leesbaar is. Een ander bedoelt dat er een virtuele machine is opgestart in een aparte omgeving. Een derde bedoelt dat er handmatig één map is teruggezet. Alle drie noemen het een geslaagde test en alle drie mogen dat zeggen.

Wij hebben die vraag op dit moment zelf op de agenda staan, omdat we willen vastleggen wat wij eronder verstaan voordat we het aan een klant beloven. Zolang die definitie open ligt, betekent het woord test wat de leverancier wil dat het betekent. Dat speelt breder, want als het misgaat bij je leverancier wil je vooraf weten waar zijn verantwoordelijkheid ophoudt.

Wat je deze week kunt doen

Het kost je een mailtje. Vraag wanneer er voor het laatst een herstel is uitgevoerd, van welk systeem, hoe lang dat duurde en waar dat is vastgelegd. Vraag daarna om twee dingen achter elkaar te oefenen. Eerst één bestand van vorige maand, want dat gebeurt in de praktijk het vaakst. Daarna één compleet systeem dat je bedrijf nodig heeft om te kunnen factureren.

Zet er één voorwaarde bij die het verschil maakt. Laat de oefening doen door iemand die de omgeving heeft geërfd in plaats van ingericht, en laat hem opschrijven waar hij vastliep. Die aantekeningen zijn waardevoller dan het eindresultaat, want daar staat precies welke kennis nu in één hoofd zit. Bij ons zit die oefening in het security- en back-uppakket.

Welk verlies vinden wij acceptabel?

Stel tot slot de vraag die je verzekeraar en je opdrachtgever ook gaan stellen. Een halve dag werk kwijt is voor een architectenbureau een ongemak en voor een groothandel met een webshop een probleem. Dat getal is een directiebesluit, en daarmee hoort het op de directietafel thuis. Zolang niemand het heeft genomen, neemt je back-upschema het voor je, en dat schema is destijds ingesteld door iemand die jouw bedrijf minder goed kende dan jij.

Als regiepartner voor het MKB schuiven wij bij die vastlegging aan, want daar bepaal je wat je van je leverancier mag verwachten.

Meet dit jaar één ding. Hoe lang je stilstaat en wat je in die tijd kwijt bent. Dat cijfer kun je aan je bestuur uitleggen.