Sikkerhetskopier som tåler løsepengevirus ── 3-2-1-regelen, lagring som ikke kan overskrives, og kontroll av at du kan gjenopprette

Ved angrep med løsepengevirus finnes det mange eksempler på at en organisasjon hadde sikkerhetskopier, men likevel ikke kunne gjenopprette. Den vanligste årsaken er at sikkerhetskopiene ble kryptert sammen med alt annet. Denne artikkelen tar for seg hvordan du bygger sikkerhetskopier som tåler angrep, for Windows-PC-ene og filserverne i små og mellomstore bedrifter.

Det er tre hovedpunkter: Ha én kopi som en infisert PC ikke kan overskrive, ikke bruk “Tidligere versjoner” i stedet for sikkerhetskopier, og kontroller at du faktisk kan gjenopprette. 3-2-1-regelen bestemmer hvor mange kopier du har og hvor de ligger, men alene etterlater den hull i forsvaret mot løsepengevirus.

Kommandoene i artikkelen er bare for Windows, og utdataene er kontrollert i en ledetekst som administrator på Windows Server 2022. Produktenes innstillingsskjermer og priser kan endre seg, så sjekk den nyeste dokumentasjonen fra hver leverandør når du tar dem i bruk.

Mange organisasjoner hadde sikkerhetskopier, men kunne ikke gjenopprette

Japans nasjonale politimyndighet spør organisasjoner som er rammet av løsepengevirus, om tilstanden til sikkerhetskopiene deres. I rapporten for første halvår 2025 hadde 51 av de 53 organisasjonene som svarte, tatt sikkerhetskopier. Men av de 48 som ble spurt om de kunne gjenopprette fra sikkerhetskopien til nivået rett før angrepet, kunne bare 7, mens 41 ikke kunne¹.

Av de 35 som oppga en årsak til at de ikke kunne gjenopprette, svarte 23 “sikkerhetskopiene ble også kryptert”, 8 “mangler i driften” og 4 “annet”¹. Samme rapport skriver at grupper bak løsepengevirus sletter ofrenes logger og sikkerhetskopier for å fjerne sporene sine og hindre gjenoppretting. Deretter ber den organisasjoner om å oppbevare sikkerhetskopier i et frakoblet miljø².

flowchart TB
        accTitle: Slik kan du ha sikkerhetskopier og likevel ikke gjenopprette
        accDescr: Et diagram som viser at selv om du tar sikkerhetskopier, blir de kryptert sammen med alt annet når den infiserte PC-en kan nå dem, og at mangler i driften hindrer gjenoppretting hvis gjenopprettingsprosedyren ikke er kontrollert.
        A["Det tas sikkerhetskopier"] --> B{"Kan den infiserte PC-en nå dem?"}
        B -->|"Kan nå dem"| C["Krypteres eller slettes også"]
        B -->|"Kan ikke nå dem"| D{"Er gjenopprettingsprosedyren kontrollert?"}
        D -->|"Ikke kontrollert"| E["Kan ikke gjenopprette på grunn av mangler i driften"]
        D -->|"Kontrollert"| F["Kan gjenopprette"]

Figur 1: Sikkerhetskopier kan brukes når den infiserte PC-en ikke kan nå dem og gjenopprettingsprosedyren er kontrollert.

Det finnes også eksempler der gjenopprettingen lyktes. 4. utgave av IPAs “Retningslinjer for informasjonssikkerhet i små og mellomstore bedrifter” beskriver en byggebedrift der filserverne og andre systemer ble kryptert etter et innbrudd via en VPN-enhet. Blant annet fordi bedriften holdt gjenopprettingsøvelser to ganger i året, fikk den kjernesystemene i drift igjen fra sikkerhetskopier fem dager etter at angrepet ble oppdaget. Likevel tok det 41 dager å gjenoppta hvert interne system og fire måneder å gjenoppta fjerntilgangen, og bedriften mistet over 20 prosent av sine interne filer³. At du kan gjenopprette fra sikkerhetskopier, får ikke skaden til å forsvinne.

I diagrammet markerer en heldekkende linje en relasjon som alltid gjelder, og en stiplet linje en betinget relasjon (vilkårene står for hver relasjon på detaljsiden). Den fullstendige listen over relasjoner (13 i alt, med belegg og sikkerhet) og definisjonene av de viktigste begrepene finner du på detaljsiden for kunnskapskartet (på japansk). Data: JSON-LD / Turtle

Angripere sletter sikkerhetskopiene de kan nå

Veiledningen #StopRansomware, som CISA og andre amerikanske myndigheter har gitt ut, skriver at mange varianter av løsepengevirus prøver å finne tilgjengelige sikkerhetskopier og slette eller kryptere dem, slik at offeret ikke kan gjenopprette uten å betale løsepengene. Derfor er det viktig å oppbevare sikkerhetskopier frakoblet, skriver den⁴.

Også Microsoft skriver at angripere konsentrerer seg om å sette sikkerhetskopieringsprogramvare og operativsystemfunksjoner som skyggekopier ut av spill⁵. Sikkerhetskopier som en infisert PC kan nå, omfatter for eksempel følgende.

• Eksterne stasjoner som alltid er koblet til PC-en
• Delte mapper på en NAS eller filserver som er tilordnet en stasjonsbokstav
• Synkroniseringsmapper i skyen som den daglige kontoen kan skrive til
• Skyggekopier (Tidligere versjoner) på det samme volumet

Selv kommandoene som er innebygd i operativsystemet, kan slette skyggekopier og sikkerhetskopikataloger. MITRE ATT&CK klassifiserer denne teknikken som “Inhibit System Recovery” (T1490). Som eksempler nevnes sletting av alle skyggekopier med vssadmin.exe delete shadows /all /quiet og sletting av Windows’ sikkerhetskopikatalog med wbadmin.exe delete catalog -quiet⁶. CISAs veiledning ber også organisasjoner om å følge med på mistenkelig bruk av vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) og lignende verktøy⁴.

flowchart TB
        accTitle: Sikkerhetskopier som en infisert PC kan og ikke kan nå
        accDescr: Et diagram som viser at en infisert PC kan skrive til eksterne stasjoner som alltid er tilkoblet, tilordnede delte mapper, synkroniseringsmapper og skyggekopier, men ikke til frakoblede medier eller lagring som ikke kan overskrives.
        P["Infisert PC"] --> R["Steder den kan skrive til"]
        P -.-x N["Frakoblede medier, lagring som ikke kan overskrives"]
        R --> A["Ekstern stasjon som alltid er tilkoblet"]
        R --> B["Tilordnet delt mappe"]
        R --> C["Synkroniseringsmappe i skyen"]
        R --> D["Skyggekopier"]

Figur 2: Sikkerhetskopier som ligger der en infisert PC kan skrive, blir mål for angrepet.

Du må også være oppmerksom på angrep som tar tid. Microsoft skriver at løsepengevirus noen ganger krypterer gradvis og lar nøkkelen ligge på systemet. Brukerne kan bruke dataene som vanlig i mellomtiden, så sikkerhetskopier av krypterte data hoper seg opp uten at noen merker det. Når alt er kryptert og nøkkelen slettes, kan heller ikke de nyeste sikkerhetskopiene leses⁵. Hvis du bare beholder den siste generasjonen, finnes det i så fall ingenting å gå tilbake til.

“Tidligere versjoner” erstatter ikke sikkerhetskopier

“Tidligere versjoner” i Windows og skyggekopier av delte mapper bruker tjenesten Volume Shadow Copy (VSS). VSS-systemleverandøren som følger med Windows, bruker en kopier-ved-skriving-metode (copy-on-write) som lagrer innholdet i en blokk i et differanseområde før blokken overskrives, og gjenskaper på den måten volumet slik det var på et bestemt tidspunkt⁷.

I VSS-dokumentasjonen forklarer Microsoft forskjellen mellom skyggekopier og sikkerhetskopier slik: Når data kopieres fra en skyggekopi til et flyttbart medium som bånd, blir innholdet på mediet sikkerhetskopien. Etter kopieringen kan selve skyggekopien slettes⁷. Dokumentasjonen skriver også at når differanseområdet blir for lite, slettes de eldste skyggekopiene først⁷.

flowchart TB
        accTitle: Forskjellen mellom skyggekopier og sikkerhetskopier
        accDescr: Et diagram som viser at en skyggekopi er et sett forskjeller fra det opprinnelige volumet og slettes når plassen blir knapp eller av en angriper, mens en sikkerhetskopi som er kopiert til et separat medium, overlever selv om det opprinnelige volumet går tapt.
        V["Opprinnelig volum"] --> S["Skyggekopi (forskjeller)"]
        S --> L["Eldste slettes først når plassen blir knapp"]
        S --> K["Slettes av en angriper med vssadmin"]
        S -->|"Kopier til separat medium"| B["Sikkerhetskopi"]
        B --> R["Overlever selv om det opprinnelige volumet går tapt"]

Figur 3: Skyggekopier er avhengige av dataene på det opprinnelige volumet; det du kopierer til et separat medium, blir sikkerhetskopien.

Skyggekopier er praktiske når brukerne selv skal gjenopprette filer de har overskrevet ved en feil. Men som beskrevet i forrige del sletter angripere dem noen ganger. Mekanismen og driften forklares nærmere i “Volume Shadow Copy (VSS): The Mechanism and the Practice”.

Du kan se hvilke skyggekopier som er igjen, ved å kjøre vssadmin list shadows i en ledetekst som administrator. Denne underkommandoen finnes både på klienter og servere⁸.

vssadmin list shadows

Versjonsloggen og papirkurven i OneDrive og SharePoint er også måter brukerne kan få tilbake filer på. Microsoft anbefaler å lære brukerne hvordan de gjenoppretter hele OneDrive til et tidligere tidspunkt. Microsoft sier også at brukerne først skal gjenopprette når du er sikker på at angriperen er kastet ut, og at du må være forberedt på at brukerne også gjenoppretter skadevaren⁵.

3-2-1-regelen bestemmer antall kopier og hvor de ligger

3-2-1-regelen er en tommelfingerregel for hvordan sikkerhetskopier skal oppbevares. “Data Backup Options”, som ble skrevet for US-CERT i 2012, forklarer den slik⁹.

• 3: Ha tre kopier av viktige filer: originalen og to sikkerhetskopier.
• 2: Oppbevar dem på to ulike typer medier for å være forberedt på ulike slags katastrofer.
• 1: Oppbevar én kopi utenfor hjemmet eller virksomheten.

Som kilde viser dokumentet til “The DAM Book”, en bok om håndtering av digitale fotografier av fotografen Peter Krogh⁹. Også Microsoft viser til regelen i dokumentasjonen om sikkerhetskopier som beskytter mot løsepengevirus, og beskriver “1” som “en kopi utenfor virksomheten eller en kald kopi”⁵.

Det 3-2-1-regelen krever, er at en kopi oppbevares utenfor virksomheten. Den krever ikke at kopien utenfor virksomheten er frakoblet eller uforanderlig. Hvis kopien utenfor virksomheten ligger i en sky som en infisert PC alltid kan skrive til, kan den altså bli kryptert sammen med de lokale kopiene. CISAs veiledning og Microsofts dokumentasjon nevner frakoblet oppbevaring som et forsvar mot løsepengevirus. Microsoft nevner også lagring som ikke kan overskrives⁴⁵.

flowchart TB
        accTitle: 3-2-1-regelen og beskyttelse mot løsepengevirus
        accDescr: Et diagram som viser at du legger til én frakoblet eller uforanderlig kopi i 3-2-1-regelen om tre kopier, to typer medier og én utenfor virksomheten, og deretter kontrollerer at du kan gjenopprette.
        A["Tre kopier"] --> B["To typer medier"]
        B --> C["Én utenfor virksomheten"]
        C --> D["Én frakoblet eller uforanderlig"]
        D --> E["Kontroller at du kan gjenopprette"]

Figur 4: Legg til i 3-2-1-regelen en kopi som en infisert PC ikke kan overskrive, og en kontroll av at du kan gjenopprette.

Leverandøren av sikkerhetskopieringsprogramvare Veeam markedsfører dette som “3-2-1-1-0-regelen”. I Veeams dokumentasjon betyr den ekstra “1” å ha én kopi som er frakoblet, luftgapet (air-gapped) eller uforanderlig, og “0” betyr null feil ved regelmessig verifisering av gjenoppretting¹⁰. Dette er et navn fra en leverandørs dokumentasjon, ikke en offisiell standard. Likevel overlapper de to ekstra punktene med det CISA og IPA ber om.

Ha én kopi som en infisert PC ikke kan overskrive

Det finnes i hovedsak to måter å lage en kopi som ikke kan overskrives: å koble mediet fra PC-en og oppbevare det, eller å bruke lagring i skyen der data ikke kan overskrives eller slettes i en fastsatt periode. Uansett hva du velger, må du skille rettighetene til å administrere sikkerhetskopier fra det daglige arbeidet.

Koble mediet fra PC-en og oppbevar det

Som et eksempel på tiltak i egenvurderingen sier IPAs retningslinjer at enhetene og mediene som brukes til sikkerhetskopiering, bare skal kobles til PC-en mens det tas en sikkerhetskopi. De nevner også å bestemme hvordan sikkerhetskopier tas, å oppbevare dem på et trygt sted og regelmessig å kontrollere at de kan gjenopprettes¹¹.

For organisasjoner som går lenger, nevner retningslinjene “fysisk isolering”. Det betyr å oppbevare sikkerhetskopier på et sted som er fysisk adskilt fra det opprinnelige systemet, og å oppbevare ekstern lagring eller sikkerhetskopibånd så langt unna som mulig. Som eksempler på oppbevaringssteder nevnes en bankboks eller en pålitelig forretningspartner eller et tilknyttet selskap¹².

En sikkerhetskopi som oppbevares frakoblet fra produksjonssystemene på denne måten, kalles en frakoblet sikkerhetskopi (offline backup). En infisert PC kan ikke skrive til frakoblede medier. Til gjengjeld må mennesker koble til og transportere mediene, så sikkerhetskopier blir glemt, eller mediet blir ikke tatt ut av huset. Bestem hvem som kobler til mediet, kobler det fra og tar det med til oppbevaringsstedet, og når.

Bruk lagring i skyen som ikke kan overskrives

Lagring i skyen har funksjoner som hindrer at data overskrives eller slettes i en fastsatt periode. De oppbevarer data i en tilstand som kalles WORM (Write Once, Read Many).

I den uforanderlige lagringen i Azure Blob Storage (immutable storage) kan data, etter at du har angitt en tidsbasert oppbevaringspolicy, opprettes og leses i den perioden, men ikke endres eller slettes¹³. En policy opprettes først i ulåst tilstand, og du låser den etter testing. En låst policy kan ikke slettes, og oppbevaringsperioden kan forlenges, men ikke forkortes¹³. Microsoft forklarer at heller ikke brukere med administratorrettigheter for kontoen kan endre eller slette dataene¹³.

Amazon S3 Object Lock har to moduser. I samsvarsmodus (compliance mode) kan ingen, heller ikke rotbrukeren for AWS-kontoen, overskrive eller slette en objektversjon i oppbevaringsperioden. I styringsmodus (governance mode) kan bare brukere med spesielle rettigheter endre eller fjerne oppbevaringsinnstillingene¹⁴. Object Lock kan bare brukes i bøtter der S3 Versioning er aktivert¹⁴.

flowchart TB
        accTitle: To eksempler på lagring som ikke kan overskrives
        accDescr: Et diagram som viser at en låst policy i den uforanderlige lagringen i Azure Blob Storage ikke kan slettes og at oppbevaringsperioden ikke kan forkortes, og at selv rotbrukeren ikke kan slette i samsvarsmodus med S3 Object Lock, mens spesielle rettigheter tillater endringer i styringsmodus.
        W["Lagring som ikke kan overskrives"] --> AZ["Uforanderlig lagring i Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Oppbevaringsperioden kan ikke forkortes etter låsing"]
        S3 --> C["Samsvarsmodus"]
        S3 --> G["Styringsmodus"]
        C --> C1["Selv rotbrukeren kan ikke slette"]
        G --> G1["Spesielle rettigheter tillater endringer"]

Figur 5: Begge typer lagring avviser overskriving og sletting i en fastsatt periode; hvor strengt avhenger av innstillingene.

I Azure kan du ikke forkorte oppbevaringsperioden, selv om du oppdager en konfigurasjonsfeil etter at du har låst en policy¹³. CISAs veiledning påpeker at enkelte skyleverandører tilbyr lagring som ikke kan overskrives, og advarer om at feilkonfigurasjon kan føre til betydelige kostnader. Den nevner også at slik lagring kanskje ikke oppfyller kravene i visse regelverk⁴. Hvis du angir en lang oppbevaringsperiode og låser den, kan du ikke slette dataene i den perioden, og lagringskostnadene fortsetter å løpe. Begynn med en ulåst tilstand eller en kort periode, kontroller at du kan gjenopprette, og bruk deretter produksjonsinnstillingene.

Skill rettighetene til å administrere sikkerhetskopier

Selv om du bruker lagring som ikke kan overskrives, kan en angriper endre innstillingene og policyene for sikkerhetskopiene hvis de kan endres med den daglige administratorkontoen. Microsoft anbefaler å kreve et ekstra trinn, for eksempel flerfaktorautentisering eller en sikkerhets-PIN, før sikkerhetskopier på nett kan endres eller slettes. Microsoft nevner også å begrense sikkerhetskopierings- og gjenopprettingsoperasjoner til brukere i bestemte roller, og å redusere antallet filressurser der mange brukere kan skrive og slette⁵.

Selv om den samme personen administrerer både PC-ene og sikkerhetskopiene, skal du ikke bruke kontoen for administrasjon av målet for sikkerhetskopiene til daglig pålogging på PC-en, og den skal beskyttes med flerfaktorautentisering.

Behold flere generasjoner

IPAs retningslinjer nevner “generasjonsstyring”, som betyr å ha sikkerhetskopier fra flere tidspunkter. Det gjør det mulig å gå tilbake til et bestemt tidspunkt når data blir skadet eller går tapt¹². Som beskrevet i en tidligere del vil de nyeste sikkerhetskopiene inneholde data som allerede er kryptert, hvis det tar tid å oppdage krypteringen. Bestem hvor mange generasjoner du skal beholde, ut fra hvor lang tid det kan ta å oppdage krypteringen, og ut fra lagringskostnadene.

flowchart TB
        accTitle: Tre tiltak for å ha en kopi som ikke kan overskrives
        accDescr: Et diagram som viser oppbevaring av frakoblede medier eller bruk av lagring som ikke kan overskrives, atskillelse av rettighetene til å administrere sikkerhetskopier fra daglige kontoer og oppbevaring av flere generasjoner.
        A["En kopi som ikke kan overskrives"] --> B["Oppbevar frakoblede medier"]
        A --> C["Lagring som ikke kan overskrives"]
        B --> D["Skill administrasjonsrettighetene"]
        C --> D
        D --> E["Behold flere generasjoner"]

Figur 6: Når du har bestemt hvor kopien skal ligge, skiller du administrasjonsrettighetene og beholder generasjoner, slik at du kan gå tilbake selv om du oppdager angrepet sent.

Kontroller at du kan gjenopprette

I rapporten fra den nasjonale politimyndigheten var den nest vanligste årsaken til at gjenopprettingen mislyktes, “mangler i driften”¹. Du kan ikke vite om en sikkerhetskopi faktisk kan gjenopprettes før du prøver. Arbeidet med faktisk å gjenopprette fra sikkerhetskopien for å kontrollere dette kalles en gjenopprettingstest.

IPAs retningslinjer deler sikkerhetskopieringen inn i tre deler: å ta, oppbevare og gjenopprette. For gjenoppretting ber de deg lage en gjenopprettingsplan og kontrollere at du kan gjenopprette riktig³. For forretningskritiske systemer ber de deg tilpasse hvordan sikkerhetskopier tas og prosedyrene til mål for gjenopprettingstid (RTO) og mål for gjenopprettingspunkt (RPO), og verifisere effektiviteten gjennom øvelser. RTO er tiden det tar å gjenopprette til målnivået, og RPO er tidspunktet du gjenoppretter til, altså tidspunktet for den siste sikkerhetskopien¹⁵. CISAs veiledning ber også organisasjoner om regelmessig å kontrollere at sikkerhetskopiene kan brukes og er intakte, med tanke på katastrofegjenoppretting⁴.

flowchart TB
        accTitle: Slik gjennomfører du en gjenopprettingstest
        accDescr: Et diagram som viser forløpet med å bestemme gjenopprettingsrekkefølgen, gjenopprette til et separat miljø, sammenligne tiden som gikk og det gjenopprettede tidspunktet med RTO og RPO, og revidere driftshåndboken.
        A["Bestem gjenopprettingsrekkefølgen"] --> B["Gjenopprett til et separat miljø"]
        B --> C["Sammenlign tiden som gikk med RTO"]
        B --> D["Sammenlign det gjenopprettede tidspunktet med RPO"]
        C --> E["Revider driftshåndboken"]
        D --> E
        E -.->|"Neste kontroll"| A

Figur 7: Prøv å gjenopprette, kontroller om tiden og tidspunktet oppfyller målene, og før resultatene tilbake i driftshåndboken.

Hva som skal kontrolleres

Ut fra IPAs og Microsofts dokumentasjon kan det som skal kontrolleres, settes opp slik.

Microsoft anbefaler først å identifisere systemene som er kritiske for virksomheten, og sikkerhetskopiere dem regelmessig. Den prioriterte listen over sikkerhetskopier som oppstår på den måten, blir i seg selv gjenopprettingsrekkefølgen. Som høy prioritet nevner Microsoft først autentiseringssystemene, for eksempel Active Directory, som trengs for å komme inn i alle andre systemer⁵. Microsoft anbefaler også regelmessige øvelser i å få virksomheten i gang igjen fra en tilstand der alle systemer er nede. I disse øvelsene skal du gå ut fra at e-post og chat heller ikke er tilgjengelig⁵.

Microsoft skriver at angripere bevisst går etter driftshåndbøker for gjenoppretting og nettverksdiagrammer. Microsoft anbefaler å beskytte dem eller ha utskrevne kopier for hånden⁵. Hvis driftshåndboken bare finnes på filserveren, kan du ikke lese den når filserveren er kryptert.

Forsiktighetsregler ved gjenoppretting etter et angrep

Etter et faktisk angrep må du fjerne selve løsepengeviruset fra miljøet før du gjenoppretter⁵. Microsoft nevner å velge en sikkerhetskopi fra et tidspunkt som er kjent for å være uinfisert, og å skanne sikkerhetskopien for skadevare før du gjenoppretter⁵. Rapporten fra den nasjonale politimyndigheten skriver at grupper bak løsepengevirus noen ganger installerer fjernstyrt programvare som bakdør, slik at de kan komme inn igjen selv etter at inngangen er stengt². Før du gjenoppretter, må du undersøke inntrengingsveien og alt angriperne har etterlatt seg.

flowchart TB
        accTitle: Rekkefølgen for gjenoppretting fra sikkerhetskopi etter et angrep
        accDescr: Et diagram som viser at du fjerner selve løsepengeviruset og inntrengingsveien, velger en sikkerhetskopi fra et uinfisert tidspunkt, skanner den for skadevare og deretter gjenoppretter systemene med høyest prioritet først.
        A["Fjern selve løsepengeviruset"] --> B["Undersøk inntrengingsveien og det som er etterlatt"]
        B --> C["Velg et uinfisert tidspunkt"]
        C --> D["Skann sikkerhetskopien"]
        D --> E["Gjenopprett det med høyest prioritet først"]

Figur 8: Etter et angrep fjerner du det angriperne har etterlatt seg, og bekrefter et uinfisert tidspunkt før du gjenoppretter.

Hvor ofte du skal kontrollere

Både IPAs retningslinjer og CISAs veiledning ber deg kontrollere “regelmessig” at du kan gjenopprette, men de oppgir ikke noe antall¹¹⁴. Bedriften i IPA-eksempelet som ble nevnt tidligere, holdt gjenopprettingsøvelser to ganger i året³. Bestem hvor lenge virksomheten kan stå stille, og hvor gammelt det gjenopprettede tidspunktet kan være, og kontroller så ofte at du kan bekrefte at du klarer det.

Hva du skal bestemme først

Innholdet så langt kan oppsummeres som det en liten eller mellomstor bedrift bør bestemme først.

flowchart TB
        accTitle: Rekkefølgen for å bestemme sikkerhetskopier som tåler løsepengevirus
        accDescr: Et diagram som viser rekkefølgen med å bestemme omfanget, bestemme hvor kopiene skal ligge og kopien som ikke kan overskrives, bestemme rettigheter og generasjoner, bestemme RTO og RPO og kontrollere at du kan gjenopprette.
        A["Bestem omfanget"] --> B["Bestem hvor kopiene skal ligge"]
        B --> C["Bestem kopien som ikke kan overskrives"]
        C --> D["Bestem rettigheter og generasjoner"]
        D --> E["Bestem RTO og RPO"]
        E --> F["Kontroller at du kan gjenopprette"]

Figur 9: Bestem alt i én sammenhengende rekkefølge, fra omfanget til den siste kontrollen av at du kan gjenopprette.

I 4. utgave av IPAs retningslinjer ble “Ta sikkerhetskopier!” lagt til de “5 reglene for informasjonssikkerhet” som organisasjoner begynner med, slik at de ble 6 regler¹⁶. Hvordan du arbeider deg gjennom retningslinjene som helhet, er oppsummert i “Where Should SMEs Start on Security?”. Hvis du planlegger å bytte servere, kan du også se “Preparing for Windows Server 2016 End of Support”.

Relaterte artikler

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Referanser

Relaterte artikler

Nyere artikler med de samme taggene. Fordyp deg i beslektede emner.

Relaterte temaer

Dette er temasider som ligger nær temaet for artikkelen. Med artikkelen som utgangspunkt kan du gå videre til relaterte tjenester og andre artikler.

Tjenester knyttet til dette temaet

Denne artikkelen henger sammen med følgende tjenestesider. Se dem gjennom den inngangen som ligger nærmest.

Ofte stilte spørsmål

Vanlige spørsmål ved rådgivning om temaet for denne artikkelen.

Hvis jeg tar sikkerhetskopier, kan jeg da gjenopprette alt etter et angrep med løsepengevirus?

Ofte er det ikke nok bare å ta sikkerhetskopier. I skadene som Japans nasjonale politimyndighet har sammenstilt for første halvår 2025, kunne 41 av de 48 organisasjonene som tok sikkerhetskopier og svarte, ikke gjenopprette til nivået rett før angrepet. Den vanligste årsaken var at sikkerhetskopiene også var blitt kryptert. Du trenger en kopi som en infisert PC ikke kan overskrive, og du må kontrollere at du kan gjenopprette fra den.

Hvis Windows har Tidligere versjoner, trenger jeg da fortsatt sikkerhetskopier?

Ja. Tidligere versjoner er skyggekopier (Volume Shadow Copy), altså forskjeller som lagres på det opprinnelige volumet. Microsoft regner data som kopieres fra en skyggekopi til et medium som bånd, som sikkerhetskopien. Løsepengevirus sletter noen ganger skyggekopier med verktøy som vssadmin, så kombiner dem med sikkerhetskopier på separate medier.

Er det nok å følge 3-2-1-regelen for å beskytte seg mot løsepengevirus?

Ikke alltid. 3-2-1-regelen krever tre kopier, to typer medier og én kopi utenfor virksomheten, men den krever ikke at kopien utenfor virksomheten er frakoblet eller uforanderlig. En kopi i skyen som en infisert PC alltid kan skrive til, kan bli kryptert på samme måte. Legg til én kopi på frakoblede medier eller i lagring som ikke kan overskrives.

Hvor ofte bør jeg kontrollere at jeg kan gjenopprette fra sikkerhetskopier?

Både IPAs retningslinjer og CISAs veiledning sier "regelmessig" og oppgir ikke noe antall. IPAs retningslinjer har et eksempel der en bedrift som holdt gjenopprettingsøvelser to ganger i året, fikk kjernesystemene i drift igjen fem dager etter at angrepet ble oppdaget. Bestem hvor lenge virksomheten kan stå stille, og hvor gammelt det gjenopprettede tidspunktet kan være, og kontroller så ofte at du kan bekrefte at du klarer det.

Om forfatteren

Profilside for artikkelens forfatter.

Go Komura

Representant for KomuraSoft LLC

Arbeider særlig med Windows-programvareutvikling, teknisk rådgivning og feilsøking, og har sin styrke i prosjekter med eksisterende systemer og i undersøkelse av feil der årsaken er vanskelig å se.