Back-ups die bestand zijn tegen ransomware ── de 3-2-1-regel, opslag die niet te overschrijven is en controleren of u kunt terugzetten

Bij ransomware-aanvallen komt het vaak voor dat een organisatie wel back-ups had, maar toch niet kon terugzetten. De meest voorkomende oorzaak is dat de back-ups samen met al het andere zijn versleuteld. Dit artikel beschrijft hoe u back-ups opzet die bestand zijn tegen aanvallen, voor de Windows-pc’s en bestandsservers van kleine en middelgrote bedrijven.

Er zijn drie hoofdpunten: houd één kopie die een geïnfecteerde pc niet kan overschrijven, gebruik “Vorige versies” niet in plaats van back-ups, en controleer of u echt kunt terugzetten. De 3-2-1-regel bepaalt hoeveel kopieën u bewaart en waar, maar schiet op zichzelf tekort als verdediging tegen ransomware.

De opdrachten in dit artikel werken alleen in Windows, en de uitvoer is gecontroleerd in een opdrachtprompt met beheerdersrechten op Windows Server 2022. Instellingsschermen en prijzen van producten kunnen veranderen, dus raadpleeg bij de invoering de nieuwste documentatie van elke leverancier.

Veel organisaties hadden back-ups maar konden niet terugzetten

De Japanse Nationale Politiedienst vraagt organisaties die door ransomware zijn getroffen naar de toestand van hun back-ups. In het rapport over de eerste helft van 2025 hadden 51 van de 53 organisaties die antwoordden back-ups gemaakt. Maar van de 48 die werden gevraagd of ze vanuit een back-up konden terugkeren naar de toestand van vlak voor de aanval, lukte dat er maar 7, en 41 niet¹.

Van de 35 die een reden gaven waarom terugzetten niet lukte, noemden er 23 “ook de back-ups waren versleuteld”, 8 “tekortkomingen in het beheer” en 4 “overig”¹. Hetzelfde rapport zegt dat ransomwaregroepen de logboeken en back-ups van slachtoffers verwijderen om hun sporen te wissen en herstel te verhinderen. Daarna vraagt het organisaties om back-ups in een offline omgeving te bewaren².

flowchart TB
        accTitle: Hoe u back-ups kunt hebben en toch niet kunt terugzetten
        accDescr: Een diagram dat laat zien dat back-ups, ook als u ze maakt, samen met al het andere worden versleuteld wanneer de geïnfecteerde pc ze kan bereiken, en dat tekortkomingen in het beheer terugzetten verhinderen als de procedure niet is gecontroleerd.
        A["Er worden back-ups gemaakt"] --> B{"Bereikbaar voor de geïnfecteerde pc?"}
        B -->|"Bereikbaar"| C["Ook versleuteld of verwijderd"]
        B -->|"Niet bereikbaar"| D{"Procedure voor terugzetten gecontroleerd?"}
        D -->|"Niet gecontroleerd"| E["Terugzetten mislukt door tekortkomingen in het beheer"]
        D -->|"Gecontroleerd"| F["Terugzetten lukt"]

Afbeelding 1: Back-ups zijn bruikbaar wanneer de geïnfecteerde pc ze niet kan bereiken en de procedure voor terugzetten is gecontroleerd.

Er zijn ook gevallen waarin terugzetten wel lukte. De vierde editie van de “Richtlijnen voor informatiebeveiliging voor het mkb” van IPA beschrijft een bouwbedrijf waarvan de bestandsservers en andere systemen werden versleuteld na een inbraak via een VPN-apparaat. Onder meer omdat het bedrijf twee keer per jaar hersteloefeningen hield, had het vijf dagen na het ontdekken van de aanval zijn kernsystemen vanuit back-ups weer draaiend. Toch duurde het 41 dagen om alle interne systemen te hervatten en vier maanden om externe toegang te hervatten, en verloor het bedrijf meer dan 20 procent van zijn interne bestanden³. Kunnen terugzetten vanuit back-ups maakt de schade niet ongedaan.

In het diagram geeft een doorgetrokken lijn een relatie aan die altijd geldt en een stippellijn een voorwaardelijke relatie (de voorwaarden staan per relatie op de detailpagina). Het volledige overzicht van de relaties (13 in totaal, met onderbouwing en zekerheid) en de definities van de belangrijkste concepten vindt u op de detailpagina van de kennisgrafiek (in het Japans). Gegevens: JSON-LD / Turtle

Aanvallers verwijderen de back-ups die ze kunnen bereiken

De #StopRansomware-gids van CISA en andere Amerikaanse instanties zegt dat veel ransomwarevarianten bereikbare back-ups proberen te vinden en te verwijderen of te versleutelen, zodat het slachtoffer zonder losgeld niet kan herstellen. Daarom is het volgens de gids belangrijk om back-ups offline te bewaren⁴.

Ook Microsoft schrijft dat aanvallers zich erop richten back-upsoftware en besturingssysteemfuncties zoals schaduwkopieën van volumes uit te schakelen⁵. Back-ups die een geïnfecteerde pc kan bereiken, zijn onder andere:

• externe schijven die altijd op de pc zijn aangesloten
• shares op een NAS of bestandsserver die aan een stationsletter zijn gekoppeld
• cloudsynchronisatiemappen waar het gewone account naar kan schrijven
• schaduwkopieën (Vorige versies) op hetzelfde volume

Zelfs met opdrachten die in het besturingssysteem zijn ingebouwd, kunt u schaduwkopieën en back-upcatalogi verwijderen. MITRE ATT&CK rekent deze techniek tot “Inhibit System Recovery” (T1490). Als voorbeelden noemt het het verwijderen van alle schaduwkopieën met vssadmin.exe delete shadows /all /quiet en het verwijderen van de Windows-back-upcatalogus met wbadmin.exe delete catalog -quiet⁶. De CISA-gids vraagt organisaties ook alert te zijn op verdacht gebruik van vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) en vergelijkbare hulpmiddelen⁴.

flowchart TB
        accTitle: Back-ups die een geïnfecteerde pc wel en niet kan bereiken
        accDescr: Een diagram dat laat zien dat een geïnfecteerde pc kan schrijven naar altijd aangesloten externe schijven, gekoppelde shares, synchronisatiemappen en schaduwkopieën, maar niet naar losgekoppelde media of opslag die niet te overschrijven is.
        P["Geïnfecteerde pc"] --> R["Plekken waar hij kan schrijven"]
        P -.-x N["Losgekoppelde media, opslag die niet te overschrijven is"]
        R --> A["Altijd aangesloten externe schijf"]
        R --> B["Gekoppelde gedeelde map"]
        R --> C["Cloudsynchronisatiemap"]
        R --> D["Schaduwkopieën"]

Afbeelding 2: Back-ups op plekken waar een geïnfecteerde pc kan schrijven, worden een doelwit van de aanval.

Let ook op aanvallen die tijd nemen. Microsoft schrijft dat ransomware soms geleidelijk versleutelt en de sleutel intussen op het systeem laat staan. Gebruikers kunnen in die tijd gewoon met de gegevens werken, dus groeit ongemerkt het aantal back-ups met versleutelde gegevens. Zodra alles is versleuteld en de sleutel wordt verwijderd, zijn zelfs recente back-ups onleesbaar⁵. Als u alleen de meest recente generatie bewaart, is er in dat geval niets om naar terug te keren.

“Vorige versies” vervangen geen back-ups

“Vorige versies” in Windows en schaduwkopieën van gedeelde mappen gebruiken de Volume Shadow Copy Service (VSS). De VSS-systeemprovider die bij Windows wordt geleverd, gebruikt een copy-on-write-methode: de inhoud van een blok wordt in een verschilgebied opgeslagen voordat het blok wordt overschreven, en zo wordt het volume op een bepaald moment gereproduceerd⁷.

In de VSS-documentatie legt Microsoft het verschil tussen schaduwkopieën en back-ups als volgt uit. Wanneer gegevens vanuit een schaduwkopie naar verwisselbare media zoals tape worden gekopieerd, wordt de inhoud van die media de back-up. Na het kopiëren mag de schaduwkopie zelf worden verwijderd⁷. De documentatie zegt ook dat bij ruimtegebrek in het verschilgebied de oudste schaduwkopieën als eerste worden verwijderd⁷.

flowchart TB
        accTitle: Het verschil tussen schaduwkopieën en back-ups
        accDescr: Een diagram dat laat zien dat een schaduwkopie een verzameling verschillen ten opzichte van het oorspronkelijke volume is en wordt verwijderd bij ruimtegebrek of door een aanvaller, terwijl een back-up op afzonderlijke media blijft bestaan, ook als het oorspronkelijke volume verloren gaat.
        V["Oorspronkelijk volume"] --> S["Schaduwkopie (verschillen)"]
        S --> L["Bij ruimtegebrek oudste eerst verwijderd"]
        S --> K["Door een aanvaller verwijderd met vssadmin"]
        S -->|"Kopiëren naar afzonderlijke media"| B["Back-up"]
        B --> R["Blijft bestaan, ook als het oorspronkelijke volume verloren gaat"]

Afbeelding 3: Schaduwkopieën zijn afhankelijk van de gegevens op het oorspronkelijke volume; wat u naar afzonderlijke media kopieert, wordt de back-up.

Schaduwkopieën zijn handig om gebruikers zelf bestanden te laten terugzetten die ze per ongeluk hebben overschreven. Zoals in de vorige sectie beschreven, worden ze echter soms door aanvallers verwijderd. Het mechanisme en het beheer worden uitgebreid uitgelegd in “Volume Shadow Copy (VSS): The Mechanism and the Practice”.

Om te zien welke schaduwkopieën er nog zijn, voert u vssadmin list shadows uit in een opdrachtprompt met beheerdersrechten. Deze subopdracht is beschikbaar op zowel clients als servers⁸.

vssadmin list shadows

Ook de versiegeschiedenis en de prullenbak in OneDrive en SharePoint bieden gebruikers een manier om bestanden terug te halen. Microsoft raadt aan gebruikers te leren hoe ze hun hele OneDrive naar een eerder moment terugzetten. Daarnaast noemt Microsoft dat u gebruikers pas laat terugzetten wanneer u zeker weet dat de aanvaller uit de omgeving is verwijderd, en dat u voorbereid moet zijn op het geval dat gebruikers ook de malware terugzetten⁵.

De 3-2-1-regel bepaalt hoeveel kopieën en waar

De 3-2-1-regel is een vuistregel voor het bewaren van back-upkopieën. “Data Backup Options”, in 2012 geschreven voor US-CERT, legt hem als volgt uit⁹.

• 3: Bewaar drie exemplaren van belangrijke bestanden: het origineel en twee back-ups.
• 2: Bewaar ze op twee verschillende soorten media, als bescherming tegen verschillende soorten rampen.
• 1: Bewaar één kopie buiten het huis of het bedrijf.

Als bron noemt het document “The DAM Book”, een boek over het beheer van digitale foto’s door fotograaf Peter Krogh⁹. Ook Microsoft noemt deze regel in zijn documentatie over back-ups ter bescherming tegen ransomware en beschrijft de “1” als “een externe of koude kopie”⁵.

Wat de 3-2-1-regel vraagt, is een kopie buiten de deur. De regel eist niet dat die externe kopie offline of onveranderbaar is. Als de externe kopie dus in een cloud staat waar een geïnfecteerde pc altijd naar kan schrijven, kan ze samen met de lokale kopieën worden versleuteld. De CISA-gids en de documentatie van Microsoft noemen offline opslag als verdediging tegen ransomware. Microsoft noemt daarnaast opslag die niet te overschrijven is⁴⁵.

flowchart TB
        accTitle: De 3-2-1-regel en bescherming tegen ransomware
        accDescr: Een diagram dat laat zien hoe aan de 3-2-1-regel van drie kopieën, twee soorten media en één kopie buiten de deur één offline of onveranderbare kopie wordt toegevoegd, waarna wordt gecontroleerd of terugzetten lukt.
        A["Drie kopieën"] --> B["Twee soorten media"]
        B --> C["Eén buiten de deur"]
        C --> D["Eén offline of onveranderbaar"]
        D --> E["Controleren of terugzetten lukt"]

Afbeelding 4: Voeg aan de 3-2-1-regel een kopie toe die een geïnfecteerde pc niet kan overschrijven, en een controle of terugzetten lukt.

Back-upleverancier Veeam promoot dit als de “3-2-1-1-0-regel”. In de documentatie van Veeam betekent de extra “1” dat u één kopie houdt die offline, air-gapped of onveranderbaar is, en de “0” dat er nul fouten zijn bij regelmatige verificatie van het terugzetten¹⁰. Dit is een benaming uit de documentatie van een leverancier, geen officiële norm. Toch overlappen de twee extra punten met wat CISA en IPA vragen.

Houd één kopie die een geïnfecteerde pc niet kan overschrijven

Er zijn grofweg twee manieren om een kopie te maken die niet te overschrijven is: de media loskoppelen van de pc en apart bewaren, of cloudopslag gebruiken waarin gegevens gedurende een vastgestelde periode niet kunnen worden overschreven of verwijderd. Welke u ook kiest, scheid de rechten voor het beheer van back-ups van het dagelijkse werk.

Koppel de media los van de pc en bewaar ze apart

Als voorbeeldmaatregel bij de zelfevaluatie noemen de IPA-richtlijnen het aansluiten van de apparaten en media voor back-ups op de pc alleen tijdens het maken van een back-up. Ze noemen ook vastleggen hoe back-ups worden gemaakt, ze op een veilige plek bewaren en regelmatig controleren of ze terug te zetten zijn¹¹.

Voor organisaties die verder gaan, noemen de richtlijnen “fysieke isolatie”. Daarbij bewaart u back-ups op een plek die fysiek gescheiden is van het oorspronkelijke systeem, en bewaart u externe opslag of back-uptapes zo ver mogelijk weg. Voorbeelden van bewaarplekken zijn een bankkluis, of een vertrouwde zakenpartner of gelieerde onderneming¹².

Een back-up die zo los van de productiesystemen wordt bewaard, heet een offline back-up. Een geïnfecteerde pc kan niet naar losgekoppelde media schrijven. Aan de andere kant moeten mensen de media opnieuw aansluiten en vervoeren, dus wordt een back-up weleens overgeslagen of gaan de media niet naar de externe locatie. Leg vast wie de media aansluit, loskoppelt en naar de bewaarplek brengt, en wanneer.

Gebruik cloudopslag die niet te overschrijven is

Cloudopslag heeft functies die voorkomen dat gegevens gedurende een vastgestelde periode worden overschreven of verwijderd. Ze slaan gegevens op in een toestand die WORM (Write Once, Read Many) heet.

In de onveranderbare opslag van Azure Blob Storage kunnen gegevens, zodra u een tijdgebonden bewaarbeleid instelt, in die periode worden gemaakt en gelezen, maar niet worden gewijzigd of verwijderd¹³. Een beleid wordt eerst in een ontgrendelde toestand gemaakt en u vergrendelt het na het testen. Een vergrendeld beleid kan niet worden verwijderd, en de bewaarperiode kan worden verlengd maar niet verkort¹³. Microsoft legt uit dat zelfs gebruikers met beheerdersrechten voor het account de gegevens niet kunnen wijzigen of verwijderen¹³.

Amazon S3 Object Lock heeft twee modi. In de compliancemodus kan niemand, ook de rootgebruiker van het AWS-account niet, tijdens de bewaarperiode een objectversie overschrijven of verwijderen. In de governancemodus kunnen alleen gebruikers met speciale rechten de bewaarinstellingen wijzigen of verwijderen¹⁴. Object Lock kan alleen worden gebruikt in buckets waarin S3-versiebeheer is ingeschakeld¹⁴.

flowchart TB
        accTitle: Twee voorbeelden van opslag die niet te overschrijven is
        accDescr: Een diagram dat laat zien dat in de onveranderbare opslag van Azure Blob Storage een vergrendeld beleid niet kan worden verwijderd en de bewaarperiode niet kan worden verkort, en dat bij S3 Object Lock in de compliancemodus zelfs de rootgebruiker niet kan verwijderen, terwijl in de governancemodus speciale rechten wijzigingen toestaan.
        W["Opslag die niet te overschrijven is"] --> AZ["Onveranderbare opslag van Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Bewaarperiode na vergrendelen niet te verkorten"]
        S3 --> C["Compliancemodus"]
        S3 --> G["Governancemodus"]
        C --> C1["Zelfs de rootgebruiker kan niet verwijderen"]
        G --> G1["Speciale rechten staan wijzigingen toe"]

Afbeelding 5: Beide soorten opslag weigeren gedurende een vastgestelde periode overschrijven en verwijderen; hoe streng hangt af van de instellingen.

Ook als u in Azure na het vergrendelen van een beleid een configuratiefout ontdekt, kunt u de bewaarperiode niet verkorten¹³. De CISA-gids vermeldt dat sommige cloudaanbieders opslag bieden die niet te overschrijven is, en waarschuwt dat een verkeerde configuratie tot aanzienlijke kosten kan leiden. Ook wordt vermeld dat zulke opslag mogelijk niet aan de eisen van bepaalde regelgeving voldoet⁴. Als u een lange bewaarperiode instelt en vergrendelt, kunt u de gegevens in die periode niet verwijderen en blijven de opslagkosten oplopen. Begin met een ontgrendelde toestand of een korte periode, controleer of terugzetten lukt, en pas daarna de productie-instellingen toe.

Scheid de rechten voor het beheer van back-ups

Ook als u opslag gebruikt die niet te overschrijven is, kan een aanvaller de back-upinstellingen en het beleid wijzigen als die met het gewone beheerdersaccount te wijzigen zijn. Microsoft raadt aan een extra stap te eisen, zoals meervoudige verificatie of een beveiligingspincode, voordat online back-ups kunnen worden gewijzigd of verwijderd. Microsoft noemt ook het beperken van back-up- en herstelbewerkingen tot gebruikers met aangewezen rollen, en het verminderen van het aantal bestandsshares waar veel gebruikers kunnen schrijven en verwijderen⁵.

Ook als dezelfde persoon zowel de pc’s als de back-ups beheert, gebruikt u het account voor het beheer van de back-upbestemming niet om dagelijks op een pc aan te melden, en beveiligt u het met meervoudige verificatie.

Bewaar meerdere generaties

De IPA-richtlijnen noemen “generatiebeheer”: back-ups van meerdere momenten bewaren. Zo kunt u teruggaan naar een bepaald moment wanneer gegevens beschadigd raken of verloren gaan¹². Zoals in een eerdere sectie beschreven, bevatten de meest recente back-ups al versleutelde gegevens als het tijd kost om de versleuteling op te merken. Bepaal hoeveel generaties u bewaart op basis van hoe lang het kan duren voordat de versleuteling wordt opgemerkt, en van de opslagkosten.

flowchart TB
        accTitle: Drie maatregelen voor een kopie die niet te overschrijven is
        accDescr: Een diagram dat laat zien dat u losgekoppelde media bewaart of opslag gebruikt die niet te overschrijven is, de rechten voor het beheer van back-ups scheidt van dagelijkse accounts en meerdere generaties bewaart.
        A["Een kopie die niet te overschrijven is"] --> B["Losgekoppelde media bewaren"]
        A --> C["Opslag die niet te overschrijven is"]
        B --> D["Beheerrechten scheiden"]
        C --> D
        D --> E["Meerdere generaties bewaren"]

Afbeelding 6: Bepaal waar u de kopie bewaart, scheid dan de beheerrechten en bewaar generaties, zodat u terug kunt ook als u het laat opmerkt.

Controleer of u kunt terugzetten

In het rapport van de Nationale Politiedienst was “tekortkomingen in het beheer” de op een na meest voorkomende reden waarom terugzetten niet lukte¹. Of een back-up echt terug te zetten is, weet u pas als u het probeert. Het daadwerkelijk terugzetten vanuit een back-up om dit te controleren, heet een hersteltest.

De IPA-richtlijnen verdelen het beheer van back-ups in drie delen: maken, bewaren en terugzetten. Voor het terugzetten vragen ze een herstelplan op te stellen en te controleren dat het terugzetten correct verloopt³. Voor bedrijfskritische systemen vragen ze de manier van back-ups maken en de procedures af te stemmen op de beoogde hersteltijd (RTO) en het beoogde herstelpunt (RPO), en de effectiviteit met oefeningen te toetsen. RTO is de tijd die nodig is om het beoogde niveau te herstellen, en RPO is het moment waarnaar u terugzet, dus het tijdstip van de meest recente back-up¹⁵. Ook de CISA-gids vraagt organisaties, met het oog op herstel na een ramp, regelmatig te controleren of back-ups beschikbaar en intact zijn⁴.

flowchart TB
        accTitle: Zo voert u een hersteltest uit
        accDescr: Een diagram met de stappen: de volgorde van terugzetten bepalen, terugzetten in een aparte omgeving, de benodigde tijd en het teruggezette punt vergelijken met de RTO en RPO, en het draaiboek bijwerken.
        A["Volgorde van terugzetten bepalen"] --> B["Terugzetten in een aparte omgeving"]
        B --> C["Benodigde tijd vergelijken met de RTO"]
        B --> D["Teruggezet punt vergelijken met de RPO"]
        C --> E["Draaiboek bijwerken"]
        D --> E
        E -.->|"Volgende controle"| A

Afbeelding 7: Probeer terug te zetten, controleer of tijd en punt aan de doelen voldoen, en verwerk de resultaten in het draaiboek.

Wat u controleert

Op basis van de documentatie van IPA en Microsoft kunt u wat u controleert als volgt indelen.

Microsoft raadt aan eerst de systemen te bepalen die cruciaal zijn voor het bedrijf en daar regelmatig back-ups van te maken. De lijst met back-ups op volgorde van prioriteit die zo ontstaat, wordt meteen de volgorde van terugzetten. Als hoge prioriteit noemt Microsoft als eerste de authenticatiesystemen, zoals Active Directory, die nodig zijn om in alle andere systemen te komen⁵. Microsoft raadt ook regelmatige oefeningen aan waarin het bedrijf weer op gang wordt gebracht vanuit een toestand waarin alle systemen zijn uitgevallen. Ga er bij die oefeningen van uit dat ook e-mail en chat niet beschikbaar zijn⁵.

Microsoft schrijft dat aanvallers het bewust gemunt hebben op draaiboeken voor terugzetten en netwerkdiagrammen. Microsoft raadt aan die te beveiligen of geprinte exemplaren bij de hand te houden⁵. Als het draaiboek alleen op de bestandsserver staat, kunt u het niet lezen wanneer die bestandsserver is versleuteld.

Waar u op let bij terugzetten na een aanval

Verwijder na een echte aanval eerst de ransomware zelf uit de omgeving voordat u terugzet⁵. Microsoft noemt het kiezen van een back-up van een moment waarvan bekend is dat er nog geen infectie was, en het scannen van de back-up op malware voordat u terugzet⁵. Het rapport van de Nationale Politiedienst zegt dat ransomwaregroepen soms op afstand bestuurbare software als achterdeur installeren, zodat ze weer binnen kunnen komen, ook nadat het toegangspunt is gedicht². Voordat u terugzet, moet u het inbraakpad onderzoeken en alles wat de aanvallers hebben achtergelaten.

flowchart TB
        accTitle: De volgorde voor terugzetten vanuit een back-up na een aanval
        accDescr: Een diagram dat laat zien dat u de ransomware zelf en het inbraakpad verwijdert, een back-up van een moment zonder infectie kiest, die op malware scant en daarna de systemen met de hoogste prioriteit als eerste terugzet.
        A["De ransomware zelf verwijderen"] --> B["Inbraakpad en achtergelaten zaken onderzoeken"]
        B --> C["Een moment zonder infectie kiezen"]
        C --> D["De back-up scannen"]
        D --> E["Hoogste prioriteit eerst terugzetten"]

Afbeelding 8: Verwijder na een aanval wat de aanvallers hebben achtergelaten en stel een moment zonder infectie vast voordat u terugzet.

Hoe vaak u controleert

Zowel de IPA-richtlijnen als de CISA-gids vragen “regelmatig” te controleren of terugzetten lukt, maar noemen geen aantal¹¹⁴. Het bedrijf uit het eerder genoemde IPA-voorbeeld hield twee keer per jaar hersteloefeningen³. Bepaal hoe lang het bedrijf stil mag liggen en hoe oud het teruggezette punt mag zijn, en controleer zo vaak dat u kunt bevestigen dat u die doelen haalt.

Wat u eerst bepaalt

De inhoud tot nu toe kunt u samenvatten als wat een mkb-bedrijf eerst moet bepalen.

flowchart TB
        accTitle: De volgorde om te beslissen over back-ups die bestand zijn tegen ransomware
        accDescr: Een diagram met de volgorde: de reikwijdte bepalen, bepalen waar kopieën komen en welke kopie niet te overschrijven is, rechten en generaties bepalen, de RTO en RPO bepalen en controleren of terugzetten lukt.
        A["Reikwijdte bepalen"] --> B["Bepalen waar kopieën komen"]
        B --> C["Kopie bepalen die niet te overschrijven is"]
        C --> D["Rechten en generaties bepalen"]
        D --> E["RTO en RPO bepalen"]
        E --> F["Controleren of terugzetten lukt"]

Afbeelding 9: Bepaal alles in één reeks, van de reikwijdte tot en met de laatste controle of terugzetten lukt.

In de vierde editie van de IPA-richtlijnen is “Maak back-ups!” toegevoegd aan de “5 regels voor informatiebeveiliging” waarmee organisaties beginnen, zodat het er nu 6 zijn¹⁶. Hoe u de richtlijnen als geheel doorloopt, staat samengevat in “Where Should SMEs Start on Security?”. Als u van plan bent servers te vervangen, zie dan ook “Preparing for Windows Server 2016 End of Support”.

Gerelateerde artikelen

• Where Should SMEs Start on Security? — A Walkthrough of IPA’s ‘Information Security Guidelines for SMEs,’ 4th Edition
• Volume Shadow Copy (VSS): The Mechanism and the Practice — Why Backup Software Can Copy Files That Are Still in Use
• Preparing for Windows Server 2016 End of Support

Bronnen

Gerelateerde artikelen

Recente artikelen met dezelfde tags. Verdiep uw kennis met nauw verwante onderwerpen.

Gerelateerde onderwerpen

Onderwerppagina’s die dicht bij dit thema liggen. Vanuit dit artikel kunt u doorklikken naar verwante diensten en andere artikelen.

Diensten bij dit thema

Dit artikel sluit aan op de volgende dienstpagina’s. Kies een ingang die dicht bij uw vraag ligt.

Veelgestelde vragen

Vragen die tijdens een adviesgesprek vaak over het thema van dit artikel worden gesteld.

Als ik back-ups maak, kan ik dan na een ransomware-infectie alles terugzetten?

Alleen back-ups maken is vaak niet genoeg om te kunnen terugzetten. In het overzicht van de schade dat de Japanse Nationale Politiedienst opstelde voor de eerste helft van 2025, konden 41 van de 48 organisaties die back-ups maakten en antwoordden niet terugkeren naar de toestand van vlak voor de aanval. De meest genoemde reden was dat de back-ups ook versleuteld waren. U hebt een kopie nodig die een geïnfecteerde pc niet kan overschrijven, en u moet controleren dat u daaruit kunt terugzetten.

Als Windows Vorige versies heeft, heb ik dan nog back-ups nodig?

Ja. Vorige versies zijn schaduwkopieën van het volume: verschillen die op het oorspronkelijke volume worden bewaard. Microsoft beschouwt gegevens die vanuit een schaduwkopie naar media zoals tape zijn gekopieerd als de back-up. Ransomware verwijdert schaduwkopieën soms met hulpmiddelen zoals vssadmin, dus combineer ze met back-ups op afzonderlijke media.

Is de 3-2-1-regel volgen voldoende als bescherming tegen ransomware?

Soms niet. De 3-2-1-regel vraagt om drie kopieën, twee soorten media en één kopie buiten de deur, maar eist niet dat die externe kopie offline of onveranderbaar is. Een cloudkopie waar een geïnfecteerde pc altijd naar kan schrijven, kan op dezelfde manier worden versleuteld. Voeg één kopie toe op offline media of in opslag die niet te overschrijven is.

Hoe vaak moet ik controleren of ik uit back-ups kan terugzetten?

Zowel de IPA-richtlijnen als de CISA-gids zeggen "regelmatig" en noemen geen aantal. De IPA-richtlijnen beschrijven een bedrijf dat twee keer per jaar hersteloefeningen hield en zijn kernsystemen vijf dagen na het ontdekken van de aanval weer in gebruik nam. Bepaal hoe lang het bedrijf stil mag liggen en hoe oud het teruggezette punt mag zijn, en controleer zo vaak dat u kunt bevestigen dat u die doelen haalt.

Profiel van de auteur

De profielpagina van de auteur van dit artikel.

Go Komura

Vertegenwoordiger van KomuraSoft LLC

Richt zich op Windows-softwareontwikkeling, technisch advies en foutanalyse, en is vooral sterk in projecten waarin bestaande assets behouden blijven en in storingsonderzoek waarbij de oorzaak moeilijk zichtbaar is.