Wat houdt deze control in?
Back-ups moeten regelmatig worden gemaakt, getest en beveiligd voor herstel na een incident.
Waarom is dit verplicht?
Zonder werkende back-ups is herstel na ransomware onmogelijk of extreem kostbaar.
Praktische implementatie
- Pas de 3-2-1 back-upregel toe
- Test herstel minimaal jaarlijks
- Bewaar back-ups offline tegen ransomware
- Versleutel back-ups en beveilig met toegangscontrole
Aandachtspunten voor de overheid
Definieer RTO en RPO per systeem en neem op in het continuïteitsplan. Zie RTO vs RPO.
Relatie met andere controls
Gerelateerd aan 8.14 (redundantie) en 5.30 (ICT-continuïteit).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je maakt regelmatig back-ups, test ze en beveiligt ze voor herstel na een incident. De overheidsmaatregelen vereisen een back-upbeleid met eisen voor bewaren en beschermen (met speciale aandacht voor ransomware en integriteit), een op risicoafweging gebaseerde RPO en RTO, geografisch gescheiden opslag (zodat een incident op de ene locatie de andere niet raakt), en een herstelprocedure die minimaal jaarlijks of na een grote wijziging wordt getest. Zonder werkende back-ups is herstel na ransomware onmogelijk of extreem kostbaar.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een back-upbeleid op met eisen voor bewaren en beschermen, met speciale aandacht voor ransomware-bescherming en integriteit van de back-up.
- ›Bepaal via een expliciete risicoafweging de RPO (maximaal dataverlies) en RTO (maximale hersteltijd) per systeem.
- ›Sla back-ups geografisch gescheiden op, zodat een incident op de ene locatie de andere niet raakt; bewaar een kopie offline tegen ransomware.
- ›Test de herstelprocedure minimaal jaarlijks of na een grote wijziging.
- ›Versleutel back-ups en beveilig ze met toegangscontrole (bijv. volgens de 3-2-1-regel).verdieping
Bewijs dat je kunt verzamelen
- ›Het back-upbeleid met ransomware- en integriteitseisen
- ›Vastgelegde RPO/RTO per systeem met onderliggende risicoafweging
- ›Bewijs van geografisch gescheiden (en offline) opslag
- ›Testverslagen van de (jaarlijkse) hersteltest
Wat je bij een audit moet kunnen aantonen
- ›Dat een back-upbeleid met ransomware-/integriteitseisen bestaat
- ›Dat RPO/RTO op risicoafweging zijn gebaseerd
- ›Dat back-ups geografisch gescheiden worden opgeslagen
- ›Dat de herstelprocedure minimaal jaarlijks wordt getest
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een back-upbeleid (incl. ransomware/integriteit) vastgesteld?
- ›Zijn RPO/RTO en geografische scheiding bepaald?
- ›Is een jaarlijkse hersteltest belegd?
- ›Worden back-ups conform beleid gemaakt en gescheiden opgeslagen?
- ›Zijn RPO/RTO vastgelegd?
- ›Zijn back-ups versleuteld/beschermd?
- ›Wordt herstel minimaal jaarlijks getest?
- ›Blijft de geografische scheiding/offline-kopie intact?
- ›Worden testbevindingen opgevolgd?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.