Een medewerker opent op maandagochtend een gedeelde map en ziet dat de administratiebestanden niet meer toegankelijk zijn. Of erger: ransomware heeft niet alleen de server, maar ook gekoppelde opslag versleuteld. Op dat moment is cloudback-up versus lokale back-up geen technische voorkeur meer, maar een beslissing over continuïteit, klantvertrouwen en omzet.

Voor mkb-bedrijven is de relevante vraag daarom niet simpelweg waar een kopie van gegevens staat. De vraag is of u na een fout, storing, brand, diefstal of cyberaanval binnen acceptabele tijd weer kunt werken – en of de gegevens die u terugzet volledig en betrouwbaar zijn. Dat vraagt om een back-upkeuze die past bij uw bedrijfsproces, risico’s en afspraken met leveranciers.

Cloudback-up versus lokale back-up: de echte afweging

Een lokale back-up wordt opgeslagen op apparatuur op of nabij uw eigen locatie, bijvoorbeeld een netwerkschijf, back-upserver of versleutelde externe schijf. Het grote voordeel is snelheid. Bij grote hoeveelheden data kan lokaal herstel aanzienlijk sneller gaan dan herstel via een internetverbinding. U houdt bovendien directe fysieke controle over de opslag en bent voor het dagelijkse herstel minder afhankelijk van een externe partij.

Daar staat een wezenlijk risico tegenover: een lokale kopie kan door hetzelfde incident worden geraakt als de originele gegevens. Denk aan brand, waterschade, inbraak, een stroomprobleem, een verkeerd geconfigureerde beheeromgeving of ransomware die via het netwerk ook de back-up bereikt. Een back-up die in hetzelfde pand en permanent op hetzelfde netwerk staat, biedt geen voldoende bescherming tegen alle scenario’s.

Bij cloudback-up worden gegevens versleuteld naar een externe opslaglocatie gekopieerd. Dat maakt de back-up beter bestand tegen een lokale calamiteit. Ook kunnen meerdere versies langer worden bewaard zonder dat u zelf extra opslagapparatuur hoeft te beheren. Voor organisaties met thuiswerkers, Microsoft 365-gegevens, meerdere vestigingen of beperkte interne IT-capaciteit is dit vaak een logische aanvulling.

Cloudback-up kent echter ook aandachtspunten. Het terugzetten van grote datasets kost tijd als de beschikbare internetverbinding beperkt is. Daarnaast verschilt de kwaliteit van aanbieders sterk. Waar staan de gegevens? Hoe lang worden versies bewaard? Is herstel inbegrepen in de dienstverlening? En kan de leverancier aantonen dat toegang, versleuteling en verwijdering goed zijn geregeld? De term cloud zegt op zichzelf niets over de kwaliteit van de back-up.

Begin niet met techniek, maar met de gevolgen van uitval

Een goede keuze begint bij de bedrijfsprocessen die niet mogen stilvallen. Voor een installatiebedrijf kunnen dat planning, werkbonnen en calculaties zijn. Voor een handelsbedrijf zijn voorraad, orderverwerking en financiële gegevens vaak kritisch. Bij een zorg- of HR-gerelateerde organisatie kunnen persoonsgegevens en de beschikbaarheid van dossiers extra zwaar wegen.

Daarbij zijn twee vragen bepalend. De eerste is: hoeveel gegevensverlies is acceptabel? Dit wordt vaak uitgedrukt als Recovery Point Objective, of RPO. Als uw laatste bruikbare kopie van gisteravond is, kunt u dan een volledige werkdag opnieuw invoeren? Voor sommige processen is dat vervelend maar beheersbaar. Voor andere is het financieel of operationeel niet acceptabel.

De tweede vraag is: hoe snel moet u weer kunnen werken? Dat is de Recovery Time Objective, of RTO. Een onderneming die een dag zonder bestanden kan, maakt een andere keuze dan een organisatie waar monteurs, klantenservice en facturatie direct afhankelijk zijn van dezelfde systemen. Wie een hersteltijd van vier uur verwacht, moet controleren of die belofte technisch en contractueel haalbaar is.

Deze vragen brengen vaak een ongemakkelijke maar nuttige werkelijkheid aan het licht: veel bedrijven hebben wel een back-up, maar geen vastgestelde hersteltijd en geen bewijs dat herstel daadwerkelijk werkt. Dan is de back-up vooral een aanname.

Wanneer lokale back-up goed past

Lokale back-up kan een goede keuze zijn wanneer snel herstel van grote bestanden essentieel is. Denk aan tekeningen, productiegegevens, lokale bedrijfsapplicaties of bestanden die dagelijks intensief worden gebruikt. Een lokale kopie kan ook uitkomst bieden wanneer de internetverbinding onvoldoende capaciteit heeft om grote hoeveelheden data binnen de gewenste termijn terug te zetten.

De voorwaarde is wel dat de lokale omgeving zorgvuldig wordt ingericht. De back-upopslag moet gescheiden zijn van de productiesystemen, toegang moet beperkt zijn en de gegevens moeten versleuteld worden bewaard. Een usb-schijf die permanent in dezelfde server hangt, is geen volwaardige beschermingsmaatregel. Ook een NAS die voor alle beheerders vrij toegankelijk is, kan kwetsbaar zijn voor ransomware of menselijke fouten.

Lokale back-up vraagt bovendien om duidelijke beheerverantwoordelijkheid. Wie controleert dagelijks of de taken zijn geslaagd? Wie vervangt defecte apparatuur? Wie bewaakt de beschikbare opslagruimte? Zonder deze afspraken verschuift een technisch risico ongemerkt naar de organisatie.

Wanneer cloudback-up de betere keuze is

Cloudback-up is met name waardevol als een incident op de bedrijfslocatie niet mag leiden tot verlies van gegevens. Het biedt een externe kopie die niet afhankelijk is van uw pand, lokale stroomvoorziening of hardware. Voor data uit cloudapplicaties is een aanvullende cloudback-up vaak noodzakelijk. Veel organisaties gaan ervan uit dat een aanbieder van e-mail, samenwerkingstools of boekhoudsoftware automatisch alle herstelverantwoordelijkheid overneemt. Dat is niet altijd zo.

Controleer daarom wat precies wordt beschermd. Gaat het alleen om e-mail, of ook om gedeelde documenten, Teams-gegevens, agenda’s en verwijderde gebruikersaccounts? Worden alle versies bewaard die u nodig heeft? En kunt u selectief één bestand, één mailbox of een volledige omgeving herstellen?

Let ook op de beveiliging van het back-upaccount. Multi-factor-authenticatie, gescheiden beheerdersaccounts en strikte toegangsrechten zijn noodzakelijk. Als een aanvaller toegang krijgt tot de beheerportal en daar de bewaarinstellingen kan aanpassen of kopieën kan verwijderen, blijft er weinig over van de bescherming. Onveranderbare opslag, waarbij back-ups gedurende een afgesproken periode niet kunnen worden gewijzigd of verwijderd, kan in dit verband een belangrijk extra verdedigingsmiddel zijn.

De praktijk wijst vaak naar een hybride aanpak

Voor veel mkb-bedrijven is de keuze geen kwestie van cloud óf lokaal. Een combinatie biedt vaak de beste balans tussen snelle hersteltijden en bescherming tegen een calamiteit op locatie. Een lokale kopie ondersteunt snel dagelijks herstel. Een versleutelde externe kopie beschermt tegen grotere incidenten, zoals brand, diefstal of grootschalige ransomware.

Deze benadering sluit aan bij het bekende 3-2-1-principe: bewaar ten minste drie kopieën van belangrijke gegevens, op twee verschillende soorten opslag, waarvan één kopie buiten de eigen locatie. Het principe is geen doel op zichzelf. Het helpt om te voorkomen dat alle kopieën afhankelijk zijn van dezelfde server, hetzelfde netwerk, hetzelfde pand of dezelfde beheerder.

Een hybride oplossing kan wel duurder en complexer zijn. U betaalt mogelijk voor lokale hardware, cloudopslag, licenties en beheer. Dat is alleen verantwoord als de inrichting aansluit op de waarde van uw data. Niet elk archiefbestand hoeft ieder uur gekopieerd te worden, terwijl financiële administratie, klantdossiers en actuele projectbestanden mogelijk juist strengere eisen vragen. Door gegevens te classificeren voorkomt u dat u te veel betaalt voor onnodige bescherming, of te weinig beschermt waar het echt telt.

Een back-up is pas waardevol als herstel is getest

De meest onderschatte stap is de hersteltest. Een groen vinkje in een back-updashboard bewijst hooguit dat een taak is uitgevoerd. Het bewijst niet dat de data leesbaar is, dat alle benodigde onderdelen aanwezig zijn of dat uw medewerkers ermee verder kunnen.

Plan daarom periodiek een hersteltest. Herstel niet alleen een willekeurig bestand, maar test ook een realistisch scenario: een beschadigde gedeelde map, een verwijderde mailbox, een defecte server of een ransomware-incident. Leg vast hoeveel tijd het kost, welke stappen nodig zijn en waar knelpunten ontstaan. Juist dan blijkt of de afgesproken RPO en RTO haalbaar zijn.

Betrek daarbij niet alleen de ICT-leverancier. De proceseigenaar moet kunnen bevestigen dat herstelde gegevens bruikbaar en volledig zijn. De financiële afdeling weet bijvoorbeeld beter dan de systeembeheerder welke administratiebestanden nodig zijn om facturatie weer op gang te brengen. Ook is het verstandig om te bepalen wie bij een incident mag besluiten tot herstel, wie de leverancier aanstuurt en hoe medewerkers worden geïnformeerd.

Maak afspraken die ook tijdens een incident standhouden

Back-upvoorzieningen worden vaak ingekocht als onderdeel van een beheerdienst, zonder dat de dienstverlening scherp is vastgelegd. Vraag daarom niet alleen hoeveel opslag u krijgt, maar ook welke resultaten worden geleverd. Denk aan bewaartermijnen, hersteltijden, monitoring, meldingen bij mislukte back-ups, beveiligingsmaatregelen en ondersteuning buiten kantooruren.

Vraag ook wie waarvoor verantwoordelijk is. De leverancier kan de techniek beheren, maar u blijft verantwoordelijk voor keuzes over bewaartermijnen, prioriteiten en toegang tot bedrijfsgegevens. Bij vertrek van een leverancier moet helder zijn hoe u de back-ups, documentatie en beheerrechten overdraagt. Dat voorkomt afhankelijkheid op het moment dat u juist snel wilt kunnen handelen.

Een onafhankelijke beoordeling kan helpen om leveranciersclaims te toetsen aan uw werkelijke risico’s, zonder dat de uitkomst al vaststaat omdat er hardware, opslag of beheerdiensten verkocht moeten worden. Zo wordt back-up geen los product, maar een controleerbaar onderdeel van uw continuïteits- en cybersecuritybeleid.

Kies dus niet voor de oplossing die het prettigst klinkt in een offerte, maar voor de oplossing waarvan u herstel kunt aantonen. De beste volgende stap is vaak klein en concreet: laat deze maand één kritisch proces herstellen en gebruik de uitkomst om gerichte verbeterafspraken te maken.