Företag bör säkerhetskopiera data så ofta att en incident inte leder till större dataförlust än verksamheten kan acceptera. Det finns därför ingen generell backupfrekvens som passar alla företag. Hur ofta backup ska ske beror bland annat på hur snabbt informationen förändras, hur verksamhetskritiska data är och vilka krav företaget har på återställning.
En genomtänkt backupstrategi utgår från RPO, Recovery Point Objective, som anger hur långt tillbaka i tiden företaget kan acceptera att data går förlorad. Kritiska system kan behöva mycket täta återställningspunkter, medan information som förändras mer sällan kan säkerhetskopieras med längre intervall. Backupfrekvensen bör dessutom kombineras med retention, separerade kopior, övervakning och regelbundna återställningstester.
Backupfrekvens utifrån verksamhetens behov
Hur ofta ett företag bör säkerhetskopiera sina data avgörs främst av hur långt tillbaka i tiden verksamheten kan acceptera att data går förlorad. Ett företag som hanterar nya kundorder, betalningar eller andra transaktioner kontinuerligt kan behöva betydligt tätare backup än ett företag med information som förändras mer sällan.
Backupfrekvensen bör därför inte bestämmas enbart utifrån vad som är tekniskt enkelt. Den bör kopplas till verksamhetens risker, informationsflöden och krav på kontinuitet.
Data som förändras ofta
Databaser, orderinformation, kundärenden och andra system med hög förändringstakt kan kräva täta återställningspunkter. Ju snabbare informationen förändras, desto större kan konsekvensen bli av ett långt intervall mellan säkerhetskopieringarna.
Data som förändras mer sällan
Dokument och annan information som ändras mer sällan kan i vissa fall hanteras med längre backupintervall. Även sådan information bör dock ingå i en dokumenterad backupstrategi.
RPO som grund för backupfrekvens
RPO, Recovery Point Objective, anger hur långt tillbaka i tiden företaget kan acceptera att data går förlorad vid en incident. RPO är därför en av de viktigaste faktorerna när backupfrekvensen ska bestämmas.
Om företaget exempelvis behöver kunna återställa information från en mycket nära tidpunkt före ett avbrott krävs tätare återställningspunkter. Om verksamheten kan acceptera att återgå till en äldre återställningspunkt kan backupintervallet vara längre.
RPO och informationskritikalitet
Olika system kan ha olika RPO. Ett verksamhetskritiskt ordersystem kan behöva tätare återställningspunkter än ett internt dokumentarkiv.
RPO och riskhantering
RPO bör fastställas utifrån konsekvenserna av dataförlust. Ju större påverkan dataförlust får på verksamheten, desto viktigare blir det att minimera tiden mellan återställningspunkterna.
Verksamhetskritiska system och data
Verksamhetskritiska system bör normalt ha högre krav på backup än information som inte påverkar den dagliga driften. Företaget behöver därför identifiera vilka system som är mest betydelsefulla för försäljning, kundservice, ekonomi, produktion och administration.
Det kan exempelvis handla om ERP-system, CRM, e-handel, databaser, ekonomisystem, orderhantering och andra plattformar som verksamheten är beroende av.
Prioritering av system
Genom att klassificera systemen kan företaget bestämma olika backupnivåer. Kritiska system kan få tätare backup och starkare skydd, medan mindre kritiska system kan hanteras med andra intervall.
Systemberoenden
Backupfrekvensen bör även ta hänsyn till beroenden mellan system. Om ett system kräver information från en annan datakälla behöver återställningen kunna hantera dessa beroenden.
Backup för molntjänster och SaaS
Molntjänster behöver också ingå i företagets bedömning av backupfrekvens. Att data lagras hos en molnleverantör innebär inte automatiskt att företagets egna krav på backup och återställning är uppfyllda.
Företaget behöver kontrollera vilka återställningsfunktioner, versionshantering och retention som finns i respektive tjänst och vilket ansvar som ligger hos leverantören.
Molndata med olika förändringstakt
Data i molntjänster kan förändras kontinuerligt genom användarnas arbete. Därför behöver backupbehovet bedömas utifrån hur informationen används och verksamhetens RPO.
Återställning av molndata
Det är viktigt att inte bara kontrollera att data kan säkerhetskopieras utan även att den kan återställas på ett användbart sätt. Återställningsprocessen bör därför ingå i företagets tester.
Backup av dokument, databaser och verksamhetssystem
Olika typer av information kan kräva olika backupfrekvens. Databaser och transaktionssystem har ofta en annan förändringstakt än dokumentarkiv, konfigurationer och statisk information.
En komplett backupstrategi bör därför kunna använda olika backupnivåer för olika datakategorier i stället för att behandla all information på samma sätt.
Databaser
Databaser som innehåller kund-, order- eller transaktionsinformation kan behöva tätare återställningspunkter eftersom stora mängder information kan förändras på kort tid.
Dokument och filer
Dokument behöver också skyddas mot radering, felaktiga ändringar och annan dataförlust. Versionshantering kan vara särskilt användbart när användare behöver återgå till en tidigare version.
Backupintervall och återställningstid
Backupfrekvens och återställningstid är två olika delar av företagets återställningsplan. RPO anger hur långt tillbaka i tiden data kan gå förlorad, medan RTO, Recovery Time Objective, anger hur snabbt ett system behöver kunna återställas.
Ett företag kan därför behöva både täta backupkopior och en snabb återställningsprocess för kritiska system.
RTO påverkar återställningslösningen
Om verksamheten behöver komma tillbaka snabbt efter ett avbrott kan det krävas en återställningslösning som är dimensionerad för korta återställningstider. Backupfrekvensen ensam avgör inte om ett RTO-krav kan uppfyllas.
Återställning som helhet
Backup, återställningsprocess, systemberoenden och prioriteringar behöver fungera tillsammans. Därför bör företaget planera backupfrekvens och återställning som en sammanhängande process.
Retention och flera återställningspunkter
Backupfrekvensen behöver kombineras med retention, eftersom företaget kan behöva återställa data från olika tidpunkter. Retention anger hur länge återställningspunkter sparas.
En modern backupstrategi kan därför innehålla många täta återställningspunkter nära i tiden och samtidigt behålla utvalda äldre versioner under en längre period.
Versionshistorik
Versionshistorik gör det möjligt att återgå till en tidigare version av informationen. Det kan vara viktigt vid exempelvis felaktiga ändringar eller upptäckt av datakorruption som har funnits en längre tid.
Retention efter verksamhetens behov
Hur länge backup ska sparas bör bestämmas utifrån verksamhetens krav, risker och relevanta regler. Längre retention kan vara motiverad för vissa typer av information, medan annan data kan ha kortare återställningsbehov.
Skydd mot ransomware och dataförlust
En hög backupfrekvens ger inte ett tillräckligt skydd om angripare även kan påverka säkerhetskopiorna. Backupmiljön behöver därför skyddas separat från produktionsmiljön.
Vid ransomware kan angripare försöka kryptera eller radera både originaldata och backup. Separata, skyddade eller isolerade återställningspunkter kan minska denna risk.
Separata backupkopior
Backup som lagras i en separat miljö kan ge ett bättre skydd mot incidenter som påverkar produktionssystemen.
Åtkomstkontroll
Administrativa rättigheter till backup bör begränsas och skyddas. Stark autentisering och separerade administrativa behörigheter kan minska risken för obehörig åtkomst.
Automatiserad backup och övervakning
Automatiserad säkerhetskopiering gör det möjligt att skapa återställningspunkter regelbundet utan att personal behöver starta processen manuellt. Automatisering behöver dock kombineras med övervakning.
Ett företag behöver kunna upptäcka när backupjobb misslyckas, när lagringsutrymme börjar ta slut eller när andra problem påverkar säkerhetskopieringen.
Övervakning av backupjobb
Backupstatus bör följas upp så att fel upptäcks innan en verklig incident inträffar. Automatiska notifieringar och rapportering kan göra uppföljningen mer tillförlitlig.
Dokumenterade rutiner
Företaget bör ha dokumenterade rutiner för vad som ska göras när backup misslyckas. Det ska även vara tydligt vem som ansvarar för uppföljning och åtgärder.
Återställningstester och kontinuerlig anpassning
Regelbundna återställningstester används för att verifiera om företagets valda backupfrekvens ger den återställningsförmåga som verksamheten behöver. Ett lyckat backupjobb betyder inte automatiskt att hela återställningsprocessen fungerar.
Tester kan genomföras på filer, databaser, applikationer och hela system beroende på verksamhetens krav.
Verifiering av återställning
Företaget bör kontrollera att data kan återställas korrekt och att informationens integritet bevaras. Testerna bör dokumenteras och resultatet användas för förbättringar.
Backupstrategin förändras över tid
När verksamheten växer, nya system införs eller informationens betydelse förändras behöver backupfrekvens och återställningskrav ses över.
Vanliga frågor om hur ofta företag bör säkerhetskopiera data
Hur ofta bör företag säkerhetskopiera sina data?
Det beror på hur snabbt informationen förändras och verksamhetens RPO. Kritiska system kan behöva mycket täta återställningspunkter, medan mindre kritisk information kan hanteras med längre intervall.
Vad avgör hur ofta backup ska göras?
Viktiga faktorer är informationskritikalitet, förändringstakt, RPO, verksamhetens risker och krav på kontinuitet.
Vad är RPO och varför är det viktigt?
RPO, Recovery Point Objective, anger hur långt tillbaka i tiden företaget kan acceptera att data går förlorad. RPO används därför för att bestämma hur täta återställningspunkterna behöver vara.
Behöver all företagsdata säkerhetskopieras lika ofta?
Nej. Olika system och datakategorier kan ha olika förändringstakt och verksamhetskritikalitet. Backupfrekvensen bör därför anpassas efter respektive systems behov.
Är daglig backup tillräckligt för företag?
Det beror på verksamhetens RPO. För information som förändras ofta kan dagliga återställningspunkter innebära större dataförlust än verksamheten accepterar.
Hur ofta bör företag testa sin backup?
Återställning bör testas regelbundet och enligt en dokumenterad rutin. Testernas omfattning och frekvens bör anpassas efter hur kritiska systemen är och vilka återställningskrav företaget har.
Behöver molntjänster också säkerhetskopieras?
Det beror på tjänsten och företagets krav. Företaget bör kontrollera vilka återställningsfunktioner som ingår och om de motsvarar verksamhetens krav på RPO, retention och återställning.
Sammanfattning av backupfrekvens för företag
Företag bör säkerhetskopiera data så ofta att den möjliga dataförlusten håller sig inom verksamhetens accepterade RPO. Det innebär att det inte finns ett enda backupintervall som passar alla företag eller alla typer av information.
Verksamhetskritiska system och data som förändras snabbt kan behöva täta återställningspunkter, medan information som förändras mer sällan kan ha längre intervall. Backupfrekvensen behöver samtidigt kombineras med retention, separerade backupkopior, åtkomstskydd, övervakning och återställningstester.
Den bästa backupfrekvensen är därför den som utgår från företagets faktiska risker och återställningskrav. RPO visar hur långt tillbaka i tiden data får gå förlorad, medan RTO visar hur snabbt verksamheten behöver komma tillbaka. Tillsammans ger de en praktisk grund för att dimensionera företagets backupstrategi.
