Backup för företag är själva säkerhetskopieringen av verksamhetens data, medan en komplett backupstrategi beskriver hur hela processen för skydd, lagring, övervakning och återställning ska fungera. Backup är alltså en teknisk funktion, medan backupstrategin omfattar beslut om vilken information som ska skyddas, hur ofta kopior ska skapas, var de ska lagras och hur verksamheten ska återställas vid en incident.
En komplett backupstrategi kopplar säkerhetskopieringen till företagets risker, verksamhetskritiska system och krav på kontinuitet. Den omfattar bland annat RPO, RTO, retention, separerade backupkopior, åtkomstskydd, återställningstester och ansvarsfördelning. Målet är inte bara att ha en backup, utan att företaget faktiskt ska kunna återställa rätt information när den behövs.
Backup som teknisk säkerhetskopiering
Backup för företag innebär att information kopieras och lagras så att den kan återställas om originaldata försvinner, skadas eller blir otillgänglig. Det kan exempelvis handla om dokument, databaser, kundinformation, ekonomiska system, e-post, webbplatser och systemkonfigurationer.
Backup är därmed en konkret teknisk funktion. Ett backupjobb kan köras automatiskt enligt ett schema och skapa en eller flera återställningspunkter.
Backup skapar återställningspunkter
En säkerhetskopia ger företaget möjlighet att gå tillbaka till ett tidigare tillstånd. Hur många återställningspunkter som finns och hur långt tillbaka de sträcker sig beror på backupens konfiguration och retention.
Backup och synkronisering
Backup skiljer sig från synkronisering. Synkronisering uppdaterar information mellan system, medan backup är avsedd att skapa en separat möjlighet till återställning. En säkerhetskopiering bör därför kunna återställa tidigare versioner även när information har raderats eller ändrats.
Backupstrategi som övergripande planering
En backupstrategi beskriver hur företaget ska använda backup för att hantera dataförlust och återställa verksamheten. Strategin omfattar både tekniska lösningar och organisatoriska rutiner.
Det handlar exempelvis om att identifiera verksamhetskritisk information, fastställa backupfrekvens, definiera retention, bestämma lagringsplatser och ange vilka krav som gäller för återställning.
Riskbaserad strategi
Backupstrategin bör utgå från företagets riskbild. Ransomware, hårdvarufel, mänskliga misstag, datakorruption och andra incidenter kan kräva olika typer av skydd och återställningsmöjligheter.
Verksamhetsanpassad planering
Ett system som är avgörande för företagets dagliga verksamhet kan behöva tätare backup och snabbare återställning än information som inte är lika kritisk.
Verksamhetskritisk information och prioritering
En komplett backupstrategi börjar med att företaget identifierar vilken information och vilka system som är mest kritiska. Backup behöver därför inte behandla all information på exakt samma sätt.
Exempel på verksamhetskritisk information är kundregister, orderdata, ekonomisystem, databaser, avtal, e-post, produktinformation och konfigurationer som krävs för att driva företagets IT-miljö.
Informationsklassificering
Genom att klassificera information kan företaget bestämma vilka data som kräver högst skyddsnivå, tätast backup och längst retention.
Systemberoenden
En återställningsplan behöver även ta hänsyn till beroenden mellan system. Ett verksamhetssystem kan exempelvis vara beroende av databaser, identitetstjänster, integrationer eller andra tekniska komponenter.
RPO, RTO och återställningskrav
RPO och RTO gör backupstrategin mätbar genom att definiera hur långt tillbaka i tiden data får gå förlorad och hur snabbt verksamheten ska kunna återställas.
RPO, Recovery Point Objective, beskriver hur långt tillbaka i tiden verksamheten kan acceptera att data går förlorad. RTO, Recovery Time Objective, beskriver hur lång tid det får ta att återställa ett system eller en tjänst.
RPO påverkar backupfrekvensen
Om företaget bara kan acceptera en kort period av dataförlust behöver återställningspunkterna skapas oftare. RPO påverkar därför direkt hur backupen behöver konfigureras.
RTO påverkar återställningslösningen
Om ett system måste återställas snabbt kan det krävas en mer genomtänkt återställningslösning än om verksamheten kan acceptera ett längre avbrott.
Backup för molntjänster och IT-miljöer
En komplett backupstrategi behöver omfatta den IT-miljö som företaget faktiskt är beroende av, inklusive relevanta molntjänster. Att information finns i molnet innebär inte automatiskt att företagets krav på backup och återställning är uppfyllda.
Företaget behöver förstå vilka återställningsfunktioner som finns i varje tjänst och vilket ansvar som ligger på leverantören respektive företaget.
Molndata och återställning
För varje viktig molntjänst bör företaget kontrollera versionshantering, retention, återställningsmöjligheter och åtkomstskydd.
Helhetsperspektiv
Backupstrategin bör omfatta relevanta servrar, klienter, databaser, SaaS-tjänster, dokument och systemkonfigurationer när dessa är viktiga för verksamhetens kontinuitet.
Retention och lagring av backup
Retention anger hur länge företagets återställningspunkter ska sparas och är en viktig del av en komplett backupstrategi. En enskild backup kan vara värdefull direkt efter en incident, men företaget kan även behöva kunna återställa information från en längre period tillbaka.
Retention bör anpassas efter verksamhetens behov, datatyper, riskbild och krav på återställning.
Kort och lång retention
Kortare retention kan vara lämplig för täta återställningspunkter, medan längre retention kan behövas för att kunna återställa information från äldre tidpunkter.
Versionshantering
Versionshantering gör det möjligt att välja en tidigare version av informationen. Det är särskilt användbart vid felaktiga ändringar, oavsiktlig radering och vissa typer av cyberincidenter.
Separata och skyddade backupkopior
En komplett backupstrategi behöver skydda säkerhetskopiorna från samma incidenter som kan drabba produktionsmiljön. Om backupen är direkt åtkomlig från den miljö som har angripits kan även återställningsmöjligheten påverkas.
Separata lagringsplatser, begränsad åtkomst och andra skyddsmekanismer kan minska risken för att alla kopior förstörs eller manipuleras samtidigt.
Skydd mot ransomware
Vid ransomware kan angripare försöka radera eller kryptera backup. Därför behöver backupmiljön ha ett eget säkerhetsskydd och lämpliga administrativa begränsningar.
Behörighetskontroll
Administrativa rättigheter till backup bör begränsas till behöriga personer och skyddas med stark autentisering och separerade administrativa konton där det är lämpligt.
Återställning som del av kontinuitetsplaneringen
Skillnaden mellan en enkel backup och en komplett strategi blir tydlig vid återställning. En backup kan finnas lagrad utan att företaget har testat hur snabbt och i vilken ordning systemen faktiskt kan återställas.
En komplett strategi kopplar därför backupen till företagets kontinuitetsplanering och definierar återställningsprocessen.
Prioriterad återställning
Vid ett större avbrott behöver verksamhetskritiska system kunna återställas i en definierad ordning. Dokumenterade beroenden och RTO-krav gör processen mer strukturerad.
Incidenthantering
Vid exempelvis ransomware behöver företaget först kontrollera incidentens omfattning och säkerställa att miljön är tillräckligt säker innan data återställs.
Säkerhet, åtkomst och ansvar
En komplett backupstrategi omfattar även vem som ansvarar för backup, hur åtkomsten kontrolleras och hur säkerhetsincidenter ska hanteras. Backup innehåller ofta samma känsliga information som produktionssystemen.
Tekniska säkerhetsåtgärder kan omfatta kryptering, autentisering, åtkomstkontroll och övervakning. Organisatoriska åtgärder kan omfatta ansvarsfördelning, dokumentation och rutiner.
Ansvarsfördelning
Det bör vara tydligt vem som ansvarar för att backup körs korrekt, vem som följer upp fel och vem som kan initiera en återställning.
Skydd av personuppgifter
Backup kan innehålla personuppgifter och annan känslig information. Lagring, åtkomst, retention och radering behöver därför hanteras enligt företagets säkerhetskrav och tillämpliga dataskyddsregler.
Testning, övervakning och kontinuerlig förbättring
En komplett backupstrategi kräver regelbunden kontroll och återställningstestning för att verifiera att backupen fungerar i praktiken. Det räcker inte att ett backupjobb rapporteras som genomfört.
Företaget bör verifiera att information kan återställas och att återställningen motsvarar de krav som har definierats för verksamheten.
Återställningstester
Tester kan omfatta enskilda filer, databaser, system eller större delar av IT-miljön. Resultaten bör dokumenteras och eventuella brister åtgärdas.
Övervakning av backup
Misslyckade backupjobb, lagringsproblem och andra avvikelser behöver upptäckas innan en verklig incident inträffar. Övervakning är därför en viktig del av den löpande backupstrategin.
Strategin behöver uppdateras
När företaget inför nya system, byter molntjänster eller förändrar verksamheten behöver backupstrategin uppdateras. Strategin ska följa företagets IT-miljö och verksamhetskrav över tid.
Vanliga frågor om backup och backupstrategi
Vad är skillnaden mellan backup och en backupstrategi?
Backup är själva säkerhetskopieringen av data, medan en backupstrategi beskriver hur backup ska planeras, skyddas, lagras, övervakas, testas och användas vid återställning.
Räcker det att företaget har en automatisk backup?
Nej, en automatisk backup är bara en del av en komplett strategi. Företaget behöver även planera lagring, retention, säkerhet, återställning, ansvar och regelbundna tester.
Vad ingår i en komplett backupstrategi?
En komplett backupstrategi kan omfatta informationsklassificering, backupfrekvens, RPO, RTO, retention, separerade backupkopior, åtkomstskydd, övervakning, återställningsplaner och återställningstester.
Vad betyder RPO och RTO i en backupstrategi?
RPO anger hur långt tillbaka i tiden företaget kan acceptera att data går förlorad, medan RTO anger hur snabbt ett system eller en tjänst behöver kunna återställas efter ett avbrott.
Varför behöver backup lagras separat?
Separat lagring minskar risken att samma incident påverkar både produktionsdata och säkerhetskopior. Det är särskilt viktigt vid ransomware och andra cyberattacker.
Behöver företag testa sina säkerhetskopior?
Ja. Regelbundna återställningstester används för att verifiera om informationen faktiskt kan återställas och om återställningen uppfyller företagets krav på tid och datakvalitet.
Är backupstrategin bara en IT-fråga?
Nej. Backupstrategin är även kopplad till verksamhetens kontinuitet, riskhantering och informationssäkerhet eftersom dataförlust kan påverka försäljning, kundservice, ekonomi och andra centrala funktioner.
Sammanfattning av backup och backupstrategi
Den viktigaste skillnaden är att backup är själva säkerhetskopieringen, medan en komplett backupstrategi beskriver hela processen för att skydda och återställa företagets information. Backup ger företaget återställningspunkter, medan strategin bestämmer hur dessa återställningspunkter ska skapas, skyddas och användas.
En komplett backupstrategi omfattar bland annat verksamhetskritisk information, backupfrekvens, RPO, RTO, retention, separerade kopior, säkerhet, åtkomstkontroll, återställningsplaner och regelbundna tester. Den bör även omfatta relevanta molntjänster och andra system som verksamheten är beroende av.
Målet är därför inte bara att ha en fungerande backup, utan att kunna återställa verksamhetens information på ett kontrollerat och förutsägbart sätt när något går fel. Backup är den tekniska grunden; backupstrategin är den övergripande planen som gör skyddet användbart i praktiken.
