Microsoft 365 is voor veel organisaties een onmisbaar onderdeel van de dagelijkse bedrijfsvoering. Medewerkers communiceren via Outlook en Teams, werken samen in SharePoint en slaan documenten op in OneDrive. Doordat deze diensten doorgaans goed beschikbaar zijn, ontstaat gemakkelijk het vertrouwen dat ook de gegevens voldoende beschermd zijn. Toch zegt de beschikbaarheid van een dienst nog niet of belangrijke informatie na verlies of beschadiging op de juiste manier kan worden teruggehaald.
Microsoft biedt verschillende voorzieningen voor gegevensbescherming en herstel. De relevante vraag is of de mogelijkheden die uw organisatie daadwerkelijk heeft ingericht ook aansluiten op haar bedrijfsvoering. Welke informatie moet terugkomen, hoeveel gegevensverlies is acceptabel en wanneer moeten medewerkers weer verder kunnen? Die vragen vormen het vertrekpunt voor een herstelstrategie, ook wanneer de gegevens in de cloud staan.
Een betrouwbare clouddienst is nog geen volledige herstelstrategie
Bij een traditionele IT-omgeving is het onderscheid tussen productiegegevens en back-ups vaak zichtbaar: gegevens staan op een server en worden naar een afzonderlijke voorziening gekopieerd. In Microsoft 365 zijn beschikbaarheid, versiebeheer, bewaarbeleid en herstel meer verweven met de diensten zelf. Dat biedt waardevolle mogelijkheden, maar maakt het ook lastiger om te beoordelen wat een bepaalde voorziening precies oplost en waar aanvullende maatregelen nodig zijn.
Beschikbaarheid gaat over de toegankelijkheid van een dienst, bijvoorbeeld wanneer onderliggende infrastructuur uitvalt. Retentie gaat over het bewaren van informatie volgens vastgestelde regels, terwijl versiebeheer helpt om eerdere bestandsversies terug te vinden. Back-up en herstel moeten ervoor zorgen dat gegevens na verlies of beschadiging weer bruikbaar beschikbaar komen. Deze functies kunnen elkaar aanvullen, maar hebben verschillende doelen. Een bewaard document is bijvoorbeeld niet automatisch eenvoudig terug te plaatsen in de samenhang waarin medewerkers het nodig hebben.
Een voorziening waarmee een gebruiker een verwijderd bestand terughaalt, bewijst daarom nog niet dat de organisatie na een ernstig incident duizenden bestanden, meerdere mailboxen of een compleet bedrijfsproces kan herstellen. Een goede aanpak begint bij de gewenste uitkomst. Pas daarna volgt de beoordeling of de beschikbare functies, instellingen en procedures daarvoor voldoende zijn.
Wat de ingebouwde voorzieningen wel en niet aantonen
SharePoint en OneDrive bieden mogelijkheden om eerdere bestandsversies en verwijderde bestanden terug te halen. Exchange Online kent voorzieningen voor het herstellen van verwijderde berichten; daarnaast kunnen bewaarbeleidsregels en juridische bewaring een rol spelen bij het behouden van informatie. Welke mogelijkheden bruikbaar zijn, hangt af van de dienst, de configuratie en de toepasselijke voorwaarden. De aanwezigheid van een functie betekent dus niet dat alle benodigde gegevens ermee worden beschermd of dat ieder gewenst herstelmoment beschikbaar is.
Microsoft biedt ook aanvullende back-upfunctionaliteit via Microsoft 365 Backup. Die moet afzonderlijk worden beoordeeld en ingericht; het gebruik van Microsoft 365 op zichzelf zegt niet dat deze bescherming actief is. Evenmin zijn retentie en juridische bewaring zonder meer een vervanging voor operationeel herstel op grote schaal. Het is daarom belangrijk om vast te stellen welke voorzieningen daadwerkelijk zijn ingeschakeld, welke informatie daaronder valt en hoe herstel wordt uitgevoerd. De actuele mogelijkheden en voorwaarden zijn terug te vinden in de documentatie van Microsoft 365 Backup.
Bij dagelijkse incidenten kan het terugzetten van een bestand of bericht voldoende zijn. Bij grootschalig verlies ontstaat een andere opgave: vaststellen wat is geraakt, een betrouwbaar herstelmoment kiezen en gegevens in de juiste samenhang terugbrengen. Een foutieve synchronisatie kan ongewenste wijzigingen verspreiden, terwijl ransomware bestanden kan versleutelen waarna die wijzigingen met de cloud worden gesynchroniseerd. Het bestaan van eerdere versies is dan waardevol, maar de uitvoerbaarheid en snelheid van het volledige herstelproces moeten afzonderlijk worden beoordeeld.
Accountcompromittering maakt de herstelopgave zichtbaar
Een beveiligingsincident raakt vaak meer dan één bestand of werkplek. Een aanvaller die een gebruikersaccount overneemt, kan de bestaande rechten benutten om informatie te wijzigen of te verwijderen. De gevolgen hangen daardoor mede af van de toegang die het account heeft. Het beperken van verdere toegang is noodzakelijk, maar maakt eerdere wijzigingen niet ongedaan. Onderzoek naar de omvang van het incident en herstel van de gegevens moeten op elkaar aansluiten.
Wanneer een gebruikersaccount projectinformatie raakt
Een medewerker van een zakelijke dienstverlener heeft toegang tot verschillende SharePoint-omgevingen met projectdocumenten, contracten en gedeelde bestanden. Het account raakt gecompromitteerd. De aanvaller gebruikt de bestaande rechten om grote aantallen bestanden te wijzigen en te verwijderen; via synchronisatie worden de gevolgen ook zichtbaar op de werkplekken van collega's.
Na ontdekking beperkt IT de verdere toegang en onderzoekt het team welke gegevens zijn getroffen en vanaf welk moment wijzigingen onbetrouwbaar zijn. Tegelijkertijd willen medewerkers hun projecten hervatten. Voor sommige documenten volstaat een oudere versie, terwijl bij andere informatie het verlies van recente wijzigingen tot verkeerde afspraken of onvolledige dossiers kan leiden.
De organisatie beschikt mogelijk over meerdere herstelmogelijkheden, maar moet eerst bepalen welke combinatie daarvan geschikt is. Het team moet de juiste bestanden terugbrengen zonder betrouwbare wijzigingen te overschrijven, de toegang controleren en voorkomen dat de aanvaller opnieuw wijzigingen kan aanbrengen. Alleen melden dat bestanden zijn teruggezet, geeft medewerkers nog geen zekerheid dat zij weer met betrouwbare informatie werken.
Dit fictieve voorbeeld laat zien dat herstelbaarheid afhangt van meer dan een technische voorziening. Ook inzicht in de getroffen gegevens, toegangsbeheer, herstelvolgorde en besluitvorming bepalen of het werk verantwoord kan worden hervat.
Bedrijfskritische informatie bepaalt de hersteldoelen
Niet alle informatie in Microsoft 365 heeft dezelfde betekenis voor de bedrijfsvoering. Een tijdelijk werkdocument is doorgaans eenvoudiger te reconstrueren dan een contractdossier, een verzameling projectgegevens of een mailbox waarin klantafspraken zijn vastgelegd. Teams en SharePoint kunnen bovendien onderdeel zijn geworden van processen die eerder in afzonderlijke bedrijfsapplicaties plaatsvonden. De beoordeling moet daarom uitgaan van het werk dat van die informatie afhankelijk is, en niet uitsluitend van de hoeveelheid opgeslagen gegevens.
Breng per belangrijk proces in kaart waar de informatie staat, wie haar gebruikt en wat verlies of langdurige onbeschikbaarheid betekent. Bepaal vervolgens hoeveel gegevensverlies acceptabel is en binnen welke tijd het proces weer moet functioneren. Deze grenzen worden aangeduid met RPO en RTO. Een archief dat weinig verandert, kan andere doelen hebben dan een projectomgeving waarin medewerkers voortdurend nieuwe afspraken en documenten vastleggen. Het gaat daarbij ook om de mogelijkheid om ontbrekende informatie te reconstrueren en de fouten die daarbij kunnen ontstaan.
Maak steeds onderscheid tussen technisch herstel en hervatting van de werkzaamheden. Een teruggezette documentbibliotheek heeft weinig waarde wanneer medewerkers geen toegang hebben of essentiële koppelingen ontbreken. Ook de tijd voor onderzoek, controles en veilige heringebruikname moet worden meegenomen. Zo ontstaat een hersteldoel dat betrekking heeft op het bedrijfsproces en dat later daadwerkelijk kan worden getoetst.
Aanvullende back-up beoordelen op dekking en beveiliging
Aanvullende back-up kan zinvol zijn wanneer de bestaande herstelmogelijkheden onvoldoende aansluiten op de risico's en hersteldoelen. Er kan behoefte zijn aan andere bewaarmogelijkheden, beter beheersbaar herstel op grote schaal, centrale rapportage of bescherming die minder afhankelijk is van de primaire omgeving. Dat maakt aanvullende back-up nog geen vanzelfsprekende keuze voor iedere organisatie. De afweging begint bij de tekortkoming die moet worden opgelost en de kosten die daarbij passen.
Beoordeel zowel Microsofts aanvullende dienstverlening als eventuele oplossingen van andere aanbieders op hun feitelijke dekking. Ondersteuning voor Exchange Online, SharePoint, OneDrive en onderdelen van Teams verschilt per oplossing. Bescherming van bestanden die via Teams worden gebruikt, betekent bijvoorbeeld niet automatisch dat ook gesprekken, instellingen en alle andere onderdelen kunnen worden teruggezet. Stel vast welke gegevens en metadata worden meegenomen, welke herstelmomenten beschikbaar zijn en of herstel per onderdeel of op grotere schaal mogelijk is. Controleer ook wat er gebeurt met de bescherming wanneer accounts, locaties of instellingen veranderen.
De opslag en het beheer van de back-up verdienen dezelfde aandacht. Wanneer dezelfde beheerdersaccounts zowel productiegegevens als herstelvoorzieningen kunnen beïnvloeden, kan één gecompromitteerd account beide raken. Sterke authenticatie, beperkte beheerdersrechten, scheiding van verantwoordelijkheden en bescherming tegen ongewenste verwijdering helpen dit risico te verkleinen. Hoe onafhankelijk een voorziening werkelijk is, moet blijken uit de inrichting van toegang, opslag en verwijdermogelijkheden; het label 'back-up' alleen zegt daar onvoldoende over.
Leg ten slotte vast wie herstel mag starten, welke controles daarvoor nodig zijn en hoe herstelacties worden vastgelegd. Een aanvullende voorziening heeft pas waarde wanneer zij de vereiste gegevens beschermt, zelf voldoende beveiligd is en een uitvoerbaar herstelproces ondersteunt. Een geslaagde dagelijkse back-uptaak toont slechts een deel daarvan aan.
Hersteltests maken aannames toetsbaar
Een rapportage met succesvolle back-uptaken laat zien dat bepaalde werkzaamheden zijn uitgevoerd. Of gegevens volledig, betrouwbaar en binnen een aanvaardbare tijd terugkomen, wordt pas duidelijk door herstel te testen. Begin met een afgebakend scenario, zoals een verwijderd document, en breid de toetsing waar nodig uit naar een SharePoint-bibliotheek, meerdere mailboxen of de informatie die een volledig bedrijfsproces nodig heeft. De omvang van de test moet passen bij het risico en de hersteldoelen.
Controleer niet alleen of gegevens technisch beschikbaar komen, maar ook of de juiste versies, relevante metadata en toegangsrechten aanwezig zijn. Laat gebruikers beoordelen of zij hun werkzaamheden kunnen hervatten en leg vast hoeveel tijd het onderzoek, het terugzetten en de controles daadwerkelijk kosten. Bij een beveiligingsincident moet bovendien duidelijk zijn hoe de betrouwbaarheid van het herstelpunt wordt vastgesteld en welke voorwaarden gelden voordat gegevens weer in gebruik worden genomen.
Een test moet ook zichtbaar maken wat buiten de geteste situatie valt. Het succesvol terugzetten van één bestand bewijst geen grootschalig herstel van alle projectinformatie. Vergelijk de gemeten resultaten daarom met de afgesproken doelen, leg tekortkomingen vast en wijs iemand aan die verbeteringen opvolgt. Nieuwe gegevenslocaties, andere rechten of gewijzigde bedrijfsprocessen kunnen aanleiding zijn om de dekking en herstelprocedures opnieuw te toetsen.
Herstelbaarheid vraagt om duidelijke verantwoordelijkheid
Microsoft beheert de infrastructuur en levert de functionaliteit van zijn diensten. Een IT-dienstverlener kan de omgeving configureren, beveiligen, monitoren en aanvullende voorzieningen beheren. De organisatie zelf moet aangeven welke informatie essentieel is, welke gevolgen verlies heeft en welk resterend risico acceptabel is. Deze verantwoordelijkheden moeten bij elkaar komen in concrete afspraken over bescherming, controle en herstel.
Daarbij hoort duidelijkheid over de dagelijkse uitvoering: wie controleert of de bescherming goed werkt, wie reageert op meldingen en wie coördineert het herstel? Leg ook vast wie bepaalt welke informatie voorrang krijgt en wie na controle toestemming geeft om het werk te hervatten. Zonder zulke afspraken kan zelfs een technisch goede oplossing tijdens een incident onvoldoende blijken, bijvoorbeeld wanneer niemand bevoegd is om een ingrijpende herstelactie goed te keuren.
Microsoft 365 verdient dezelfde aandacht voor continuïteit als andere bedrijfskritische systemen. Malenco beoordeelt daarom de samenhang tussen gegevens, gebruikersrechten, beveiliging, beheer en de processen die daarvan afhankelijk zijn. Door de aanwezige mogelijkheden te toetsen aan concrete hersteldoelen wordt duidelijk waar de basis voldoende is en waar verbetering nodig is. Uiteindelijk wordt de waarde van een back-up bepaald door de mate waarin uw organisatie haar belangrijke informatie terugkrijgt en haar werkzaamheden veilig kan hervatten.
