Een soevereine back-upstrategie op basis van air-gapped en onveranderlijke opslag is een architectuur waarbij ten minste één kopie van bedrijfsdata fysiek is losgekoppeld van elk netwerk en cryptografisch beveiligd is met sleutels die uitsluitend onder beheer van de eigen organisatie staan. Deze aanpak neutraliseert twee risico’s tegelijk: ransomware die via het netwerk back-ups bereikt, en buitenlandse overheidstoegang via wetten zoals de Amerikaanse CLOUD Act.
Waarom cloudback-ups bij hyperscalers onvoldoende zijn
Cloudback-ups bij Amerikaanse aanbieders zoals AWS, Azure en Google bieden hoge beschikbaarheid, maar lossen het ransomwareprobleem niet fundamenteel op. Zodra een aanvaller beheerderstoegang verkrijgt tot een cloudaccount, bereikt hij ook de back-ups in datzelfde account. Bovendien valt data die door een Amerikaans bedrijf wordt bewaard, ongeacht de locatie van de datacenters, onder de reikwijdte van de CLOUD Act (2018), die Amerikaanse opsporingsdiensten de bevoegdheid geeft om data op te vragen zonder dat de betrokkene daarvan op de hoogte wordt gesteld.
Volgens het ENISA Threat Landscape 2024 blijft ransomware de meest impactvolle cyberdreiging voor essentiële sectoren in de EU. Het Europees Agentschap voor Cyberbeveiliging stelt expliciet: “Organisations that cannot recover their data are at the mercy of the attacker. Immutable backups are not optional; they are the last line of defence.”
Uit het Sophos State of Ransomware 2024-rapport blijkt dat bij 94 procent van de ransomware-aanvallen in 2023 de aanvallers ook probeerden back-ups te versleutelen of te verwijderen. Datzelfde onderzoek toont aan dat organisaties waarvan back-ups werden gecompromitteerd, gemiddeld twee keer zoveel herstelkosten maakten als organisaties met intacte back-ups.
De 3-2-1-1-0-regel als architectuurstandaard
De 3-2-1-1-0-regel is de industriestandaard voor ransomwarebestendige back-uparchitectuur en vat de minimumvereisten bondig samen.
| Cijfer | Principe | Toelichting |
|---|---|---|
| 3 | Drie kopieën | Productiedata plus twee back-upkopieën |
| 2 | Twee media | Minimaal twee verschillende opslagtypen (disk, tape, object) |
| 1 | Off-site | Één kopie op een andere fysieke locatie |
| 1 | Offline of air-gapped | Één kopie volledig buiten bereik van het netwerk |
| 0 | Nul ongecontroleerde back-ups | Elke back-up is automatisch getest op herstelbaarheid |
De vierde ‘1’, voor de offline of air-gapped kopie, is de meest kritische uitbreiding ten opzichte van de klassieke 3-2-1-regel. Een air-gapped kopie heeft geen enkele netwerkverbinding: geen beheerinterface, geen replicatieprotocol, geen cloudgateway. LTO-tape is het meest gebruikte medium voor deze laag, omdat tapepatronen fysiek uit de tapelibrary kunnen worden verwijderd en in een afgesloten kluis bewaard.
WORM-opslag: onveranderlijk op software- en hardwareniveau
WORM (Write Once Read Many) opslag maakt het onmogelijk om geschreven data binnen de ingestelde retentieperiode te wijzigen of te verwijderen, ook niet door een beheerder met rootrechten of een aanvaller met volledige systeemtoegang.
Implementatievormen
Op hardwareniveau bieden LTO-tapecartridges een WORM-variant waarbij het tapecartridge zelf de schrijfbeveiliging afdwingt. Op softwareniveau biedt S3-compatibele objectopslag, zoals die van MinIO of Ceph, de mogelijkheid tot Object Lock in Compliance-modus. In Compliance-modus kan zelfs de opslagbeheerder de retentie niet verkorten, wat bescherming biedt tegen insiderdreigingen. On-premise WORM-objectopslag combineert deze bescherming met volledige datasoevereiniteit, omdat de data het eigen datacenter nooit verlaat.
Cryptografische bescherming en sleutelbeheer
Een air-gapped of WORM-back-up is alleen volledig soeverein als de versleuteling eveneens onder eigen beheer staat. End-to-end-versleuteling met organisatie-eigen sleutels betekent dat de sleutels nooit worden gedeeld met een cloudleverancier of externe dienstverlener. Sleutelbeheer via een Hardware Security Module (HSM) die on-premise staat, is daarvoor de meest robuuste oplossing.
Back-ups dienen te worden voorzien van cryptografische hashes (SHA-256 of SHA-3) die bij herstel worden gecontroleerd. Zo wordt datamanipulatie of stille corruptie gedetecteerd. De open-source tool Restic genereert automatisch een content-addressable repository waarbij elke chunk van data door zijn hash geïdentificeerd wordt. Restic ondersteunt meerdere backends, waaronder lokale schijven, SFTP-servers en S3-compatibele objectopslag, en versleutelt altijd met AES-256 vóór de data de repository bereikt.
Regelgevende verplichtingen: NIS-2, BIO2 en DORA
NIS-2 artikel 21 lid 2c
De NIS-2-richtlijn (EU 2022/2555), die in Nederland is geïmplementeerd via de Cyberbeveiligingswet, verplicht essentiële en belangrijke entiteiten in artikel 21 lid 2c expliciet tot het treffen van maatregelen voor back-up en herstel, inclusief crisisbeheersing. De richtlijn schrijft geen exacte RTO- of RPO-waarden voor, maar vereist dat organisaties op basis van een risicoanalyse aantoonbare herstelcapaciteit hebben. Voor sectoren als energie, drinkwater, zorg en digitale infrastructuur impliceert dit doorgaans een RPO van enkele uren en een RTO van maximaal een dag voor kritische systemen.
BIO2 maatregel 12.3
De Baseline Informatiebeveiliging Overheid 2 (BIO2) is bindend voor alle Nederlandse overheidsorganisaties. Maatregel 12.3 schrijft voor dat back-ups periodiek worden getest op herstelbaarheid en dat minimaal één kopie offline wordt bewaard, buiten bereik van netwerkaanvallen. Het Centrum Informatiebeveiliging en Privacybescherming (CIP) stelt hierover: “De BIO schrijft voor dat back-ups periodiek worden getest op herstelbaarheid en dat minimaal één kopie offline wordt bewaard, buiten bereik van netwerkaanvallen.” Organisaties die uitsluitend op cloudback-ups vertrouwen zonder offline kopie, voldoen niet aan deze maatregel.
DORA artikel 12
De Digital Operational Resilience Act (EU 2022/2554), van toepassing op financiële instellingen en hun ICT-dienstverleners, stelt in artikel 12 concrete eisen aan ICT-bedrijfscontinuïteit. DORA vereist dat back-upbeleid aansluit bij gedocumenteerde RTO- en RPO-doelstellingen die zijn afgeleid van een Business Impact Analysis. Financiële instellingen die wezenlijk afhankelijk zijn van één cloudleverancier voor zowel productie als back-up, lopen het risico op concentratierisico dat DORA expliciet adresseert. Een soevereine, offline back-upkopie los van de primaire cloudprovider is daarmee een directe DORA-compliance-maatregel.
Praktische uitdagingen van tape en on-premise objectopslag
Tapeoplossingen bieden hoge capaciteit per euro en een natuurlijke air-gap zodra cartridges fysiek worden verwijderd uit de library. De uitdagingen zijn echter reëel: taperobotiek vereist onderhoud, herstelsnelheid is lager dan schijfopslag, en het testproces (periodiek tape terugzetten) vraagt om geautomatiseerde planning. LTO-9 cartridges bieden tot 18 TB ongecomprimeerde capaciteit, wat grootschalige back-ups haalbaar maakt.
On-premise objectopslag op basis van software zoals MinIO of Ceph lost het snelheidsprobleem op, maar vereist netwerksegmentatie om de air-gap te emuleren. Een geïsoleerd VLAN met eenrichtingsreplicatie (via een datadiode) naar de back-upopslag is een gangbare architectuurkeuze voor organisaties die de herstelsnelheid van schijf willen combineren met de isolatie van tape.
Open-source back-uptooling
Bareos (Backup Archiving Recovery Open Sourced), een fork van het Bacula-project, ondersteunt taperotatie, mediabeheer, verificatie van herstelvolumes en gedetailleerde rapportage. Bareos is geschikt voor omgevingen die LTO-tape als primair air-gapped medium inzetten en biedt integratie met meerdere opslagdoelen. Restic onderscheidt zich door zijn eenvoudige operationele model, sterke versleuteling en de mogelijkheid om back-ups op meerdere backends parallel bij te houden. Voor organisaties die migreren van Microsoft 365 naar een soevereine Nextcloud-omgeving, kan Restic de Nextcloud-data en de bijbehorende database back-uppen naar een lokale WORM-objectstore.
Herstelverificatie als sluitstuk
Een back-up waarvan de herstelbaarheid nooit is getest, heeft in een incident geen bewezen waarde. De ‘0’ in de 3-2-1-1-0-regel dwingt organisaties tot automatische herstelverificatie. Dit houdt minimaal in: periodieke testrestore naar een geïsoleerde testomgeving, controle van bestandsintegriteit via hashes, en documentatie van de gemeten RTO. Voor essentiële entiteiten onder NIS-2 en voor DORA-plichtige instellingen is deze documentatie ook het bewijs richting toezichthouders dat het herstelbeleid operationeel is, niet alleen op papier.
De combinatie van air-gapping, WORM-opslag, organisatie-eigen versleuteling en geautomatiseerde herstelverificatie vormt een architectuur die zowel de technische als de juridische dimensie van datasoevereiniteit adresseert. Organisaties in de overheid, juridische sector en financiële dienstverlening die deze laag nog niet hebben gebouwd, zijn afhankelijk van herstelcapaciteit die bij een gerichte aanval mogelijk niet beschikbaar is.
Veelgestelde vragen
Wat is het verschil tussen een air-gapped back-up en een gewone offline back-up?
Een air-gapped back-up is volledig fysiek losgekoppeld van elk netwerk, ook van interne netwerken en beheersinterfaces. Een offline back-up (bijvoorbeeld een losgekoppelde harde schijf) kan tijdelijk verbonden zijn geweest. De air-gap elimineert elk aanvalspad via het netwerk, inclusief laterale beweging door ransomware.
Voldoet een back-up bij een hyperscaler zoals AWS of Azure aan NIS-2 artikel 21 lid 2c?
Een cloudback-up bij een Amerikaanse hyperscaler kan technisch voldoen aan frequentie- en RTO-eisen, maar brengt jurisdictierisico mee via de CLOUD Act. Bovendien zijn cloudback-ups via gedeelde beheeraccounts kwetsbaar voor aanvallers die beheerderstoegang verkrijgen. NIS-2 vereist risicobeheer op maat; voor organisaties in gevoelige sectoren betekent dat doorgaans een aanvullende, van het netwerk geïsoleerde kopie.
Wat houdt de 3-2-1-1-0-regel precies in?
De regel schrijft voor: drie kopieën van data, op twee verschillende opslagmedia, waarvan één off-site, één offline of air-gapped, en nul niet-geverifieerde back-ups. Dat laatste cijfer benadrukt dat elke back-up automatisch getest moet worden op herstelintegriteit. De uitbreiding met de extra ‘1’ voor offline opslag is een directe reactie op ransomware die cloudback-ups aanvalt.
Welke open-source tools ondersteunen WORM- en air-gapped back-upbeheer?
Restic biedt ingebouwde deduplicatie, versleuteling en ondersteuning voor diverse backends inclusief lokale objectopslag. Bareos ondersteunt taperotatie, mediabeheer en verificatie van herstelcapaciteit, en is daarmee geschikt voor organisaties die LTO-tape als air-gapped medium inzetten. Beide tools laten de organisatie volledige controle over sleutelbeheer houden.
Wat is WORM-opslag en waarom is het relevant voor ransomwarebescherming?
WORM staat voor Write Once Read Many. Data die naar WORM-opslag is geschreven, kan gedurende een vooraf ingestelde retentieperiode door niemand worden gewijzigd of verwijderd, ook niet door een beheerder met rootrechten. Ransomware en kwaadwillende insiders kunnen de data dus niet versleutelen of wissen. Dit principe is toepasbaar op zowel LTO-tape als op S3-compatibele objectopslag met Object Lock in Compliance-modus.
