Back-up is geen herstel: hoe je restore-vertrouwen opbouwt

Wie zoekt op restore test ransomware, zoekt meestal geen theorie maar grip. De vraag achter de zoekopdracht is: hoe weet ik of mijn team onder druk de juiste beslissingen neemt? Dit artikel is geschreven voor de IT-manager of operations lead die wil weten of back-ups ook onder ransomware-druk bruikbaar zijn. We maken de oefening concreet, zodat je niet blijft hangen in algemene beveiligingstaal.

De meeste organisaties zeggen dat ze back-ups hebben. De echte vraag is of ze weten welke kopie schoon is, welke identiteit gebruikt mag worden en welk proces als eerste veilig terugkomt. Daarom benaderen wij ransomware-oefeningen als een beslisomgeving. De aanval is de aanleiding, maar de echte waarde zit in rollen, informatie, herstelbewijs en communicatie.

Het doel is onderscheid maken tussen een back-up hebben en betrouwbaar kunnen herstellen. Dat lukt alleen als je oefening klein genoeg is om uit te voeren en scherp genoeg is om gedrag zichtbaar te maken. Een goed scenario laat zien wie mag besluiten, welke informatie ontbreekt en welke aanname je nog niet kunt bewijzen.

Voor wie is dit relevant?

Deze aanpak past bij organisaties die ransomware niet willen behandelen als een abstract IT-probleem. Directie, IT, privacy, communicatie, operations en leveranciers hebben elk een ander deel van de puzzel. Als een van die rollen te laat in beeld komt, ontstaat vertraging precies op het moment dat snelheid en rust nodig zijn.

Begin daarom niet met een groot draaiboek. Begin met een herkenbare situatie en vraag per rol wat die persoon nodig heeft om een besluit te nemen. Zo wordt snel duidelijk of het probleem in techniek, mandaat, informatie of communicatie zit.

Praktische aanpak

1. Test een restore in een gescheiden omgeving.
2. Controleer identity en rechten voor systemen terugkomen.
3. Maak herstelvolgorde zichtbaar voor directie.
4. Documenteer wat niet binnen de gewenste tijd lukt.

Gebruik de oefening om aannames te toetsen. Als iemand zegt dat een back-up schoon is, vraag dan hoe dat is vastgesteld. Als iemand zegt dat klanten later worden geinformeerd, vraag dan wie bepaalt wat ‘later’ betekent. En als een leverancier een cruciale rol heeft, oefen dan ook wat er gebeurt als die partij niet direct reageert.

Vraag	Slecht teken	Sterk teken
Is de back-up schoon?	We gaan ervan uit	Recent gecontroleerd en teruggezet
Wie mag herstellen?	Algemene beheeraccounts	Beperkte en gecontroleerde toegang
Wat komt eerst?	Alles tegelijk	Kritiek proces met bewijs

Wat meet je?

Meet niet alleen of het team het juiste antwoord weet. Meet vooral hoe snel informatie bij de juiste persoon komt, welke besluiten expliciet worden genomen en waar bewijs ontbreekt. Die meetpunten zijn beter bruikbaar dan een algemene score, omdat ze direct naar verbeteracties leiden.

Een bruikbare oefenuitkomst bevat minimaal drie onderdelen: een korte tijdlijn, een lijst met besluiten en een verbeterlijst met eigenaar. Houd de verbeterlijst bewust kort. Vijf scherpe acties met eigenaar zijn waardevoller dan twintig losse observaties waar niemand later naar terugkeert.

Maak de meting vooraf bekend aan de deelnemers. Dat verlaagt weerstand en houdt het gesprek zakelijk: we beoordelen niet wie perfect reageert, maar waar het proces hulp nodig heeft. Vooral bij ransomware is dat belangrijk, omdat mensen onder stress sneller op routine varen. De oefening moet dus laten zien welke routine werkt en welke routine juist risico toevoegt.

Gratis hulpmiddel

Gebruik Herstelprioriteit bepalen: gebruik de hersteltool om impact, identity en back-upbewijs naast elkaar te zetten. Combineer dit met de readiness check als je eerst wilt bepalen welk onderdeel de meeste aandacht verdient.

Onderbouwing

De aanpak sluit aan bij publieke securityrichtlijnen en recent onderzoek naar oefenen, respons en gedragsmeting. Zie onder meer CISA StopRansomware Guide. Wij gebruiken zulke bronnen niet als droge checklist, maar vertalen ze naar kleine oefeningen die teams echt kunnen uitvoeren.

Valkuilen

De grootste valkuil is een oefening die te netjes verloopt. In een echte crisis is informatie incompleet, mensen zijn niet allemaal bereikbaar en herstelkeuzes botsen met klantbelang. Voeg daarom bewust frictie toe: een ontbrekende log, een onzekere back-up, een leverancier die later reageert of een klant die om status vraagt.

Een tweede valkuil is dat het team vooral praat over wat het zou moeten doen. Vraag telkens om concreet gedrag: wie belt wie, welk kanaal wordt gebruikt, wie noteert het besluit en wanneer komt de volgende update? Daardoor wordt de oefening toetsbaar in plaats van vrijblijvend.

Volgende stap

Kies een scenario, plan een korte sessie en beperk de scope. Wil je eerst weten welk scenario past, start dan met de scenario-keuzehulp. Wil je je situatie voorleggen, stuur dan een vraag via contact. Wij reageren met een praktische richting voor rollen, scenario en eerste meetpunten.