Welke vragen moet je stellen voordat je een herstelstrategie kiest?

Weet jij welke systemen eerst hersteld moeten worden na een cyberincident? De juiste vragen maken het verschil.

Cybersecurityprofessional denkt na boven notitieboek met vragen, laptop met netwerkdashboard op achtergrond, modern kantoor.

Voordat je een herstelstrategie kiest, moet je weten wat je wilt beschermen, hoe snel je dat wilt herstellen en wie daarvoor verantwoordelijk is. Die drie vragen vormen de basis van elke werkbare aanpak voor bedrijfscontinuïteit en cyber recovery. De vragen hieronder helpen je om die keuzes gestructureerd te maken.

Wat bepaalt hoe snel een organisatie kan herstellen na een cyberincident?

Hoe snel een organisatie kan herstellen na een cyberincident wordt bepaald door twee factoren: de Recovery Time Objective (RTO) en de Recovery Point Objective (RPO). De RTO geeft aan hoelang een systeem maximaal offline mag zijn. De RPO bepaalt hoeveel dataverlies acceptabel is. Samen vormen ze het fundament van een realistisch herstelplan.

Naast deze doelstellingen speelt de technische inrichting een grote rol. Zijn back-ups snel beschikbaar? Is er een geïsoleerde herstelomgeving? Zijn de verantwoordelijkheden voor herstel duidelijk belegd? Organisaties die dit vooraf hebben geregeld, herstellen aanzienlijk sneller dan organisaties die tijdens een incident moeten uitzoeken hoe alles werkt.

Een goed cyber resilience platform helpt om herstelcapaciteit te bouwen die aansluit op de RTO en RPO die jouw organisatie nodig heeft.

Welke kritieke systemen en applicaties moeten als eerste worden hersteld?

De systemen en applicaties die als eerste hersteld moeten worden, zijn die welke direct nodig zijn om de kernprocessen van de organisatie draaiende te houden. Denk aan ERP-systemen, financiële applicaties, communicatieplatforms en authenticatiesystemen. Alles wat de organisatie minimaal nodig heeft om operationeel te blijven, vormt de zogenaamde Minimum Viable Company.

Het bepalen van die kern vraagt om een bewuste keuze. Niet alles is even kritiek, en herstel in de verkeerde volgorde kost onnodig veel tijd. Een goede aanpak is om per systeem vast te stellen:

Welke bedrijfsprocessen zijn ervan afhankelijk?
Wat is de maximale uitvaltijd zonder directe operationele gevolgen?
Welke koppelingen heeft het systeem met andere applicaties?
Wie is verantwoordelijk voor het herstel van dit systeem?

Het concept van de Minimum Viable Company helpt organisaties om precies die prioritering te maken: wat heb je minimaal nodig om door te draaien?

Wat is het verschil tussen disaster recovery en cyber recovery?

Disaster recovery richt zich op het herstellen van systemen na technische storingen of fysieke incidenten, zoals een stroomuitval, hardware-defect of brand. Cyber recovery gaat een stap verder: het richt zich specifiek op herstel na een incident waarbij data of systemen bewust zijn aangetast, zoals bij ransomware of sabotage. Het verschil zit in de aard van het probleem en de manier van herstel.

Bij klassieke disaster recovery ga je ervan uit dat je back-ups schoon zijn. Bij cyber recovery is dat juist de vraag. Back-ups kunnen besmet zijn, gemanipuleerd zijn of al langere tijd gecompromitteerd zijn voordat het incident zichtbaar werd. Cyber recovery vereist daarom extra stappen: validatie van back-ups, isolatie van herstelomgevingen en controle op de integriteit van data voordat je systemen terugzet.

Een herstelstrategie die alleen is ingericht op disaster recovery, biedt onvoldoende houvast wanneer de situatie complexer is dan een technische storing. Het is verstandig om beide scenario’s expliciet op te nemen in je herstelplan.

Hoe weet je of je back-ups betrouwbaar genoeg zijn om op te herstellen?

Back-ups zijn alleen betrouwbaar als ze regelmatig worden getest, geïsoleerd worden bewaard en aantoonbaar integer zijn. Een back-up die nooit is getest, is geen garantie voor herstel. De enige manier om zeker te weten of je back-ups werken, is door periodiek een hersteltest uit te voeren in een gecontroleerde omgeving.

Naast testen zijn er een aantal concrete criteria waaraan betrouwbare back-ups moeten voldoen:

Isolatie: Back-ups staan gescheiden van de productieomgeving, zodat ze niet tegelijk aangetast kunnen worden.
Immutability: Back-updata kan na opslag niet worden gewijzigd of verwijderd.
Frequentie: De back-upfrequentie sluit aan op de RPO die de organisatie heeft vastgesteld.
Validatie: Er is een proces om de integriteit van back-ups automatisch of periodiek te controleren.
Hersteltijd: De snelheid waarmee je uit een back-up kunt herstellen past binnen de vastgestelde RTO.

Organisaties die werken met Microsoft 365 moeten bovendien weten dat de standaard retentie-instellingen van Microsoft niet altijd toereikend zijn voor herstel na een serieus incident. Een aanvullende oplossing voor Microsoft 365 compliance en recovery kan dat gat dichten.

Wanneer kies je voor cloud-gebaseerd herstel versus on-premise herstel?

De keuze tussen cloud-gebaseerd herstel en on-premise herstel hangt af van de aard van je systemen, de gewenste hersteltijd en de beschikbare infrastructuur. Cloud-herstel biedt schaalbaarheid en geografische spreiding, maar vereist stabiele connectiviteit en heldere afspraken over datalocatie en toegang. On-premise herstel geeft meer directe controle, maar vraagt om eigen infrastructuur die ook tijdens een incident beschikbaar en intact is.

In de praktijk kiezen veel organisaties voor een hybride aanpak: kritieke data wordt zowel lokaal als in de cloud bewaard, zodat herstel mogelijk is, ook als één omgeving niet beschikbaar is. De juiste keuze is sterk afhankelijk van het risicoprofiel van de organisatie, de aard van de kritieke systemen en de afspraken die zijn gemaakt over maximale uitvaltijd.

Een relevante overweging is ook de locatie van identiteits- en toegangsbeheer. Als het systeem dat gebruikers authenticeert niet beschikbaar is, kunnen andere herstelde systemen vaak niet worden gebruikt. Herstel van identiteiten en toegang verdient daarom een eigen plek in de herstelstrategie.

Wie moet er betrokken zijn bij het opstellen van een herstelstrategie?

Een herstelstrategie opstellen is geen puur technische taak. Naast IT en security moeten ook bedrijfsprocesseigenaren, het management en waar relevant de juridische of compliance-afdeling betrokken zijn. Zij bepalen mede welke systemen kritiek zijn, welke hersteltijden acceptabel zijn en welke verplichtingen er gelden vanuit wet- en regelgeving zoals NIS2 of ISO 27001.

De praktijk laat zien dat herstelplannen die alleen door IT worden opgesteld, vaak niet aansluiten op de prioriteiten van de business. Omgekeerd geldt dat plannen zonder technische input onuitvoerbaar zijn. Een goede herstelstrategie ontstaat in samenwerking tussen mensen die de systemen kennen en mensen die de bedrijfsprocessen begrijpen.

Wanneer interne capaciteit of expertise ontbreekt, kan een externe CISO of CTO helpen om dit proces te begeleiden en te structureren.

Hoe wij helpen bij het opstellen van een herstelstrategie

Wij helpen organisaties om herstelstrategieën op te stellen die aansluiten op hun werkelijke risicoprofiel, bedrijfsdoelstellingen en technische omgeving. Dat begint met inzicht: welke systemen zijn kritiek, wat zijn de huidige herstelmogelijkheden en waar zitten de grootste kwetsbaarheden in de continuïteit? Vanuit dat inzicht werken we samen met IT en management aan een herstelplan dat uitvoerbaar is en aansluit op de dagelijkse praktijk.

We kijken daarbij naar de volledige keten: back-upstrategie, herstelomgevingen, identiteitsbeheer, cloudconfiguraties en de verdeling van verantwoordelijkheden. Niet als eenmalig adviesrapport, maar als onderdeel van een structurele aanpak voor digitale weerbaarheid. Wil je weten waar jouw organisatie nu staat? Vraag een risk assessment aan en we kijken samen wat er nodig is.