Säkerhetskopior med rätt inställningar och testad återställning

En säkerhetskopia som aldrig har testats ger falsk trygghet. IMY beskriver säkerhetskopiering som en del av informationssäkerheten, med syftet att göra det möjligt att återställa data efter fel, radering eller intrång. NCSC går ett steg längre och slår fast att en backup som inte återställningstestats är osäker att förlita sig på som skydd vid en verklig incident. Den här sidan handlar inte om vilken backuptjänst ni bör välja (letar ni efter ett webbhotell som redan har backup inkluderat i paketet, se vår systersajts genomgång av webbhotell med backup), utan om vilka inställningar som avgör om kopian faktiskt fungerar när den behövs: vad som ska ingå, var den ska lagras, vem som kan komma åt den och hur ni vet att återställningen går att lita på.

Vilka inställningar avgör om backupen går att lita på

En fullständig backup av en webbplats ska omfatta både filer och databas – WordPress.org:s egen dokumentation om säkerhetskopiering pekar på samma sak. Det gäller oavsett publiceringsverktyg: sparas bara filerna men databasen glöms bort, eller tvärtom, går sajten inte att återställa komplett efter en incident. Kontrollera i backupverktygets inställningar att båda delarna faktiskt tas i samma rutin, och att ni vet var den senaste kopian av vardera finns.

En annan inställning som lätt förbises är hur många tidigare versioner som sparas och hur långt tillbaka i tiden ni kan gå. En backup som bara behåller den senaste kopian hjälper inte om felet upptäcks några dagar efter att det inträffade, eftersom även den senast sparade versionen då kan innehålla samma skada. Ställ in versionshistoriken så att ni kan välja en tidpunkt före att något gick fel, inte bara den allra senaste tillgängliga kopian.

Var kopian lagras väger minst lika tungt som att den tas. Backupen ska förvaras så att den inte försvinner samtidigt som den infekterade eller trasiga webbplatsen, det vill säga inte enbart på samma server eller konto som produktionsmiljön. IMY pekar också på att en säkerhetskopia ska skyddas mot obehörig åtkomst: begränsa vilka i teamet som kan nå den, och kryptera lagringen där det är möjligt, särskilt om kopian innehåller kunduppgifter eller andra personuppgifter.

Så testar du att återställningen faktiskt fungerar

Att en backup existerar säger ingenting om att den går att använda. NCSC rekommenderar uttryckligen att organisationer inte bara säkerhetskopierar utan också testar återställning av informationen, eftersom en otestad kopia kan visa sig vara skadad, ofullständig eller helt enkelt inte gå att läsa när den verkligen behövs. Gör återställningstestet på en separat miljö, till exempel en testinstallation, aldrig direkt på den skarpa sajten. Återställ hela kopian, kontrollera att filer och databas hänger ihop och att webbplatsen fungerar som väntat, och notera datum och resultat någonstans ni kan hitta det igen nästa gång.

Hur ofta testet behöver upprepas beror på hur snabbt innehållet på sajten förändras. Principen är densamma oavsett intervall: en backup som aldrig återställningstestats bör räknas som otestad, inte som en fungerande säkerhetsåtgärd, oavsett hur regelbundet den tagits.

Risk, inställning och kontrollbevis

Använd tabellen som en snabb genomgång av vad som faktiskt behöver stämma, inte bara vad som brukar vara på plats.

Rutin för små team och när ni ska ta hjälp utifrån

För backup i ett litet företag räcker det oftast med att en person i teamet äger frågan: vem som kontrollerar att backupen faktiskt körs, vem som gör återställningstestet och vem som dokumenterar resultatet. Skriv ner var kopiorna finns och hur ett återställningstest går till, så att rutinen inte försvinner om just den personen är borta den dag den behövs. Kör ni WordPress är det värt att göra kontrollen till en fast punkt inför varje uppdatering, inte bara vid ett akut fel – se rutin för WordPress-uppdateringar för hur en återställningspunkt och staging-test hänger ihop med den ordinarie uppdateringsrutinen. Vår systersajts genomgång av backupstrategi för webbplats går igenom hur backup, förvaring och återställning hänger ihop mer i detalj.

Kontakta leverantören eller en extern expert om ett återställningstest misslyckas och ni inte själva kan felsöka varför, om backuprutinen är inbyggd i ett verktyg ni inte fullt ut förstår inställningarna för, eller om en verklig incident redan har inträffat och den ordinarie backupen inte täcker det som gått förlorat. NCSC beskriver också att CERT-SE kan ge stöd vid it-incidenter, och att frivillig rapportering kan vara relevant även för organisationer som inte har en särskild rapporteringsplikt. Om det som gått förlorat innehåller personuppgifter, och det inte är osannolikt att det medför risk för de registrerades rättigheter och friheter, ska händelsen dessutom anmälas till IMY inom 72 timmar från att ni fick vetskap om den, och de berörda informeras utan onödigt dröjsmål vid sannolik hög risk.

Vanliga frågor