Säkerhetskopiering i molntjänst eller lokalt efter incidentkrav

Frågan om säkerhetskopior ska ligga i en molntjänst eller lokalt dyker oftast upp först efter att något redan har hänt: en krypterad server, ett felaktigt raderat kundregister eller ett byte av leverantör där ingen är säker på vad som egentligen sparats undan. Integritetsskyddsmyndigheten (IMY) beskriver säkerhetskopiering som en del av informationssäkerheten som ska stödja återställning vid fel, radering eller intrång, medan NCSC lyfter fram testad återställning som en av de mest centrala åtgärderna en organisation kan vidta. Den här sidan går igenom vad som skiljer molnlagring från lokal lagring utifrån just detta: åtkomst, återställningstid, kryptering och vem som bär ansvaret för personuppgifterna i kopian.

Direkt svar: vad avgör placeringen

Placeringen bör avgöras av tre praktiska frågor snarare än en allmän uppfattning om att moln eller lokalt är säkrast. Först: vem behöver kunna nå backupen, och räcker det med ett fåtal behöriga eller måste flera platser kunna återställa data snabbt? Sedan: hur lång tid får en återställning ta, eftersom lokal lagring på egen hårdvara ofta är snabbare att återställa från medan en molnbackup kan vara enklare att nå från en annan plats om den lokala utrustningen själv är drabbad. Till sist: innehåller det som säkerhetskopieras personuppgifter, och finns i så fall ett personuppgiftsbiträdesavtal med den leverantör som hanterar lagringen? Svaren styr om du bör välja moln, lokalt, eller en kombination av båda.

Åtkomst och återställningstid

En lokal backup, till exempel på en extern disk eller en server i egna lokaler, ger snabb åtkomst så länge utrustningen på plats fungerar och inte har drabbats av samma incident som originaldata. Nackdelen är att en backup som ligger på samma nätverk som produktionen riskerar att drabbas av samma intrång, till exempel om utpressningsprogram sprider sig och krypterar allt som är åtkomligt, inklusive anslutna backupenheter. En molnbackup är i regel fysiskt och nätverksmässigt separerad från din egen utrustning, vilket gör den mer motståndskraftig mot att en lokal incident tar med sig kopian, men återställningstiden beror då på uppkopplingens hastighet och hur snabbt leverantören kan leverera tillbaka stora datamängder (letar du efter ett webbhotell som redan har backup inkluderat i paketet, se vår systersajts genomgång av webbhotell med backup). För verksamheter med begränsad återställningstid är en kombination vanlig: en snabb lokal kopia för vardagliga fel och en molnkopia som skydd mot att hela den lokala miljön slås ut samtidigt.

Kryptering av kopian

Oavsett placering bör backupen vara krypterad, både under överföring och i vila. En obehörig som får tag i en okrypterad backupfil kan läsa innehållet direkt, vilket gör krypteringen till en av de enklaste åtgärderna att sätta upp jämfört med den nytta den ger. Vid lokal lagring ansvarar du själv för att kryptering aktiveras och att nycklarna hanteras säkert, till exempel skilt från själva backupenheten. Vid molnlagring erbjuder de flesta seriösa leverantörer kryptering som standard, men det är fortsatt värt att kontrollera om nycklarna hanteras enbart av leverantören eller om du har möjlighet att hålla i dem själv, särskilt om innehållet är känsligt. Fråga också om leverantören kan visa vem som har öppnat eller ändrat i backupen, till exempel via inloggningsloggar – den typen av åtkomstloggning gör det lättare att i efterhand utreda vad som hänt om en kopia ändå skulle nås av fel person.

Personuppgiftsansvar och biträdesavtal

Om det som säkerhetskopieras innehåller personuppgifter, till exempel kunduppgifter, orderhistorik eller inloggningsuppgifter, gäller GDPR för hela kedjan, inte bara för det system uppgifterna ursprungligen samlades in i. Anlitar du en molnleverantör för lagring av backupen behandlar den personuppgifter åt dig, och enligt IMY krävs då ett personuppgiftsbiträdesavtal som reglerar instruktioner, säkerhetsåtgärder och eventuella underbiträden. Det gäller lika mycket för ett specialiserat backupverktyg som för webbhotellet eller molntjänsten där kopian faktiskt lagras. Väljer du i stället lokal lagring bär du själv hela ansvaret för att skydda uppgifterna, vilket för många mindre verksamheter i praktiken gör molnlagring med ett tydligt biträdesavtal enklare att hantera än att sköta motsvarande säkerhetsnivå helt på egen hand. Den fullständiga genomgången av vad ett biträdesavtal ska innehålla finns i vår GDPR-checklista för hemsideägare, den här sidan går bara igenom vad som gäller specifikt för backupplaceringen.

Risk, åtgärd och källa

Praktisk rutin för små team

Backup för företag i den här storleken kräver sällan en stor budget eller ett komplicerat system: bestäm vad som ska säkerhetskopieras, hur ofta, och var kopiorna ska ligga, skriv ner det, och gå igenom det en gång per år tillsammans med resten av informationssäkerhetsarbetet. Många väljer en kombination där en snabb lokal kopia täcker vardagliga misstag som en raderad fil, medan en molnkopia täcker de allvarligare scenarierna där hela den lokala miljön är påverkad. Behöver ni extern hjälp är det oftast i två situationer: när innehållet är särskilt känsligt och kryptering eller åtkomstkontroll behöver sättas upp av någon med rätt kompetens, eller när ni är osäkra på om en leverantör verkligen uppfyller kraven i ett biträdesavtal. I båda fallen väger en kort konsultation med en leverantör eller rådgivare tyngre än att gissa sig fram, eftersom en felaktig backuprutin ofta upptäcks först när den behövs som mest. Vår systersajts genomgång av backupstrategi för webbplats går igenom hur backup, förvaring och återställning hänger ihop mer i detalj.

Vanliga frågor