Continue Backups als Bescherming Tegen Evoluerende Ransomware
- 5 december, 2025
- 11:45 am
Nachtelijke back-ups houden moderne ransomware niet bij
Als de versleuteling om 14:00 begint en je laatste back-up gisteravond om 23:00 draaide, is vijftien uur werk al verloren — continue modellen dichten dat gat.
Een ingenieursbureau wordt op donderdagmiddag getroffen door ransomware. De back-ups zijn degelijk: immutable, getest, herstelbaar. Maar de laatste snapshot draaide de avond ervoor — herstellen betekent dus alles kwijtraken wat sindsdien is gemaakt: een dag aan CAD-revisies, contractwijzigingen en orderinvoer van tweehonderd mensen. De restore slaagt; het dataverlies kost alsnog weken herstelwerk.
Dit is het RPO-probleem (recovery point objective), en ransomware heeft het scherper gemaakt. Moderne operators werken snel — van eerste toegang tot versleuteling in uren, soms minuten — en timen aanvallen bewust rond voorspelbare back-upvensters. Een back-upstrategie kan immutable én getest zijn en tóch een volledige werkdag verliezen, simpelweg omdat ze op het schema van gisteren draait.
De misvatting om te corrigeren: "we back-uppen dagelijks, dus we zijn beschermd." Je bent beschermd tegen het verliezen van alles. Je bent niet beschermd tegen het verliezen van vandaag — en voor veel organisaties is vandaag duur.
Wat is continue back-up?
Continue back-up (ook wel continuous data protection, CDP) legt datawijzigingen vast op het moment dat ze gebeuren — of met zeer korte intervallen — in plaats van alles op een vast uur te kopiëren. Change-tracking op bestandssysteem- of blokniveau detecteert wijzigingen en repliceert ze vrijwel realtime naar back-upopslag.
Continu versus gepland: het praktische verschil
| Gepland (nachtelijk) | Continu / bijna-continu | |
|---|---|---|
| Typische RPO | Tot 24 uur | Minuten tot ~1 uur |
| Back-upvenster | Vereist, vaak verstorend | Geen — wijzigingen stromen continu |
| Blootstelling bij middagaanval | Volledige werkdag verloren | Minimaal |
| Herstelgranulariteit | De staat van gisteravond | Point-in-time, vlak vóór de aanval |
Voor omgevingen met weinig wijzigingen kan een nachtelijke cyclus volstaan. Voor endpoints, Microsoft 365 en elk systeem waar een dag data echt geld waard is, is het gat tussen die twee rijen de businesscase.
Beschermt een dagelijkse back-up je tegen ransomware?
Slechts gedeeltelijk. Een dagelijkse back-up beschermt tegen totaalverlies, maar accepteert tot 24 uur dataverlies als uitgangspunt — en dat veronderstelt dat de back-up zelf overleeft. Moderne ransomware-draaiboeken vallen die aanname van twee kanten aan: ze slaan toe tijdens werkuren om het gat sinds de laatste back-up te maximaliseren, en ze jagen eerst op back-upinfrastructuur zodat er helemaal niets te herstellen valt.
Volgens het Threat Landscape van ENISA blijft ransomware een van de meest voorkomende EU-dreigingen, waarbij ransomware-as-a-service de instapdrempel verlaagt en de uitvoeringstijden blijven krimpen. Dat tactische beeld — snelle, getimede, back-upbewuste aanvallen — is precies waar een traag, voorspelbaar back-upschema geen antwoord op heeft. De NIS2-richtlijn reageert door back-upbeheer en bedrijfscontinuïteit tot expliciete verplichting te maken, en in de praktijk vragen toezichthouders en verzekeraars steeds vaker wat je RPO werkelijk is — niet of er back-ups bestaan.
Waar de verliezen zich ophopen: endpoints en SaaS
De systemen met de hoogste wijzigingssnelheid zijn meestal het slechtst beschermd. Endpoints — laptops met niet-gesynchroniseerd lokaal werk, hét toegangspunt voor de meeste ransomware — vallen vaak volledig buiten de nachtelijke cyclus; een gerichte endpoint back-up met frequente, automatische snapshots dicht dat gat. SaaS-data verandert ook continu: een gecompromitteerd Microsoft 365-account kan via gesynchroniseerde clients binnen minuten versleutelen of verwijderen, en native prullenbakken zijn geen herstelstrategie.
De kostenasymmetrie maakt van RPO een financieel getal in plaats van een technisch. Volgens het Cost of a Data Breach Report van IBM bereikten de gemiddelde kosten van een datalek in 2024 wereldwijd 4,88 miljoen dollar — en het productieve werk dat binnen een breed RPO-venster verloren gaat, staat op die rekening bij elke ransomwarezaak waarin de restore technisch "slaagt".
Continue back-up implementeren: een stappenplan in vijf stappen
Stel de RPO per systeem vast, in geld. Vraag per kritiek systeem wat één uur verloren data kost. Dat getal — niet de opslagprijs — bepaalt welke systemen continue bescherming rechtvaardigen.
Zet change-tracked back-up in op systemen met hoge wijzigingssnelheid. Endpoints, fileservers en SaaS-workloads eerst. Mik op snapshotintervallen van 15–60 minuten waar de verliesberekening dat vereist.
Maak elke kopie immutable en EU-gehost. Frequente back-ups die een aanvaller kan versleutelen, zijn frequente gijzelaars. Schrijf kopieën naar WORM-/immutable opslag in EU-datacenters, geïsoleerd van productiecredentials — de architectuur achter gerichte ransomwarebescherming.
Automatiseer retentielagen. Continue modellen genereren volume; automatiseer veroudering (bijv. elke snapshot 48 uur, per uur 30 dagen, dagelijks daarna) in lijn met AVG-minimalisatie en je auditverplichtingen.
Test restores tegen de klok. Herstel elk kwartaal vanaf een middagpunt en meet zowel RTO als gerealiseerde RPO. Gedocumenteerde resultaten zijn je NIS2- en verzekeringsbewijs — en je bewijs dat het model werkt vóór je het nodig hebt, gedekt door een getest disaster recovery-pad voor volledige omgevingsuitval.
De kostenvraag, eerlijk beantwoord
Continue modellen verbruiken meer opslag en bandbreedte dan nachtelijke cycli — dat is reëel. De compensatie komt uit drie richtingen. Ten eerste vermeden verlies: één middagincident met een RPO van minuten in plaats van uren betaalt doorgaans jaren aan extra opslagkosten terug. Ten tweede operatie: geen back-upvenster betekent geen nachtelijke prestatiedip en geen weekendjobs om te bewaken. Ten derde compliance en verzekering: aantoonbaar lage RPO met immutable kopieën is precies de maatregel waar cyberverzekeraars nu op prijzen, en het bewijs waar NIS2-audits om vragen. Modellen met vaste prijzen en onbeperkte opslag nemen het laatste bezwaar weg door de kosten voorspelbaar te maken in plaats van meegroeiend met je data.
Conclusie
Ransomware heeft van back-upfrequentie een aanvalsparameter gemaakt: operators slaan toe waar het gat sinds je laatste snapshot het grootst is en hopen dat je kopieën bereikbaar zijn. Continue back-up beantwoordt beide zetten — RPO in minuten, kopieën die naar immutable, geïsoleerde, EU-gehoste opslag stromen. De nachtelijke cyclus is niet fout; hij loopt alleen niet meer in de pas met hoe snel de dreiging, en je data, bewegen. Wil je weten wat jouw werkelijke RPO zou zijn bij een middagincident? We helpen je die te meten — voordat een aanvaller het doet.
Veelgestelde Vragen
Wat is het verschil tussen RPO en RTO?
RPO (recovery point objective) is het maximale dataverlies dat een organisatie accepteert, gemeten als de tijd tussen de laatste bruikbare back-up en het incident — een nachtelijke back-up impliceert een RPO tot 24 uur. RTO (recovery time objective) is hoe snel systemen na een incident weer moeten draaien. Continue back-upmodellen richten zich primair op het RPO-probleem door het gat tussen back-ups tot minuten te verkleinen.
Hoe werkt continue back-up?
Continue back-up gebruikt change-tracking op bestandssysteem- of blokniveau om wijzigingen te detecteren zodra ze gebeuren, en repliceert ze vrijwel realtime of met korte intervallen (bijvoorbeeld elke 15 tot 60 minuten) naar back-upopslag. Anders dan bij geplande back-ups is er geen back-upvenster: data stroomt continu zonder de operatie te onderbreken. Restores kunnen daardoor mikken op een tijdstip minuten vóór een incident in plaats van de vorige avond.
Is continue back-up genoeg om ransomware te stoppen?
Geen enkele losse maatregel stopt ransomware, en continue back-up helpt alleen als de kopieën zelf de aanval overleven. De frequentie moet gepaard gaan met immutability (manipulatiebestendige, write-once-opslag), isolatie van productiecredentials en regelmatig geteste restores. Gecombineerd met endpointdetectie en toegangscontroles om de kans op compromittering te verkleinen, begrenzen continue immutable back-ups de schade door een recent, schoon herstelpunt te garanderen.