Backup for bedrifter og Microsoft 365

Microsoft driver plattformen, men dataene og innstillingene er bedriftens ansvar. Det følger av Microsofts egen modell for delt ansvar, som også gjelder programvare levert som tjeneste, slik som Microsoft 365. De innebygde papirkurvene har faste grenser. Slettede filer i SharePoint og OneDrive kan hentes tilbake i 93 dager, slettet e-post i Exchange Online i 14 dager som standard og høyst 30, og slettede brukere og grupper i Entra ID i 30 dager. Når fristene er ute, kan dere normalt ikke hente innholdet tilbake selv.

Papirkurvene beskytter heller ikke godt mot løsepengevirus eller en angriper som har fått administratortilgang. Nasjonal sikkerhetsmyndighet (NSM) anbefaler en fast plan for sikkerhetskopiering, kopier som er skilt fra produksjonsmiljøet, minst én kopi som er frakoblet, og regelmessige tester av at gjenopprettingen virker. Microsoft selger selv tjenesten Microsoft 365 Backup som et eget kjøp ved siden av de vanlige lisensene.

Vi hjelper dere å sette opp sikkerhetskopi av Microsoft 365, servere og filer, overvåker at jobbene faktisk går, tester gjenoppretting og bistår når noe må hentes tilbake. Oppsettet tilpasses hvor mye data dere tåler å miste, og hvor lenge dere kan klare dere uten systemene. Backup henger tett sammen med resten av sikkerhetsarbeidet, som vi beskriver under IT-sikkerhet.

I Microsofts modell for delt ansvar er fordelingen tydelig. Microsoft har ansvaret for datasentrene, maskinvaren, det fysiske nettverket og operativsystemene, mens ansvaret for selve applikasjonen er delt. Kunden har alltid ansvaret for egne data, identiteter og brukere, og for konfigurasjoner og innstillinger, også når tjenesten er Microsoft 365. Microsoft har flere fysisk atskilte kopier av dataene for å tåle skader i datasentrene, men det er ikke det samme som at dere kan hente tilbake et dokument en ansatt slettet i fjor.

De innebygde funksjonene er laget for å angre feil innenfor et begrenset tidsrom. I SharePoint og OneDrive går slettede filer først til papirkurven for området og deretter til papirkurven for områdesamlingen, og de beholdes i til sammen 93 dager fra de ble slettet. Blir den andre papirkurven full, slettes de eldste elementene først. SharePoint tar i tillegg vare på sikkerhetskopier i 14 dager etter permanent sletting, men derfra kan Microsoft bare gjenopprette hele områdesamlinger, ikke enkeltfiler, og det krever en henvendelse til Microsofts kundestøtte.

Microsoft 365 Backup er et eget kjøp

Microsoft selger selv Microsoft 365 Backup, som tar kopi av OneDrive, SharePoint og Exchange Online og faktureres etter forbruk i stedet for per bruker. Ifølge Microsoft forlater dataene ikke Microsoft 365, og kopiene følger kundens krav til geografisk plassering. Tjenesten dekker ikke Entra ID, som har sin egen løsning for sikkerhetskopi. At kopiene ligger i samme sky som originalene, er et argument for å vurdere om minst én kopi også bør ligge et annet sted.

Ikke alt ligger i Microsoft 365. Mange bedrifter har fortsatt en filserver, et fagsystem på en lokal server eller virtuelle maskiner i skyen. NSMs grunnprinsipp 2.9 anbefaler at sikkerhetskopieringen omfatter programvare og oppsett, ikke bare data. Det gjelder sikkerhetskonfigurasjon, maler for virtuelle maskiner og installasjonsprogramvare. I NSMs tiltak mot digital utpressing står det at domenekontrollere og systemene for drift av klienter og servere må kunne gjenopprettes raskt, og at filer ikke bør ligge lagret bare på én klient.

Entra ID trenger egen plan

I Entra ID kan brukere, Microsoft 365-grupper, skybaserte sikkerhetsgrupper, app-registreringer, tjenesteobjekter (service principals), administrative enheter, regler for betinget tilgang og navngitte steder gjenopprettes i 30 dager etter sletting. Andre objekttyper slettes permanent med én gang, og ifølge Microsoft kan verken administratorene eller Microsoft gjenopprette dem. Microsoft anbefaler derfor å dokumentere en kjent god tilstand. Tjenesten Microsoft Entra Backup and Recovery tar daglige kopier av utvalgte objekter og beholder inntil sju dager med historikk, men den krever Entra ID P1 eller P2 og kan ikke gjenskape objekter som er permanent slettet.

NSM beskriver en god backup-strategi i sjekklisten for digitale angrep som tre kopier av dataene, på to ulike medier, der én kopi er frakoblet, enten offline eller fysisk atskilt fra nettet (air-gapped). Helse- og kommuneCERT bruker samme 3-2-1-metode, men beskriver den siste kopien som en ekstern kopi et annet fysisk sted, sikret mot brann og løsepengevirus. Kildene legger altså vekt på litt ulike ting, men målet er det samme. Minst én kopi skal overleve at både produksjonsmiljøet og den nærmeste sikkerhetskopien går tapt.

Uforanderlig og frakoblet

Angriperne har lært. NSM skriver at løsepengevirus i større grad krypterer sikkerhetskopiene før produksjonsfilene, og anbefaler at ferdige kopier skrivebeskyttes eller lagres på WORM-lagring (skriv én gang, les mange). Microsoft definerer uforanderlig lagring (immutable) som lagring som ikke kan endres, slettes eller overskrives i en bestemt periode. NSM påpeker også at kopier i skyen kan svikte, enten fordi kunden har konfigurert feil eller fordi leverandøren gjør feil eller blir angrepet, og anbefaler å vurdere mer enn én løsning. Administrasjon av backup bør skje med egne kontoer som ikke brukes til annet, og med tofaktorautentisering. Da Datatilsynet i 2022 ga Østre Toten kommune et gebyr på 4 millioner kroner etter et løsepengeangrep, var manglende beskyttelse av sikkerhetskopiene ett av forholdene tilsynet la vekt på.

RPO og RTO

RPO (Recovery Point Objective) er tidspunktet dataene må kunne hentes tilbake til etter et avbrudd, altså hvor mye arbeid dere tåler å miste. Tar dere kopi én gang i døgnet, kan dere miste opptil et døgns endringer. RTO (Recovery Time Objective) er hvor lenge systemene kan være i gjenoppretting før det går ut over driften. Begge definisjonene er hentet fra det amerikanske standardiseringsinstituttet NIST. Helse- og kommuneCERT bruker som eksempel at en daglig kopi kan holde for kontorfiler, mens innstillinger i Active Directory endres sjeldnere og kan kopieres ukentlig. NSM anbefaler at planen minst beskriver hvilke data som sikres, hvor ofte, hvem som har ansvaret, hva som skjer når en kopiering feiler, oppbevaringstid og krav til gjenopprettingstid.

Test av gjenoppretting

NSM anbefaler regelmessige gjenopprettingstester og skriver at gjenoppretting erfaringsmessig tar mye lengre tid enn mange regner med. Helse- og kommuneCERT anbefaler å kontrollere én gang i året at alt som skal sikres faktisk blir det, å øve på gjenoppretting årlig og å veksle mellom den lokale og den eksterne kopien. Testene gir dere også et realistisk tall for RTO.

Sikkerhetskopier av e-post, kundemapper og personalsaker inneholder personopplysninger, og da gjelder personvernforordningen. Artikkel 32 krever et sikkerhetsnivå som er egnet med tanke på risikoen, og nevner blant tiltakene evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid ved en fysisk eller teknisk hendelse, og en prosess for regelmessig testing av sikkerhetstiltakene. Datatilsynet nevner manglende evne til effektiv gjenoppretting av tilgang til personopplysninger som eksempel på et brudd som kan være meldepliktig.

Når en annen virksomhet lagrer kopiene, er den databehandler, og det skal foreligge en databehandleravtale. Bruker databehandleren underleverandører, må det også være avtaler mellom dem. Ifølge Datatilsynet er behandling i EØS i utgangspunktet ikke en overføring til tredjeland, men dere må vurdere om leverandøren er underlagt lover i et land utenfor EØS som kan gi tilgang til dataene, og om support eller krisegjenoppretting kan skje derfra. NSM ber også virksomheter vurdere om sikkerhetskopier lagres i utlandet, og om backup-tjenesten helt eller delvis driftes derfra. Vi avklarer lagringssted og avtaler for løsningen dere velger, og skriver det inn i dokumentasjonen.