Back-ups van een VPS: wat u controleert voordat u tekent

De vragen om te stellen

Frequentie en bewaartermijn: wat u kunt verliezen

Twee tijdsduren vatten een back-upbeleid samen:

• Het maximaal aanvaardbare gegevensverlies (RPO, recovery point objective): de hoeveelheid werk die u bereid bent te verliezen. Een back-up elke nacht betekent hooguit 24 uur; een database die de hele dag bestellingen registreert, wint erbij de continue archivering van haar transactielogboek toe te voegen.
• De maximale onderbrekingsduur (RTO, recovery time objective): de tijd dat de dienst stil mag liggen. Die hangt af van het volume dat moet worden teruggezet, en vooral van wie terugzet, en wanneer.

De bewaartermijn beantwoordt een andere vraag: hoe ver kunt u terug? Een verwijdering die de volgende dag wordt opgemerkt, herstelt u met de back-up van de vorige nacht. Een onopvallende inbraak, een stille corruptie of een fout in een automatische verwerking wordt soms later opgemerkt: dan hebt u een herstelpunt nodig van vóór het probleem. Voor archieven op lange termijn, boekhoudkundig of wettelijk verplicht, vult een maandelijkse export die apart wordt bewaard de back-up van de server aan.

Waar de back-ups staan, en wie ze kan wissen

Een back-up beschermt tegen wat de server overkomt. Daarom staat een back-up ergens anders dan de server zelf:

• Een spiegeling van schijven (RAID) beschermt tegen een defecte schijf, en kopieert een verwijdering of een kwaadaardige versleuteling op de eerste schijf trouw naar de tweede. Het is een bescherming van de hardware, geen back-up.
• Een snapshot op dezelfde opslag brengt u na een mislukte update snel terug naar de vorige toestand, maar verdwijnt samen met de opslag waarop hij staat.
• Een back-up buiten de machine, op aparte opslag, overleeft het verlies van de server. Versleuteld voordat hij vertrekt, blijft hij onleesbaar voor wie de sleutel niet heeft.

Een punt dat vaak wordt vergeten: een back-up die vanaf de server kan worden gewist, kan ook worden gewist door een indringer die de controle over de server heeft overgenomen. Back-ups die de hostingprovider maakt en bewaart, buiten het bereik van de geback-upte server, ontsnappen aan dat risico.

Het geval van databases

Een database schrijft voortdurend. Een kopie van haar bestanden die wordt gemaakt terwijl ze draait, legt haar vast zoals ze zou zijn na een stroomonderbreking: PostgreSQL en MySQL kunnen vanuit zo’n toestand opnieuw starten door hun logboek af te spelen. Voor een fijnmazig herstel, tabel per tabel, of naar een andere versie, voegt u een logische back-up toe:

pg_dump -Fc -d mijn_db -f /backups/mijn_db-$(date +%F).dump
mysqldump --single-transaction --routines mijn_db | gzip > /backups/mijn_db-$(date +%F).sql.gz

Elke nacht ingepland via een geplande taak, vóór het tijdstip van de serverback-up, worden deze exports daarin meegenomen, en kunnen ze ook naar uw eigen opslag worden gekopieerd.

De 3-2-1-regel

De regel die de agentschappen voor cyberbeveiliging aanbevelen, past in drie cijfers: 3 kopieën van uw gegevens, op 2 verschillende dragers, waarvan 1 op een andere locatie. Op een VPS ziet dat er zo uit: de actieve gegevens op de server, de back-up die de hostingprovider buiten de machine maakt, en een regelmatige export van wat het zwaarst weegt (de database, de bestanden die uw gebruikers uploaden) naar een opslag van uzelf.

restic -r sftp:gebruiker@opslag.example.com:/backups init
restic -r sftp:gebruiker@opslag.example.com:/backups backup /backups

Een hersteltest uitvoeren

Een back-up bewijst zich door hem terug te zetten. Eens per kwartaal, en na elke belangrijke wijziging aan de server:

1. Vraag het terugzetten aan, of start het zelf, op een testserver naast de productie.
2. Controleer of de applicatie opstart en reageert.
3. Vergelijk enkele cijfers met de productie: het aantal rijen in de belangrijkste tabellen, de datum van het laatste record.
4. Noteer hoe lang de operatie duurde: dat is uw werkelijke onderbrekingsduur.

Bij een managed VPS zijn deze back-ups, de opslag ervan buiten de machine en het terugzetten zelf de zaak van de hostingprovider: u vraagt erom, hij zet terug.

Bewaart de server persoonsgegevens, leg de test dan vast. In de Europese Unie vraagt de AVG (artikel 32) om het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen, en om een procedure voor het op gezette tijdstippen testen van de doeltreffendheid van de genomen maatregelen. Een gedateerde hersteltest is daarvan het eenvoudigste bewijs.