En sikkerhetskopi er ikke din hvis bare leverandøren kan hente den ut

En leverandør kan ta sikkerhetskopi for deg uten at du mister kontrollen. Men da må du vite hva du faktisk får tilbake hvis samarbeidet stopper. «Vi tar backup» er et løfte om en aktivitet. Det er ikke nødvendigvis en plan for hvordan virksomheten kan komme videre uten den samme leverandøren.

Mitt standpunkt er enkelt: En bedrift bør kunne få ut sine egne kritiske data i en form som kan kontrolleres og brukes av andre. Det betyr ikke at eieren må administrere all teknologi selv. Det betyr at beredskapen ikke bør være låst til én konto, én person eller én leverandørs velvilje.

Hva skjer hvis avtalen opphører på en dårlig dag?

Se for deg at leverandøren ikke er tilgjengelig når du trenger å gjenopprette. Kanskje avtalen er avsluttet. Kanskje noen er syke. Kanskje systemet som inneholder kopiene, selv er utilgjengelig. Hvem kan da hente ut dataene? I hvilket format? Hvilken dokumentasjon følger med? Og kan en ny fagperson bruke materialet uten å gjette seg fram?

Dette er en annen diskusjon enn spørsmålet om synkronisering er backup. Du kan ha flere gode kopier og likevel mangle en praktisk vei ut. En databasefil uten nødvendige opplysninger om hvordan den skal åpnes og kobles til resten av systemet, kan være vanskelig å bruke. En eksport som bare den gamle leverandøren har tilgang til, hjelper lite i et brudd.

Be om en overleveringstest

Jeg ville bedt leverandøren demonstrere en liten, avgrenset test mens alt fungerer. Velg data som er viktige, men som kan håndteres forsvarlig i et testmiljø. Be om svar på disse spørsmålene:

1. Hvilke systemer og datatyper er faktisk med, og hva er uttrykkelig utenfor?
2. Hvem kan bestille og hente ut en kopi dersom den faste kontaktpersonen er borte?
3. Hvilket format får vi, og hva trenger en annen tekniker for å åpne og kontrollere innholdet?
4. Kan vi gjenopprette et utvalg i et adskilt miljø og sjekke at innholdet er riktig?

Det siste spørsmålet er avgjørende. Storbritannias nasjonale cybersikkerhetssenter anbefaler små virksomheter å vite hvordan sikkerhetskopier gjenopprettes og kontrollere at de inneholder viktige data. I sin veiledning om hendelseshåndtering anbefaler senteret også regelmessig testing av at gjenoppretting virker. Rådet om sikkerhetskopier og beredskapsveiledningen er nyttige utgangspunkt, men testen må tilpasses systemene dere faktisk bruker.

God drift og reell valgfrihet kan gå sammen

En innvending er at dette høres ut som mistillit til leverandøren. Jeg mener det motsatte. En leverandør som kan forklare omfang, ansvar, format og gjenoppretting, gjør tjenesten mer etterprøvbar. Kunden slipper å tro at «backup» betyr alt den trenger. Leverandøren slipper å bli målt mot et løfte som aldri var avklart.

Det er heller ikke nødvendig å love at ethvert system kan flyttes sømløst. Proprietære funksjoner, lisenser og avhengigheter kan gjøre et bytte krevende. Poenget er å avdekke disse begrensningene før de blir akutte. IT-dokumentasjon som virksomheten selv rår over er en del av samme beredskap: Kopien og oppskriften på å bruke den må høre sammen.

Den praktiske konklusjonen er derfor ikke «bytt leverandør». Den er: Be om en liten demonstrasjon av hvordan du får virksomhetens data tilbake, og få grensene skriftlig. Hvis svaret bare er at «vi har backup», har dere ennå ikke testet den delen som betyr mest.