Een back-up die 'geslaagd' meldt, bewijst alleen dat er iets is weggeschreven. Of je er iets aan hebt, weet je pas als je terugzet. Het NCSC vergelijkt het met een brandoefening: je oefent als het niet nodig is, zodat het lukt als het wel nodig is.

Wat er mis kan zijn

• De back-up draaide al weken niet meer en niemand las de meldingen.
• De juiste mappen zitten er niet in: de nieuwe map van vorig jaar, de database van een applicatie.
• Het bestand is er wel, maar beschadigd of niet te openen.
• Terugzetten duurt veel langer dan gedacht, of er ontbreekt een wachtwoord of sleutel.

Drie niveaus van testen

• Eén bestand of mailtje: zet iets terug van een week geleden en open het. Kost tien minuten en vangt de meeste fouten.
• Een mailbox of map: zet een hele mailbox of complete map terug naar een testplek en controleer of alles er is.
• Een hele server: zet de server terug op andere hardware of als virtuele machine en kijk of de applicaties werken. Alleen deze test bewijst dat je na een ramp weer kunt werken, en je meet meteen hoe lang het duurt.

Hoe vaak en wie

Bij een beheerde back-up bewaken wij elke dag of de back-up slaagt en doen wij periodiek een hersteltest; wat en hoe vaak staat in de overeenkomst. Beheer je zelf iets, zoals een eigen NAS of losse schijf, plan dan zelf een test: een bestand elke maand, een grotere test elk half jaar en na elke wijziging. Laat het doen door degene die het in een noodsituatie ook moet doen.

Wat je vastlegt

• Datum, wie, wat is teruggezet en vanaf welke back-up.
• Hoe lang het duurde en wat er niet lukte.
• Wat er daarna is aangepast.