Backuppen er beskyttet, når mindst én kopi ligger uden for det net, der kan rammes, når backupsystemet kræver MFA, og når de konti, der styrer det, er adskilt fra den almindelige administration. Gennemgangen påviser det med udtræk: lagringens placering og indstillinger, listen over konti med adgang og login-indstillingerne for backupsystemet.
#StopRansomware Guide fra CISA m.fl. beskriver, at mange varianter af ransomware forsøger at finde og slette eller kryptere de backups, der kan nås. Kontrolpunktet er derfor, om backuppen overlever, at en angriber har overtaget en administratorkonto i det daglige miljø.
Målestokken
I bilaget til forordning 2024/2690 står der i punkt 4.2.2, at backupplanerne omfatter lagring af kopier, online eller offline, på et eller flere sikre steder, uden for systemets eget netværk, i tilstrækkelig afstand fra hovedstedet (litra c). Planerne omfatter også passende fysisk og logisk kontrol med adgang til backupkopier efter aktivets klassifikation (litra d). Punkt 6.8.2, litra h, nævner sikkerhedskopier blandt det, der adskilles fra produktionssystemer. Bilaget gælder de enheder, forordningens artikel 1 opregner. For andre er det en målestok.
SAMSIK anbefaler i vejledningen om ransomware, at backup opbevares separat fra produktionsmiljøet med en kopi offline, og at backup beskyttes med kryptering, adgangskode og MFA. Vejledningen anbefaler at overveje uforanderlig lagring og at opbevare dekrypteringsnøglen til backuppen adskilt fra katalogtjenesten eller fysisk et beskyttet sted. Den taler også for flere generationer, der går langt tilbage, op til flere år afhængigt af systemet. Vejledningen Cyberforsvar der virker siger kort, at en kopi skal opbevares offline. Begge er anbefalinger.
#StopRansomware anbefaler offline, krypterede kopier af kritiske data, sletbeskyttelse eller objektlås og versionering på lagring, der ofte rammes, og uforanderlig lagring med forsigtighed. DORA kræver for finansielle enheder, at gendannelsessystemerne er sikkert beskyttet mod uautoriseret adgang og korruption.
Kopien uden for nettet
Det første kontrolpunkt er, at mindst én kopi ligger et sted, som ikke kan nås fra det daglige net med de daglige konti. Beviset er en beskrivelse af, hvor kopierne ligger, og et udtræk af lagringens indstillinger: er den offline, er sletning spærret i en periode, og hvem kan ændre den spærring?
Ordet “offline” bruges forskelligt. En gennemgang bør skrive, hvad der konkret er tale om: bånd, der fysisk er taget ud, en kopi i et andet miljø med egne konti, eller lagring med en låsning, der ikke kan ophæves af en administrator i perioden. Det sidste kaldes uforanderlig lagring, og SAMSIK nævner det som noget, man kan overveje.
Særskilte konti
Ingen af de læste kilder bruger ordene “særskilte konti” om backup. Kontrolpunktet er en tolkning af forordningens krav om logisk adgangskontrol og af SAMSIK’s anbefaling om at holde nøglen adskilt fra katalogtjenesten. Tankegangen er, at en konto, der administrerer det daglige miljø, ikke også bør kunne slette backuppen.
Gennemgangen trækker listen over konti og grupper med adgang til backupsystemet og til lagringen og ser efter tre ting. Er det konti fra den samme katalogtjeneste som det daglige miljø? Har domæneadministratorer automatisk adgang? Og findes der en servicekonto med brede rettigheder, som også bruges andre steder? Administratorkonti i det hele taget er beskrevet i særskilte administratorkonti og administrationsmaskiner.
MFA og nøgle
SAMSIK’s anbefaling om MFA på backup giver et enkelt kontrolpunkt: kræver login til backupsystemets administration og til lagringen MFA? Beviset er login-indstillingerne og en test med en konto, hvor det kan ses, at MFA bliver krævet.
Dekrypteringsnøglen er det andet. Ligger den kun i det system, den skal hjælpe med at genskabe, eller i en kontoadgang fra samme katalog, kan backuppen være intakt og alligevel ubrugelig. Gennemgangen spørger, hvor nøglen ligger, hvem der kan få den frem, og om det er afprøvet. Et svar som “den ligger i boksen med adgangskoder” fører straks til næste spørgsmål: kan boksen åbnes, når katalogtjenesten er nede?
Generationer
Flere generationer, der går langt tilbage, er en af SAMSIK’s anbefalinger. Den er nyttig, hvis den kopi, I helst vil bruge, viser sig at være ramt. Kontrolpunktet er opbevaringsperioden i backupsystemets politik holdt op mod jeres egen beslutning om, hvor langt tilbage I skal kunne gå.
Når en leverandør driver backuppen
Driver en leverandør backuppen, ligger mange af kontrolpunkterne hos leverandøren. Gennemgangen beder om de samme udtræk: placering af kopier, konti med adgang og indstillinger for login. Kan leverandøren ikke levere dem, er det et fund, og det er et spørgsmål til aftalen, om I har ret til at få dem. Spørg også, om leverandørens egne konti til backuppen er adskilt fra de konti, leverandøren bruger til jeres daglige drift. Er de det ikke, gælder samme risiko som hos jer selv, bare et andet sted.
Hvad det kræver, og hvad det koster at lade være
Det kræver et udtræk af konti og rettigheder fra backupsystemet, en beskrivelse af lagringen og en samtale med den, der administrerer backuppen. Er backuppen hos en leverandør, skal udtrækkene derfra.
Uden kontrollen kan den konto, der kompromitteres i det daglige miljø, også være den, der sletter backuppen. Så er der intet at gendanne fra.
Det skal I lade være med
- At bruge domæneadministratorer til at styre backuppen · adskil adgangen fra den daglige administration.
- At lægge dekrypteringsnøglen i det system, den skal genskabe · opbevar den adskilt.
- At kalde en kopi offline uden at beskrive, hvad det betyder · skriv, hvordan den er afskåret.
Det skal gennemgangen kunne vise
- ☐ Placering af hver kopi og hvordan den er afskåret fra det daglige net.
- ☐ Indstillinger for sletbeskyttelse eller låsning og hvem der kan ændre dem.
- ☐ Konti og grupper med adgang til backupsystemet og lagringen.
- ☐ MFA på backupsystemets administration og lagringen.
- ☐ Hvor dekrypteringsnøglen ligger, og at den kan hentes uden katalogtjenesten.
- ☐ Opbevaringsperiode og antal generationer.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1, bilagets punkt 4.2.2, litra c og d, og 6.8.2, litra h, læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave april 2023, s. 5 og 11, læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker, 4. udgave juli 2023, område 6, læst 13. november 2026.
- CISA, MS-ISAC, NSA og FBI, #StopRansomware Guide, september 2023, læst 13. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 12, stk. 3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over konti med adgang til backupsystemet, og se, om domæneadministratorerne står på den.
Læs også: Servicekonti · Beskyttelse af loggen mod administratoren selv
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
