Hva er en sikkerhetskopi

En sikkerhetskopi, eller backup, er en kopi av data som lagres atskilt fra originalen, slik at dataene kan hentes tilbake hvis originalen går tapt. Årsaken kan være en ødelagt disk, en stjålet PC, en ansatt som sletter feil mappe eller et løsepengevirus som krypterer alt.

Poenget med en sikkerhetskopi er ikke kopien i seg selv, men at du faktisk kan gjenopprette. En backup som aldri er testet, er en antakelse, ikke en sikkerhet.

Sikkerhetskopi er ikke det samme som synkronisering

Mange tror at filer i en skytjeneste som OneDrive, Google Drive eller Dropbox er sikkerhetskopiert. Det er bare delvis riktig. Synkronisering betyr at en endring på ett sted kopieres til alle andre steder – også når endringen er en sletting eller en kryptering fra et virus.

En ekte sikkerhetskopi:

• Er atskilt fra originalen
• Tar vare på eldre versjoner, slik at du kan gå tilbake til slik dataene var før feilen
• Kan ikke endres eller slettes av den samme brukeren eller det samme viruset som angriper originalen

3-2-1-regelen

En mye brukt tommelfingerregel for sikkerhetskopiering er 3-2-1:

• 3 kopier av dataene, originalen medregnet
• 2 forskjellige lagringsmedier eller -tjenester
• 1 kopi et annet sted, fysisk eller logisk atskilt fra de andre

I dag utvides regelen ofte med krav om at én kopi skal være uforanderlig (immutable) eller frakoblet, slik at et løsepengevirus ikke kan nå den.

Test gjenopprettingen

Det vanligste problemet er ikke manglende backup, men backup som ikke virker når den trengs. Test derfor jevnlig:

• Hent tilbake en enkeltfil fra en bestemt dato
• Sjekk hvor lang tid en full gjenoppretting tar
• Kontroller at også programvare, oppsett og lisenser kan gjenopprettes, ikke bare filene

To spørsmål bør være avklart på forhånd: Hvor mye data har vi råd til å miste (hvor gammel kan siste kopi være)? Og hvor lenge kan vi være uten systemet?

Nasjonal sikkerhetsmyndighet (NSM) har egne råd om dette i sine grunnprinsipper for IKT-sikkerhet, under prinsippet «Etabler evne til gjenoppretting av data». Der anbefales blant annet en plan for regelmessig sikkerhetskopiering, jevnlige gjenopprettingstester og at kopiene holdes atskilt fra produksjonsmiljøet, med begrenset tilgang og minst én frakoblet kopi.

Skytjenester og leverandørens ansvar

Når bedriften bruker et skybasert fagsystem eller regnskapsprogram, tar leverandøren normalt sikkerhetskopi av sine systemer. Men det betyr ikke alltid at du kan få tilbake dine data slik de var på en bestemt dag. Avklar med leverandøren:

• Hvor ofte det tas sikkerhetskopi, og hvor lenge kopiene lagres
• Om du kan be om gjenoppretting av egne data, og hva det koster
• Om du selv kan eksportere dataene dine i et lesbart format
• Hva som skjer med dataene hvis avtalen avsluttes eller leverandøren går konkurs

Ansvaret for at regnskapsmaterialet oppbevares riktig, ligger hos den bokføringspliktige, selv om lagringen er satt ut.

Krav i bokføringsloven

Bokføringsloven stiller krav som gjør sikkerhetskopiering nødvendig i praksis:

• Etter § 4 nr. 9 skal regnskapsmaterialet på en forsvarlig måte sikres mot urettmessig endring, sletting eller tap.
• Etter § 13 skal blant annet årsregnskap, bokføringsspesifikasjoner og dokumentasjon av bokførte opplysninger oppbevares i fem år etter regnskapsårets slutt. For enkelte andre typer materiale, som avtaler og korrespondanse av betydning for regnskapet, er fristen tre år og seks måneder.
• Materialet skal være tilgjengelig i lesbar form og kunne skrives ut på papir i hele oppbevaringsperioden.

Det betyr at en sikkerhetskopi av regnskapsdata må kunne leses i flere år, også etter at bedriften har byttet system. Hele loven finnes på Lovdata.

Personopplysninger

Inneholder dataene personopplysninger, for eksempel om ansatte eller privatkunder, krever personvernforordningen (GDPR) artikkel 32 blant annet evnen til å gjenopprette tilgjengeligheten til opplysningene i tide etter en fysisk eller teknisk hendelse. Sikkerhetskopier er også personopplysninger og må beskyttes like godt som originalen.

Viktig å huske på

• Synkronisering er ikke backup – du trenger atskilte kopier med eldre versjoner
• Følg 3-2-1-regelen, og ha minst én kopi som ikke kan slettes av et virus
• Test gjenoppretting jevnlig
• Avklar hva skyleverandøren faktisk sikkerhetskopierer, og hvordan du får data ut
• Regnskapsmateriale skal sikres mot tap, og det meste skal oppbevares i fem år (bfl. §§ 4 og 13)