Backup-strategi & Disaster Recovery Plan

Hvad er Backup-strategi & Disaster Recovery Plan? Backup-strategi og Disaster Recovery Plan er fagområdet, der sikrer, at en virksomhed kan få data, systemer og kritiske forretningsprocesser tilbage efter et alvorligt nedbrud eller cyberangreb.

En backup-strategi beskriver, hvilke data og systemer der skal sikkerhedskopieres, hvordan kopierne beskyttes, og hvordan virksomheden kontrollerer, at de faktisk kan gendannes. En Disaster Recovery Plan beskriver selve reetableringen: hvilke systemer der skal tilbage først, hvem der gør hvad, hvilke afhængigheder der findes, og hvordan normal drift genoptages.

Fagområdet bliver især vigtigt ved ransomware. En almindelig backup er ikke nødvendigvis brugbar, hvis angriberen også kan kryptere eller slette backupmiljøet. Styrelsen for Samfundssikkerheds ransomwarevejledning anbefaler derfor blandt andet, at backup holdes adskilt fra produktionsmiljøet, at en kopi kan være offline, og at uforanderlig lagring overvejes. Backup skal også testes, så virksomheden ved, at data kan reetableres.

Arbejdet starter normalt med at finde virksomhedens kritiske processer, data, applikationer og tekniske afhængigheder. En Business Impact Analysis bruges til at vurdere konsekvenserne, hvis forskellige funktioner er utilgængelige. Derefter fastlægges blandt andet Recovery Time Objective, RTO, for hvor hurtigt en funktion skal kunne genetableres, og Recovery Point Objective, RPO, for hvor stort et datatab virksomheden kan acceptere.

En reel Disaster Recovery Plan går derfor længere end en liste over backupjobs. Planen kan omfatte kontaktveje, roller og ansvar, prioriteret rækkefølge for systemgendannelse, identitets- og adgangssystemer, netværk, cloudmiljøer, databaser, applikationer, eksterne leverandører og procedurer for at kontrollere, at et gendannet miljø er sikkert.

Test er en central del af fagområdet. Det kan være restore-tests af enkelte systemer, tekniske recovery-øvelser eller scenarieøvelser, hvor IT, sikkerhed, ledelse og forretning gennemgår et større nedbrud. En plan, der aldrig er prøvet, kan indeholde afhængigheder eller adgangsproblemer, som først opdages under den virkelige hændelse.

Backup og disaster recovery er også blevet et complianceområde. Virksomheder, der er omfattet af den danske NIS 2-lov, skal arbejde med driftskontinuitet, herunder backup-styring, reetablering efter en katastrofe og krisestyring. Styrelsen for Samfundssikkerheds vejledning beskriver blandt andet kontinuitetsplaner, roller, kontaktinformation, aktivering af beredskabet samt behov for backup, genindlæsning og redundans.

For finansielle virksomheder stiller DORA tilsvarende konkrete krav til backup-politikker samt procedurer for restoration og recovery. DORA kræver også, at backup- og recoveryprocedurer testes, og at gendannelse planlægges ud fra forretningens kritikalitet.

Hvem arbejder med Backup-strategi & Disaster Recovery Plan? Backup-strategi og Disaster Recovery Plan ligger normalt mellem IT-drift, cybersikkerhed, cloud, risikostyring og business continuity.

I større organisationer kan området ligge hos en Business Continuity Manager, Disaster Recovery Manager, IT Risk Manager, Security Architect, Infrastructure Architect, Cloud Architect, CISO-funktion eller en teknisk beredskabsansvarlig. Systemejere og forretningen skal normalt også deltage, fordi IT ikke alene kan afgøre, hvilke processer der skal genetableres først.

En teknisk specialist skal kunne forstå mere end selve backupsoftwaren. Kompetencen omfatter typisk arkitektur, storage, databaser, identitet, netværk, virtualisering, cloudplatforme, SaaS-tjenester, kryptering og adgangsstyring. Specialisten skal samtidig kunne omsætte forretningens krav til praktiske recoverymål og dokumenterede procedurer.

En virksomhed hyrer ofte en selvstændig specialist eller konsulent, når den har brug for at få vurderet sin nuværende arkitektur, udarbejdet en Business Impact Analysis, fastlagt RTO og RPO, designet et ransomware-resistent backupmiljø eller bygget og testet en Disaster Recovery Plan.

En specialist er også relevant, når virksomheden har flere cloudplatforme, datacentre eller kritiske leverandører, hvor ansvaret for gendannelse ikke er tydeligt. Det samme gælder, hvis arbejdet skal dokumenteres over for kunder, ledelse, revision eller myndigheder.

Et driftshus eller managed service-bureau passer bedre, når behovet primært er den løbende tekniske drift af backupplatformen, overvågning af jobs, kapacitetsstyring og operationel håndtering. Strategien og kravene bør stadig være forankret hos virksomheden. En leverandør kan drive backupmiljøet, men virksomheden skal kende sine kritiske processer og beslutte, hvad der skal kunne gendannes og i hvilken rækkefølge.

Kurser og uddannelser Der findes ikke én dansk autorisationsuddannelse, som gør en person til Disaster Recovery-specialist. Kompetencen bygges normalt gennem en kombination af IT-drift, informationssikkerhed, cloud, risikostyring og business continuity.

Dansk Standards kurser i Business Continuity efter ISO 22301 er en direkte vej ind i den organisatoriske del af området. Introduktionskurset i ISO 22301 gennemgår blandt andet Business Impact Analysis, kontinuitetsplaner, risikovurdering og etablering af et Business Continuity Management System.

Dansk Standard udbyder også ISO 22301 Lead Implementer certificeret af PECB. Det er relevant for konsulenter og medarbejdere, der skal etablere og drive et struktureret Business Continuity Management System frem for kun at arbejde med den tekniske backupplatform.

Teknologisk Instituts kursus Grundlæggende IT-beredskab arbejder mere direkte med sammenhængen mellem IT-beredskab, disaster recovery, business continuity og kriseberedskab. Instituttet udbyder også EC-Councils Disaster Recovery Program Professional, EDRP, som specifikt omfatter Business Impact Analysis, backup, data recovery, recoverystrategier og test af planer.

The Business Continuity Institutes CBCI-certificering er en internationalt anerkendt vej for personer, der vil arbejde bredere med business continuity og organisatorisk resiliens. Den bygger på BCI's Good Practice Guidelines.

For sikkerhedsfolk er ISC2 CISSP også relevant. CISSP-pensum omfatter Business Continuity, backupstrategier, recoverystrategier, Disaster Recovery-processer og test af Disaster Recovery Plans. ISC2 CCSP har tilsvarende fokus på business continuity og disaster recovery i cloudmiljøer.

Certificeringer kan dokumentere teorien, men praktisk erfaring vejer tungt i dette fagområde. En person bliver først stærk til disaster recovery ved faktisk at designe gendannelsesforløb, gennemføre restore-tests, finde skjulte afhængigheder og deltage i realistiske beredskabsøvelser.

Standardværker og ressourcer ISO 22301 er det centrale internationale standardværk for Business Continuity Management Systems. Standarden beskriver, hvordan en organisation systematisk etablerer, vedligeholder og forbedrer evnen til at fortsætte og genetablere kritiske aktiviteter efter en forstyrrelse.

ISO/IEC 27031:2025 er særligt relevant for den tekniske del. Standarden handler om ICT readiness for business continuity og forbinder IT-arkitektur, recovery og teknisk robusthed med organisationens overordnede kontinuitetsmål. Den supplerer både ISO/IEC 27001 og ISO 22301.

NIST Special Publication 800-34, Contingency Planning Guide for Federal Information Systems, er en meget anvendt praktisk reference. Den gennemgår blandt andet Business Impact Analysis, recoverystrategier, planudvikling, test, træning og vedligeholdelse af beredskabsplaner.

CIS Controls Control 11: Data Recovery er en kortere teknisk reference. Den fokuserer på etablering af en recoveryproces, automatiseret backup, beskyttelse af recoverydata og en isoleret kopi, som kan bruges ved eksempelvis ransomware.

BCI Good Practice Guidelines er standardværket fra Business Continuity Institute. Det bruges af business continuity- og resilience-fagfolk og giver en praktisk metode til analyse, design, implementering og validering af organisationens kontinuitetsløsninger.

For danske virksomheder er Styrelsen for Samfundssikkerheds vejledninger om NIS 2 og ransomware særligt relevante. De kobler backup og reetablering til den danske cyber- og beredskabskontekst og viser, hvorfor backup ikke kun er en driftsopgave, men en del af virksomhedens samlede modstandsdygtighed.