Immutable Backup

Wat is een Immutable Backup?

Een immutable back-up is een back-upkopie die gedurende een vooraf ingestelde bewaartermijn technisch niet kan worden gewijzigd, overschreven of verwijderd, ook niet door een gebruiker met beheerdersrechten. Het opslagsysteem dwingt dat af volgens het WORM-principe (Write Once, Read Many): data wordt één keer geschreven en kan daarna alleen nog worden gelezen tot de termijn verloopt. Daarmee is een immutable back-up de laatste verdedigingslinie tegen ransomware, malware, kwaadwillende insiders en menselijke fouten. Het is de extra “1” in de 3-2-1-1-0-regel: drie kopieën, twee mediatypen, één buiten de locatie, één offline of onveranderbaar en nul fouten bij hersteltests.

Immutable = onveranderbaar binnen de bewaartermijn: wie de beheerconsole overneemt, kan de herstelpunten toch niet wissen.

🎯 Waarom zijn immutable back-ups nodig?

Ransomware-groepen versleutelen niet meer alleen productiesystemen. Ze zoeken eerst de back-upserver op, vaak via gestolen Active Directory-beheeraccounts, en wissen of versleutelen daar de herstelpunten. Het Amerikaanse CISA waarschuwt in zijn StopRansomware Guide (september 2023) dat veel ransomwarevarianten actief naar bereikbare back-ups zoeken om die te verwijderen of te versleutelen. Zonder bruikbare back-up blijft alleen betalen of volledig herbouwen over.

Een immutable back-up lost dat op door de verwijderopdracht zelf te weigeren. Concreet beschermt het tegen:

• Ransomware en wipers - een aanvaller met beheerdersrechten kan oude herstelpunten niet versleutelen of verwijderen
• Misbruikte beheeraccounts - ook een gecompromitteerd back-up- of domeinbeheerdersaccount kan de bewaartermijn niet inkorten (in de strenge modus)
• Interne sabotage - een ontevreden medewerker kan herstelpunten niet stilletjes wissen
• Menselijke fouten - een verkeerd opgeschoonde retentie of een foutieve script-run vernietigt geen herstelpunten
• Bewijs en data-integriteit - vastgelegde logs en historiedata blijven aantoonbaar ongewijzigd

🔧 Hoe werkt immutability technisch?

Immutability is geen eigenschap van het back-upbestand, maar van de opslaglaag die schrijf- en verwijderopdrachten weigert. Er zijn vier gangbare implementaties:

Governance- versus compliance-modus

Bij cloud-opslag bepaalt de modus hoe streng de vergrendeling is. In AWS S3 Object Lock kan een gebruiker met de speciale permissie BypassGovernanceRetention een object in governance-modus toch verwijderen. In compliance-modus kan niemand het object verwijderen of de termijn inkorten, ook het root-account niet; alleen het opheffen van het hele AWS-account verwijdert de data eerder. Azure kent een vergelijkbaar onderscheid tussen een unlocked beleid (voor testen) en een locked beleid, dat alleen nog verlengd kan worden. Azure staat bewaartermijnen toe van één dag tot 146.000 dagen (400 jaar).

Beide clouddiensten zijn door Cohasset Associates beoordeeld tegen de financiële bewaarregels SEC 17a-4(f), FINRA 4511 en CFTC 1.31. Dat zijn Amerikaanse archiveringsregels, geen OT-eisen, maar ze laten zien dat de vergrendeling onafhankelijk is getoetst.

🔄 Wat is het verschil met een gewone back-up, snapshot of air gap?

Immutable en offline vullen elkaar aan. Een offline kopie is onbereikbaar maar traag te herstellen; een immutable kopie is online en snel, maar blijft afhankelijk van de software en de beheerlaag van het opslagsysteem. Daarom combineren organisaties ze vaak.

⚠️ Wat beschermt een immutable back-up niet?

Immutability is sterk, maar geen garantie op herstel:

• Geïnfecteerde data - een back-up van een systeem dat al besmet of gemanipuleerd was, blijft onveranderbaar besmet; scan herstelpunten en houd voldoende historie aan
• Datadiefstal - bij dubbele afpersing dreigt de aanvaller met publicatie; daartegen helpen encryptie en netwerksegmentatie, niet immutability
• Overname van de opslagomgeving - wie het cloudaccount of de hardware zelf in handen krijgt, kan in governance-modus of via de fysieke server alsnog schade doen
• Klokmanipulatie - sommige oplossingen rekenen de termijn uit op basis van systeemtijd; Veeam detecteert daarom tijdsprongen, ook bij een gecompromitteerde NTP-server
• Verlopen termijn - een aanvaller die langer onopgemerkt blijft dan de bewaartermijn, wacht simpelweg tot de vergrendeling afloopt; goede security monitoring blijft dus nodig

🏭 Waarom is immutability belangrijk in OT-omgevingen?

In OT gaat het niet om kantoordocumenten, maar om de kennis waarmee een installatie draait. Vaak bestaat er geen tweede bron:

• PLC-programma’s en firmware-versies - de enige actuele versie staat soms alleen op de controller en op één engineering station
• SCADA-, HMI- en DCS-projecten - configuraties met jaren aan aanpassingen die niet uit de documentatie te reconstrueren zijn
• Historian-data - procesgeschiedenis die nodig is voor kwaliteitsdossiers, vergunningen of onderzoek naar een storing
• Golden images - schone installaties van engineering stations en servers, inclusief licenties en installatiemedia

Hoe groot de afhankelijkheid is, liet NotPetya in 2017 zien: Maersk kon zijn Active Directory alleen herstellen dankzij één domeincontroller in Ghana die door een stroomstoring offline was geweest. Een onveranderbare kopie had dat toeval overbodig gemaakt.

Stappenplan voor OT

1. Inventariseer wat herstel nodig heeft, met asset-inventaris en business impact analysis; leg per systeem RTO en RPO vast.
2. Verzamel back-ups centraal in het OT-netwerk, gekoppeld aan wijzigingsbeheer, zodat elke wijziging aan een PLC of HMI een nieuw herstelpunt oplevert.
3. Vergrendel een tweede kopie: een hardened repository of object storage met compliance-modus, buiten het Active Directory-domein en met eigen MFA-beveiligde accounts. Overdracht verloopt via een DMZ.
4. Kies de termijn ruim boven de tijd die een aanvaller onopgemerkt kan blijven; 30 tot 90 dagen is een gangbare startwaarde voor dagelijkse herstelpunten, aangevuld met maandelijkse of jaarlijkse kopieën.
5. Test herstel periodiek op een testopstelling, want het gaat uiteindelijk om herstel: kan een PLC-programma terug, start het HMI-project, klopt de versie? Leg resultaten vast.

🔐 Welke normen en wetten vragen om beschermde back-ups?

Geen enkele norm, ook IEC 62443 niet, schrijft letterlijk “immutable” voor, maar alle vragen om back-ups die een aanval overleven:

De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht. Organisaties onder de wet moeten passende maatregelen voor bedrijfscontinuïteit en herstel aantoonbaar maken; een onveranderbare kopie is daarbij een sterk argument richting toezichthouder en auditor. Let wel: CISA merkt op dat immutable opslag niet automatisch aan elke bewaarregel voldoet, dus compliance vraagt een eigen toetsing.

❓ Veelgestelde vragen

Is een immutable back-up hetzelfde als een offline back-up?

Nee. Een immutable back-up blijft via het netwerk bereikbaar, maar het opslagsysteem weigert wijzigingen en verwijderingen tot de bewaartermijn verloopt. Een offline back-up is fysiek of logisch losgekoppeld. Beide beschermen tegen ransomware en worden vaak gecombineerd in de 3-2-1-1-0-regel.

Kan een beheerder een immutable back-up toch verwijderen?

Dat hangt af van de modus. In governance-modus of bij een niet-vergrendeld beleid kan een gebruiker met speciale rechten de vergrendeling opheffen; in compliance-modus of bij een vergrendeld beleid kan niemand de immutable back-up verwijderen of de termijn inkorten. Kies voor herstelkritieke OT-back-ups daarom de strenge modus.

Hoe lang moet de bewaartermijn van een immutable back-up zijn?

De bewaartermijn van een immutable back-up moet langer zijn dan de tijd die een aanvaller onopgemerkt in het netwerk kan zitten. Een gangbare startwaarde is 30 tot 90 dagen voor dagelijkse herstelpunten, aangevuld met langere termijnen voor maandelijkse kopieën. Te lang vergrendelen kost opslagruimte, omdat data pas na afloop kan worden opgeschoond.

Is een snapshot een immutable back-up?

Een gewone snapshot is geen immutable back-up, omdat een beheerder hem kan verwijderen en hij meestal op hetzelfde opslagsysteem staat als de brondata. Sommige opslagsystemen bieden wel vergrendelde snapshots die binnen een termijn niet te wissen zijn. Alleen die variant voldoet aan de definitie van immutability.

Beschermt een immutable back-up tegen datadiefstal?

Nee, een immutable back-up beschermt de beschikbaarheid en integriteit van data, niet de vertrouwelijkheid. Tegen dubbele afpersing, waarbij een aanvaller met publicatie dreigt, zijn encryptie, toegangsbeheer en segmentatie nodig. Versleutel daarom ook de immutable kopie zelf.

Welke OT-gegevens horen in een immutable back-up?

In een OT-omgeving horen PLC-programma’s, firmwareversies, SCADA-, HMI- en DCS-projecten, historian-data, Active Directory en golden images van engineering stations in een immutable back-up. Juist deze bestanden zijn vaak nergens anders te vinden. Koppel de back-ups aan wijzigingsbeheer, zodat elke wijziging een nieuw vergrendeld herstelpunt oplevert.

📌 Samengevat

Een immutable back-up maakt herstelpunten technisch onveranderbaar tijdens een bewaartermijn, via object lock, een hardened repository, een appliance of WORM-tape. Kies de strenge modus, plaats de kopie buiten het domein, stem de termijn af op de detectietijd en test het herstel. Immutability vervangt geen monitoring, encryptie of offline kopie, maar maakt van een ransomware-aanval een herstelbaar incident.

Een immutable back-up is pas waardevol als hij buiten het bereik van gestolen beheerrechten staat, lang genoeg vergrendeld blijft en aantoonbaar herstelbaar is.