Din ekspert i backup og databeskyttelse!Løsningen, der passer til jeres behov
DRP og BCP
Hvordan opbygger man en DRP for en SMV?
En DRP for en SMV opbygges ved at tage udgangspunkt i de tjenester, der blokerer faktureringen eller produktionen, skrive ned, hvor længe de kan være nede, og derefter forberede et konkret sted, hvor de kan startes igen. Et ringbind på fyrre sider, som ingen har åbnet i tre år, er ikke en DRP.
Det vigtigste
- Seks trin: omfang, tærskler (RPO, RTO), kontrolleret backup, genopretningssted, kort procedure, dateret test.
- Kun de tjenester, der skal genoprettes samme dag, nogle gange inden for 72 timer, hører med i DRP’en; resten hører under backup.
- ANSSI, Frankrigs nationale cybersikkerhedsagentur, kræver en gendannelsesrækkefølge, der er fastlagt på forhånd og tager højde for afhængigheder (katalogtjeneste, DNS, tid).
- Krypteringsnøglen og nødkontiene skal være tilgængelige uden for det system, der skal gendannes, for mindst to personer.
- En procedure, der ikke kan være på to til fem sider, bliver ikke fulgt kl. 22.
Referencerammernes tilgang, tilpasset en SMV
NIST beskriver syv trin for en it-beredskabsplan: en politik, en konsekvensanalyse for forretningen, forebyggende foranstaltninger, genopretningsstrategier, udarbejdelse af planen, test og øvelser og endelig opdatering. SGDSN, den franske myndighed med ansvar for national sikkerhed, foreslår fem, fra identifikation af de væsentlige aktiviteter til forankring og vedligeholdelse af planen. For en SMV kan disse tilgange samles i seks konkrete trin.
Trin 1. Fastlæg omfanget
Saml ledelsen og den person, der administrerer it, i en time. List de værktøjer, uden hvilke morgendagens arbejde går i stå: forretningssoftware, filer, e-mail, telefoni, kasseapparat. Klassificér dem:
- genopretning samme dag;
- genopretning inden for 24 til 72 timer;
- genopbygning, når der er tid.
Kun den første kolonne, nogle gange den anden, hører med i DRP’en. Resten hører under backup. Det er den korte udgave af den konsekvensanalyse, som NIST og SGDSN placerer i begyndelsen af enhver proces.
Trin 2. Fastsæt RPO og RTO med én sætning pr. tjeneste
Eksempel: »Tilbudsprogrammet må miste fire timers indtastninger og skal virke senest kl. 9 næste dag.« Disse to tal styrer backupfrekvensen og størrelsen på nødmiljøet. ANSSI kalder dem maksimalt acceptabelt datatab (PDMA) og maksimalt acceptabel afbrydelse (DMIA) og kræver, at backupstrategien tager højde for dem. Metoden finder du i Hvordan fastlægger man sit RPO? og Hvordan fastlægger man sit RTO?.
Trin 3. Kontrollér, at backuppen forsyner planen
DRP’en gendanner en kopi. Kopien skal findes uden for stedet, være ny nok til at overholde RPO’en og allerede være blevet kontrolleret. CNIL, Frankrigs databeskyttelsesmyndighed, anbefaler at opbevare mindst én backup på et geografisk adskilt sted og at isolere mindst én offline. Hvis der ikke findes nogen vellykket gendannelse, er næste skridt en backuptest, ikke køb af instanser: se Hvordan tester man, at en backup virker?.
Trin 4. Forbered genopretningsstedet
- Nødmaskiner: cloudinstanser, et andet sted eller hardware opbevaret et andet sted.
- Opstartsrækkefølge. ANSSI kræver, at man fastlægger en strategi og en gendannelsesrækkefølge, der tager højde for afhængigheder af infrastrukturtjenester (katalogtjeneste, DNS, tidssynkronisering).
- Adresser: arbejdsstationer og eksterne kunder skal vide, hvor de skal henvende sig (bevaret IP, DNS eller instruks til brugerne).
- Nødadministratorkonti uden for domænet, hvis domænet er kompromitteret.
- Krypteringsnøglen til backupperne, tilgængelig for to personer. ANSSI minder om, at gendannelsesproceduren skal omfatte import af krypteringsnøglerne.
- Licenser, der tillader denne flytning.
Trin 5. Skriv proceduren på to sider
NIST strukturerer planen i tre faser: aktivering og varsling, genopretning, tilbage til normal drift. På to sider giver det:
| Fase | Minimumsindhold |
|---|---|
| Aktivering | Hvem har ret til at sige »vi skifter over«, numre, der skal ringes til, liste over involverede (CNIL kræver den udtrykkeligt) |
| Genopretning | Nummererede trin i opstartsrækkefølge, med angivelse af hvor nøglen og kontiene findes |
| Kontrol | En reel forretningshandling: »sekretæren udsteder en testfaktura« |
| Tilbageførsel | Hvordan man vender tilbage til det oprindelige miljø uden at miste de data, der er indtastet i nødmiljøet |
| Kommunikation | Hvem informerer medarbejdere, kunder og forsikringsselskab |
Hvis proceduren ikke kan være på to til fem sider, bliver den ikke fulgt kl. 22.
Trin 6. Test
Mindst én gang om året og desuden efter hvert serverskift. NIST foreskriver en årlig test af genopretningskapaciteten og teamene; CNIL kræver, at man regelmæssigt tester anvendelsen af planen. Testrapporten daterer DRP’en. Uden dato er planen forældet. Se Hvordan tester man en DRP?.
Typiske fejl i SMV’er
- En DRP skrevet af en leverandør og aldrig gennemgået internt.
- Tilbageførslen er glemt: man ved, hvordan man skifter til nødmiljøet, men ikke hvordan man kommer tilbage.
- E-mail hostet i Microsoft 365 er udeladt af planen, selvom ingen længere skriver på filserveren.
- En enkelt adgangskode, gemt i en adgangskodeadministrator, der selv ligger på den server, der skal gendannes.
Hos WeDoBack
Den outsourcede DRP leverer genopretningsstedet: serverne genstartes på nødinstanser ud fra den valgte backupversion med offentlige IP-adresser (0,54 € ekskl. moms pr. måned), hvis tjenester er eksponeret. Opbygningen af planen (trin 1, 2 og 5) er fortsat kundens ansvar. Supporten kan hjælpe med den tekniske implementering: 45 € ekskl. moms pr. time for en udrulning, to timer om måneden inkluderet med INTEGRAL. Den inkluderede månedlige test kontrollerer instansernes opstart. Den erstatter ikke trin 6, der udføres med en forretningsbruger; en test under reelle forhold, på op til ti timer, tilbydes efter tilbud. Krypteringsnøglen forbliver hos kunden: den skal fremgå af proceduren.
Ofte stillede spørgsmål
Hvor lang tid tager det at opbygge en DRP for en SMV?
For to eller tre servere skal man regne med nogle halve dage fordelt over et par uger: en times afklaring med ledelsen, udarbejdelse af proceduren, teknisk forberedelse og derefter en første test. Det, der tager længst tid, er ofte at rette det, som den første test afslører.
Kan man overlade udarbejdelsen af DRP’en til en leverandør?
Leverandøren kan skrive den tekniske del, men ledelsen skal fastlægge prioriteterne og de acceptable frister, og det interne team skal gennemgå dokumentet og tage ejerskab for det. SGDSN, den franske myndighed for national sikkerhed, anbefaler at lade dokumenterne kontrollere, helst af en tredjepart, og derefter afprøve dem gennem test og øvelser.
Skal Microsoft 365 eller Google Workspace med i DRP’en?
Ja, hvis e-mail og delte filer ligger der. Leverandørens tjeneste forbliver tilgængelig, hvis jeres servere går ned, men en sletning eller en kompromitteret konto kræver en separat backup og en gendannelsesprocedure.
Læs mere
Kilder
Dokumenter gennemgået i oktober 2026.
- SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
- Vejledning i udarbejdelse af en forretningskontinuitetsplan (2013-udgaven, på fransk) — SGDSN (Frankrig)
- Backup af informationssystemer – Grundprincipperne (ANSSI-BP-100, v1.1, 27. november 2025, på fransk) — ANSSI (fransk agentur)
- Praktisk GDPR-vejledning – Sikkerhed for personoplysninger (2024-udgaven, på fransk) — CNIL (fransk myndighed)
- Tilbuddet DRP: genopretning af driften efter en katastrofe — WeDoBack
Et projekt inden for backup, DRP eller BCP?
Mere end 20 års erfaring med beskyttelse af virksomheders data.
Anmod om et tilbud+33 9 72 50 78 28Beskyt dine data med WeDoBack
Krypteret offsite-backup, uforanderlig lagring, DRP og BCP: Fortæl os om dine servere, så foreslår vi den rette kombination.