Tre sikkerhedsnet, tre uheld
Man siger »der er taget backup« om meget forskellige mekanismer. Hver af dem fanger en type uheld, med en person, der handler, og en grænse.
| Sikkerhedsnet | Hvem handler | Hvad det fanger | Grænsen |
|---|
| Papirkurv og gendannelsesmappe | Brugeren i sin postkasse | En nylig fejlbetjening | Kort varighed, og intet, hvis selve postkassen slettes eller kompromitteres |
| Tjenestens backup | Driftsleverandøren efter anmodning | At føre en e-mail, en mappe eller en postkasse tilbage til en tidligere tilstand | Opbevaringsperioden og intervallet mellem to backups |
| Platformens nødløsning | Driftsleverandøren uden anmodning | Nedbruddet: posten bliver ved med at komme eller kommer igen | Bringer ikke en slettet e-mail tilbage |
Den kopi, som softwareleverandøren eller hostingudbyderen beholder af hensyn til sin egen tilgængelighed, på flere diske eller flere servere, hører til det tredje sikkerhedsnet. Den beskytter mod hardwarefejl. Den beskytter ikke mod sletning: en slettet e-mail forsvinder straks fra alle replikaer. Det er den hyppigste forveksling mellem redundans og backup.
Bringer en backup en slettet e-mail tilbage?
Ja, inden for tre grænser.
- Opbevaringsperioden. Med en opbevaring på 30 dage findes en e-mail, der blev slettet for seks uger siden, ikke længere i nogen backup. Opdages sletningen først ved årsafslutningen, kommer backuppen for sent.
- Gendannelsestidspunktet. En backup er et øjebliksbillede. En e-mail, der kom kl. 10.05 og blev slettet kl. 10.40, før den næste backup, er aldrig blevet fotograferet. Jo tættere backupperne ligger, jo mindre bliver dette vindue; det er aldrig nul.
- Formålet. En backup bruges til at gå tilbage i tiden. Den erstatter ikke en arkivering over flere år, som opbevarer e-mails for at kunne fremlægge dem, med sine egne regler for varighed og adgang.
Bevidst sletning fortjener særlig opmærksomhed. En utilfreds medarbejder, der tømmer sin postkasse, eller en angriber, der har overtaget en administratorkonto, kan slette e-mails og forsøge også at slette backupperne. Derfor er det værdifuldt med en backup, som ingen kan ændre i sin opbevaringsperiode, heller ikke en administrator af e-mailsystemet. ANSSI’s vejledning om backup anbefaler at adskille backupserverne inden for administrationssystemet og opfordrer til at undersøge selve uforanderlighedsmekanismen i en løsning af WORM-typen i stedet for at stole på ordet.
Uafhængig af serveren: hvad det betyder
En uafhængig backup lever uden for det e-mailsystem, den beskytter. Konkret:
- den lagres på et andet system og helst på en anden lokation, så en hændelse i serverrummet ikke tager den med;
- de loginoplysninger, der administrerer e-mailsystemet, er ikke nok til at slette den;
- den er krypteret, så kopien ikke bliver en ekstra indgang til e-mailene;
- den bliver testet. ANSSI siger det enkelt: backups skal testes regelmæssigt. En backup, der aldrig er blevet gendannet, er fortsat en antagelse.
Samme vejledning anbefaler 3-2-1-reglen, der begynder med tre adskilte kopier af data, og definerer offline backup som backup på et medie, der er frakoblet ethvert informationssystem. Disse begreber gælder for e-mail som for filer; hvordan de anvendes på dokumenter, står i versionering, replikering og backup af dokumenter.
Eksempel. I en rådgivningsvirksomhed med 25 ansatte (et tænkt tilfælde) sletter en medarbejder ved en fejl mappen for en kunde, tømmer papirkurven og opdager det først mandagen efter. Gendannelsesmappen indeholder ikke længere noget brugbart. Backuppen fra den foregående fredag indeholder mappen. Driftsleverandøren gendanner den i postkassen; kun de e-mails, der kom og blev slettet mellem to backups, mangler.
Når serveren går ned
E-mail tåler korte nedbrud godt. En afsenderserver, der ikke kan nå jeres, eller som får en midlertidig fejl, beholder e-mailen i kø og prøver igen. Så længe nedbruddet varer kortere end den frist, hvorefter afsenderen giver op, og som normalt tælles i dage, går intet tabt: posten kommer, når tjenesten er tilbage. Guiden migrér et e-mailsystem uden afbrydelse beskriver denne mekanisme. En filtreringsgateway foran e-mailsystemet spiller samme rolle: den beholder den accepterede e-mail, indtil serveren svarer.
Det, brugerne ser, er noget andet: ingen webmail, telefoner, der ikke længere synkroniserer, afsendelser, der ikke kan gennemføres. Det er denne varighed, den første indikator måler.
RTO (maksimalt acceptabel nedetid): den tid, man sigter efter for at få tjenesten i gang igen. RPO (maksimalt acceptabelt datatab): den mængde data, udtrykt som tid, man accepterer at miste, hvis lagringen skal genopbygges fra den seneste backup.
RPO vedrører ikke den post, der venter hos afsenderne: den kommer, når tjenesten er tilbage. Den vedrører de e-mails, der allerede er leveret i postkasserne, og brugernes handlinger siden den seneste backup, hvis selve lagringen skulle gå tabt. En RPO på under 2 timer betyder, at højst to timer af denne historik skulle genskabes. Det er mål: spørg, hvordan de måles og testes.
Skift server uden at skifte domæne
Et langvarigt nedbrud, en kontrakt, der udløber, eller et opkøb af leverandøren kan tvinge jer til at skifte e-mailsystem. Jeres domæne og jeres adresser ændres ikke: det er MX-posten, der udpeger den nye platform. Metoden med sameksistens, kopieringsrunder og sammenhæng i SPF, DKIM og DMARC er beskrevet i migrér et e-mailsystem uden afbrydelse. Den gentages ikke her.
Ofte stillede spørgsmål
Erstatter redundans backup?
Nej. Redundans kopierer også sletninger. Den beskytter mod hardwarefejl, ikke mod en fejl eller en bevidst sletning.
Går en e-mail, der modtages under et nedbrud, tabt?
Som regel ikke: afsenderen beholder den og prøver igen. Den går kun tabt, hvis den afvises endeligt, eller hvis nedbruddet varer længere end afsenderens frist, før den giver op.
Er tredive dages backup nok?
Til at gå tilbage efter en fejl ofte. Til at opbevare e-mails i flere år nej: det er arkiveringens opgave. Se arkivér e-mails i Klytic Mail.
Skal et angreb på en postkasse opdages hurtigt?
Ja, for opbevaringsperioden løber. Beskyttelsen på forhånd ligger hos filtreringsgatewayen; se beskyt det e-mailsystem, I allerede har.
Hvor Klytic står
For Klytic Mail findes alle tre sikkerhedsnet, og de er adskilte.
- Hos brugeren gør containermappen det muligt selv at hente slettede e-mails uden omkostninger.
- I tjenesten tages der backup af e-mailsystemet hver time. Backupperne er krypterede, opbevares i 30 dage, er replikeret på flere lokationer og er uforanderlige: en skrevet backup kan ikke længere ændres eller slettes. De overvåges løbende, og gendannelser testes hver måned. Klytic bruger her WeDoBacks tjenester, som er beskrevet på siden Sikkerhed og backup.
- På platformen er de offentliggjorte mål genetablering af driften på under 4 timer (RTO) og højst 2 timers tabte data (RPO). Placeret foran e-mailsystemet opbevarer Klytic MTA midlertidigt og krypteret en e-mail, hvis modtagerserveren ikke er tilgængelig.
Der anmodes om gendannelse af en e-mail, en mappe eller en postkasse hos supporten med angivelse af det pågældende element og den omtrentlige dato. Den er inkluderet ved fejl i tjenesten, ved en medarbejders bevidste sletning eller en konto, der er slettet for tidligt ved en fratrædelse (højst 3 anmodninger om måneden), eller ved et angreb trods korrekt beskyttede computere. Efter en utilsigtet sletning, en fejlbetjening, eller hvis computerne var utilstrækkeligt beskyttet, håndteres den som en betalt supportsag. Containermappen, der er gratis, er fortsat første mulighed. Fremgangsmåden er beskrevet i gendan en e-mail eller en postkasse.
Det dækker tilbuddet ikke: selvbetjent gendannelse ud over containermappen og opbevaring i mere end 30 dage via backuppen. Til opbevaring af e-mails i flere år tilbydes lovpligtig arkivering som tilvalg.
Denne side beskriver en generel ramme. De gældende forpligtelser er dem i jeres kontrakt.
Kilder
Gennemgået i oktober 2026.
- ANSSI, Sauvegarde des systèmes d’information: les fondamentaux (version 1.1): definition af offline backup, 3-2-1-reglen, regelmæssig test af backups, adskillelse af backupservere, undersøgelse af uforanderlighedsmekanismen, sammenhængen mellem PDMA og RPO samt DMIA og RTO. cyber.gouv.fr
- Klytic, Sikkerhed og backup: hyppighed, opbevaring, kryptering, replikering, uforanderlighed, månedlige test, mål for RTO og RPO, gendannelse af en e-mail, en mappe eller en postkasse. klytic.com
- Klytic, ofte stillede spørgsmål: backup hver time undtagen telefoni, genopretningsmål, midlertidig opbevaring i Klytic MTA, når modtagerserveren ikke er tilgængelig. klytic.com
- Klytic, Migrér et e-mailsystem uden afbrydelse: afsendernes kø ved midlertidig fejl, MX-postens rolle, sameksistens. klytic.com
