Drie vangnetten, drie ongelukken
Men zegt “er is een back-up” voor heel verschillende mechanismen. Elk vangt een bepaald soort ongeluk op, met een persoon die handelt en een grens.
| Vangnet | Wie handelt | Wat het opvangt | De grens |
|---|
| Prullenbak en herstelmap | De gebruiker, in zijn mailbox | Een recente vergissing | Korte duur, en niets als de mailbox zelf verwijderd of gecompromitteerd is |
| Back-up van de dienst | De beheerder van de dienst, op verzoek | Het terugzetten van een bericht, een map of een mailbox naar een eerdere toestand | De bewaartermijn, en het interval tussen twee back-ups |
| Uitwijk van het platform | De beheerder van de dienst, zonder verzoek | De storing: de post blijft binnenkomen of komt weer binnen | Brengt geen gewist bericht terug |
De kopie die de softwareleverancier of de hostingprovider voor zijn eigen beschikbaarheid bijhoudt, op meerdere schijven of meerdere servers, hoort bij het derde vangnet. Ze beschermt tegen een hardwarestoring. Ze beschermt niet tegen een verwijdering: een gewist bericht verdwijnt meteen op alle replica’s. Dat is de meest voorkomende verwarring tussen redundantie en back-up.
Brengt een back-up een verwijderd bericht terug?
Ja, binnen drie grenzen.
- De bewaartermijn. Met een retentie van 30 dagen zit een bericht dat zes weken geleden is gewist in geen enkele back-up meer. Als de verwijdering pas bij de jaarafsluiting wordt ontdekt, komt de back-up te laat.
- Het herstelpunt. Een back-up is een momentopname. Een bericht dat om 10.05 uur binnenkwam en om 10.40 uur werd gewist, vóór de volgende back-up, is nooit vastgelegd. Hoe dichter de back-ups op elkaar volgen, hoe kleiner dit venster; het is nooit nul.
- Het gebruik. Een back-up dient om terug te gaan in de tijd. Ze vervangt geen archivering van meerdere jaren, die berichten bewaart om ze te kunnen voorleggen, met eigen regels voor duur en toegang.
Opzettelijke verwijdering verdient bijzondere aandacht. Een ontevreden medewerker die zijn mailbox leegmaakt, of een aanvaller die een beheerdersaccount heeft overgenomen, kan de berichten wissen en proberen ook de back-ups te wissen. Vandaar het belang van een back-up die niemand kan wijzigen tijdens de bewaartermijn, ook geen beheerder van de e-mailomgeving. De gids van het ANSSI over back-ups beveelt aan de back-upservers af te schermen binnen het beheersysteem, en raadt aan het onveranderlijkheidsmechanisme van een WORM-achtige oplossing te onderzoeken in plaats van op het woord te vertrouwen.
Onafhankelijk van de server: wat dat betekent
Een onafhankelijke back-up staat buiten de e-mailomgeving die ze beschermt. Concreet:
- ze wordt opgeslagen op een ander systeem, en bij voorkeur op een andere locatie, zodat een incident in de serverruimte haar niet meeneemt;
- de inloggegevens waarmee de e-mailomgeving wordt beheerd, volstaan niet om haar te verwijderen;
- ze is versleuteld, zodat de kopie geen tweede toegangsdeur tot de berichten wordt;
- ze wordt getest. Het ANSSI zegt het eenvoudig: back-ups moeten regelmatig worden getest. Een back-up die nooit is teruggezet, blijft een veronderstelling.
Dezelfde gids beveelt de “3-2-1”-regel aan, die begint met drie afzonderlijke kopieën van de gegevens, en definieert een offline back-up als een back-up op een drager die van elk informatiesysteem is losgekoppeld. Deze begrippen gelden voor e-mail net zo goed als voor bestanden; de uitwerking voor documenten staat in versiebeheer, replicatie en back-up.
Voorbeeld. In een kantoor van 25 personen (fictief geval) verwijdert een medewerker per ongeluk de map van een klant, leegt de prullenbak, en merkt het pas de maandag daarop. De herstelmap bevat niets bruikbaars meer. De back-up van de vrijdag ervoor bevat de map wel. De beheerder zet ze terug in de mailbox; alleen de berichten die tussen twee back-ups zijn binnengekomen en gewist, ontbreken.
Wanneer de server uitvalt
E-mail verdraagt korte storingen goed. Een verzendende server die de uwe niet bereikt, of die een tijdelijke fout ontvangt, houdt het bericht in een wachtrij en probeert opnieuw. Zolang de storing korter duurt dan de termijn waarna de afzender opgeeft, die doorgaans in dagen wordt geteld, gaat er niets verloren: de post komt binnen zodra de dienst terug is. De gids e-mail migreren zonder onderbreking beschrijft dit mechanisme in detail. Een filtergateway vóór de e-mailserver speelt dezelfde rol: ze houdt het aanvaarde bericht vast tot de server antwoordt.
Wat de gebruikers zien, is iets anders: geen webmail meer, telefoons die niet meer synchroniseren, verzenden onmogelijk. Die duur meet de eerste indicator.
RTO (maximaal aanvaardbare onderbrekingsduur): de beoogde tijd om de dienst weer in werking te stellen. RPO (maximaal aanvaardbaar gegevensverlies): de hoeveelheid gegevens, uitgedrukt in tijd, die u bereid bent te verliezen als de opslag vanaf de laatste back-up moet worden heropgebouwd.
De RPO heeft geen betrekking op de post die bij de afzenders wacht: die komt binnen zodra de dienst terug is. Hij betreft de berichten die al in de mailboxen zijn afgeleverd, en de handelingen van de gebruikers sinds de laatste back-up, voor het geval de opslag zelf verloren gaat. Een RPO van minder dan 2 uur betekent dat hoogstens twee uur van die geschiedenis opnieuw moet worden samengesteld. Het zijn doelstellingen: vraag hoe ze worden gemeten en getest.
Van server wisselen zonder van domein te veranderen
Een langdurige storing, het einde van een contract of de overname van de leverancier kan u dwingen van e-mailoplossing te veranderen. Uw domein en uw adressen veranderen niet: het MX-record wijst het nieuwe platform aan. De werkwijze, met de coëxistentie, de kopieerrondes en de samenhang van SPF, DKIM en DMARC, wordt beschreven in e-mail migreren zonder onderbreking. Ze wordt hier niet herhaald.
Veelgestelde vragen
Vervangt redundantie de back-up?
Nee. Redundantie kopieert ook de verwijderingen. Ze beschermt tegen een hardwarestoring, niet tegen een vergissing of een opzettelijke verwijdering.
Gaat een bericht dat tijdens een storing binnenkomt verloren?
Doorgaans niet: de afzender houdt het bij en probeert opnieuw. Het gaat alleen verloren als het definitief wordt geweigerd, of als de storing langer duurt dan de termijn waarna de afzender opgeeft.
Volstaan dertig dagen back-up?
Om na een vergissing terug te gaan, vaak wel. Om berichten meerdere jaren te bewaren, niet: dat is de rol van archivering. Zie berichten archiveren.
Moet een aanval op een mailbox snel worden ontdekt?
Ja, want de retentietermijn loopt. De bescherming vooraf is de taak van de filtergateway; zie de e-mailomgeving beschermen die u al hebt.
Waar Klytic staat
Voor Klytic Mail bestaan de drie vangnetten en ze zijn van elkaar gescheiden.
- Aan de kant van de gebruiker kunt u met de map Verwijderde items zelf, kosteloos, verwijderde berichten terughalen.
- Aan de kant van de dienst wordt de e-mailomgeving elk uur geback-upt. De back-ups zijn versleuteld, worden 30 dagen bewaard, gerepliceerd op meerdere locaties en zijn onveranderlijk: een geschreven back-up kan niet meer worden gewijzigd of verwijderd. Ze worden continu gemonitord en het terugzetten wordt elke maand getest. Klytic steunt hiervoor op de diensten van WeDoBack, beschreven op de pagina Beveiliging & back-up.
- Aan de kant van het platform zijn de gepubliceerde doelstellingen een herstel van de dienst binnen 4 uur (RTO) en hoogstens 2 uur gegevensverlies (RPO). Klytic MTA, dat vóór de e-mailserver staat, bewaart een bericht tijdelijk en versleuteld wanneer de ontvangende server onbeschikbaar is.
Het herstel van een bericht, een map of een mailbox vraagt u aan bij de support, met vermelding van het betrokken element en de geschatte datum. Het is inbegrepen bij een storing van de dienst, bij opzettelijke verwijdering door een medewerker of bij een account dat te vroeg is verwijderd bij een vertrek (tot 3 verzoeken per maand), of bij een aanval ondanks correct beveiligde werkstations. Na een onopzettelijke verwijdering, een verkeerde handeling, of als de werkstations onvoldoende beveiligd waren, gebeurt het via een betaald supportticket. De map Verwijderde items, kosteloos, blijft het eerste redmiddel. De handeling wordt beschreven in een bericht of een mailbox herstellen.
Wat het aanbod niet dekt: herstel in selfservice door de gebruiker buiten de map Verwijderde items, en bewaring langer dan 30 dagen via de back-up. Om berichten meerdere jaren te bewaren, is wettelijke archivering als optie beschikbaar.
Deze pagina beschrijft een algemeen kader. De toepasselijke toezeggingen zijn die van uw contract.
Bronnen
Geraadpleegd in oktober 2026.
- ANSSI, “Sauvegarde des systèmes d’information : les fondamentaux” (Back-up van informatiesystemen: de basisprincipes), versie 1.1: definitie van de offline back-up, “3-2-1”-regel, regelmatige tests van back-ups, afscherming van back-upservers, onderzoek van het onveranderlijkheidsmechanisme, overeenkomst tussen PDMA en RPO, DMIA en RTO. cyber.gouv.fr
- Klytic, Beveiliging & back-up: frequentie, retentie, versleuteling, replicatie, onveranderlijkheid, maandelijkse tests, beoogde RTO en RPO, herstel van een e-mail, een map of een mailbox. klytic.com
- Klytic, Veelgestelde vragen: back-up per uur behalve telefonie, hersteldoelstellingen, tijdelijke bewaring door Klytic MTA wanneer de ontvangende server onbeschikbaar is. klytic.com
- Klytic, E-mail migreren zonder onderbreking: wachtrij van de afzenders bij een tijdelijke fout, rol van het MX-record, coëxistentie. klytic.com
