"In veel gevallen beschikken bedrijven over back-ups, maar hebben ze nooit eerder geprobeerd om hun netwerk vanaf back-ups te herstellen, en hebben dus geen idee hoelang het duurt", aldus Wosar tegenover it-journalist Brian Krebs. "Opeens ziet het slachtoffer dat ze petabytes aan data via het internet moeten herstellen, en beseffen ze dat zelfs met hun snelle verbinding het drie maanden gaat duren om alle back-upbestanden te downloaden."

Een ander veelvoorkomend probleem is dat bedrijven wel over off-site, versleutelde back-ups beschikken, maar de decryptiesleutel op het door ransomware getroffen netwerk stond, en daardoor niet meer is te gebruiken.

Door Anoniem: Wat is hier aan de hand? Is ons denken zo versnipperd geraakt door smartphones, sociale media, direct bereikbaar moeten zijn etc. dat we massaal niet meer in staat zijn om scenario's door te nemen om te zien wat ermee mis kan gaan? Of passen we ICT inmiddels zo grootschalig toe dat er domweg niet meer genoeg mensen beschikbaar zijn die het benodigde denkniveau aankunnen?

Door Anoniem: Dat is iets waar ik als particulier aan gedacht heb toen ik ooit overwoog of cloud-backups iets voor me waren. Op basis van een simpele speedtest-uitkomst en de omvang van de data (veel foto's in raw-formaat) constateerde ik dat ik in het gunstigste geval twee weken aan het downloaden zou zijn. Cloud-backups waren meteen geen optie meer voor me. Kennelijk zijn er bedrijven met petabytes aan data wiens ICT-mensen allemaal niet op het idee komen dat rekensommetje te maken. Ik vind dat ernstig.

Door Anoniem: Dat is iets waar ik als particulier aan gedacht heb toen ik ooit overwoog of cloud-backups iets voor me waren. Op basis van een simpele speedtest-uitkomst en de omvang van de data (veel foto's in raw-formaat) constateerde ik dat ik in het gunstigste geval twee weken aan het downloaden zou zijn. Cloud-backups waren meteen geen optie meer voor me. Kennelijk zijn er bedrijven met petabytes aan data wiens ICT-mensen allemaal niet op het idee komen dat rekensommetje te maken. Ik vind dat ernstig.

Door Anoniem:
Het grote verschil tussen jouw thuisorganisatie en een (grote) bedrijfsmatige omgeving, is overzicht over het geheel. Jij weet thuis precies wat je hebt en kan integraal naar een probleem kijken. In de meeste grote bedrijven is dat helaas niet zo georganiseerd. Die hebben weinig integraal beeld is op de situatie.

Budgetten en verantwoordelijkheden zijn niet centraal belegd, maar liggen bij vele verschillende afdelingen. Systemen wordt projectmatig (of Agile) gebouwd en doorontwikkeld en niemand kijkt integraal naar het IT landschap.

Door Anoniem:
En ook dat is ernstig. Het is basale logica dat een backup terugzetten typisch gebeurt omdat je het origineel niet meer tot je beschikking hebt, en dat het vermogen om backups terug te zetten dus nooit van zijn leven afhankelijk mag zijn van dat origineel. Dit is zoiets als jezelf in een hoek schilderen, of de tak waarop je zit afzagen tussen jezelf en de stam.

Afgemeten naar wat nodig is om ICT in goede banen te leiden is dit allebei ronduit dom te noemen.

Ander veel voorkomend probleem is dat recovery nooit getest wordt.

Door Anoniem: Dit heb ik inderdaad zelf in ons bedrijf voor eigen ogen zien gebeuren. Ooit hadden we alles in eigen beheer, [...] toen kwam het moderne management wat alles "in de cloud" wilde [...] en nu weet er niemand meer hoe het hele systeem in elkaar zit en wat eventueel de impact zou kunnen zijn van malware, dataverlies, wat er precies gebackupped wordt en hoe lang, enz enz.

Door Anoniem: Tja het grappige is natuurlijk dat dit een direct gevolg is van de drang om alles maar te encrypten.

Door Anoniem: Het trieste is dat degene op wie je antwoordde dat kennelijk vanzelf vindt spreken. Die beseft kennelijk niet hoeveel beter het wel degelijk kan.

Nee, het is het gevolg van niet nadenken bij wat men doet en niet begrijpen van waar men mee bezig is.

Je kan namelijk heel goed bedenken dat een encryptiesleutel net zo belangrijk is als alle gegevens die je alleen met die sleutel kan benaderen bij elkaar, zonder die sleutel ben je die gegevens immers kwijt. Je kan bedenken dat de situatie kan ontstaan dat je versleutelde backup alles is wat je nog hebt aan gegevens, dat is immers een van de redenen voor je backups. Je kan dan ook bedenken dat de encryptiesleutel van je backup, als de backup alles is wat je nog hebt, net zo belangrijk is als al je gegevens en dus beschikbaar moet zijn. En je kan bedenken dat die niet beschikbaar is als je alleen kopieën van de sleutel hebt die met zichzelf versleuteld zijn, en dus dat je bij het ontsleutelen een kopie nodig hebt die niet met zichzelf versleuteld is, want dan kan je niet bij de sleutel die je zo hard nodig hebt. Je moet dus over een kopie van je backupsleutel beschikken buiten de versleutelde backup om.

De logica die ik net heb opgeschreven is makkelijk genoeg om in een paar zinnen te noteren. Die bedenk je als je nadenkt over wat er mis kan gaan. En als je dat bedenkt dan kan je vervolgens nadenken over hoe je regelt dat die sleutel beschikbaar blijft. En je kan je erover laten adviseren.

Dit nadenken impliceert dat men binnen een organisatie voldoende moet begrijpen van de toegepaste technologie om die goed te kunnen gebruiken. Als je zoiets als encryptie van backups beschouwt als een vinkje dat je kan aanzetten waarmee dan op magische wijze alle risico's zijn ondervangen dan sla je iets heel belangrijks over. Je hoeft als automobilist niet te weten hoe het precies werkt onder de motorkap, maar je moet wel weten dat daar een motor zit en wat die doet voor je auto, net zoals je die kennis over het stuur en de remmen nodig hebt. Autorijden zonder dat basisbegrip is een recept voor ongelukken. Voor ICT-systemen en -infrastructuur geldt dat ook. Zelfs als je dat uitbesteedt kan je dat niet kennisloos doen, net zo goed als je nog steeds moet begrijpen hoe een auto werkt als je voor een leaseauto kiest. Zelfs als je openbaar vervoer neemt moet je er voldoende van weten om op je bestemming te kunnen aankomen. Het gaat niet zonder basiskennis en -begrip.

Wie het soort dingen waarvan ik opschreef dat je ze kan bedenken niet weet te bedenken, als dat nadenken niet lukt, dan ontbreekt het diegene kennelijk aan dat basisbegrip. Dan is de vraag niet meer of er ongelukken gebeuren maar wanneer ze gebeuren, want dan snapt men domweg niet voldoende waar me mee bezig is.

Het artikel, en de reacties erop, geven me de indruk dat de stand van zaken inderdaad zo abominabel slecht is in veel organisaties.