Belangrijkste punten
- Voor organisaties in gereguleerde omgevingen is de volwassenheid van de governance een betrouwbaarder beoordelingscriterium dan opslagcapaciteit of functielijsten alleen.
- Een compliancegerichte back-up moet configureerbare bewaarbeleidsregels, onveranderlijke back-upopslag en functies ondersteunen die voldoen aan eDiscovery-eisen binnen workflows in alle ondersteunde SaaS-applicaties.
- Eisen rond datasoevereiniteit hebben rechtstreeks invloed op de keuze van een platform, omdat opslagregio’s voor back-ups, grensoverschrijdende activiteiten en jurisdictiegebonden toegangscontroles regelgevende gevolgen hebben.
- Beoordeel de back-upgovernance van Microsoft 365 op de diepgang van de dekking per workload en niet op het aantal ondersteunde workloads.
- Compliance op de lange termijn vraagt om doorlopend inzicht in de handhaving van bewaartermijnen, de herstelgereedheid en de auditrapportage binnen de volledige omgeving.
Organisaties in gereguleerde sectoren moeten tegelijkertijd aan meerdere compliance-kaders voldoen. Toch letten veel gereguleerde organisaties bij de keuze van een SaaS backup-platform vooral op opslagcapaciteit, automatisering en de functielijsten van leveranciers.
Bent u op zoek naar een compliancegerichte back-up? Dan helpt deze gids u bij het beoordelen en kiezen van de juiste oplossing die aansluit op de compliance- en datagovernance-eisen van uw organisatie.
Waar let u op bij een compliancegerichte back-up?
Een SaaS backup-platform voor gereguleerde organisaties moet niet alleen herstelbaarheid bieden, maar ook helpen aantonen dat u tijdens compliance- en juridische audits in controle bent. Ga voordat u een back-upoplossing kiest na of het platform het volgende ondersteunt:
- Bewaartermijnen toepassen, automatiseren en handhaven zolang de regelgeving dat vereist
- Relevante gegevens bewaren om verwijdering of wijziging te voorkomen zodra juridische, regelgevende of onderzoeksgerelateerde eisen ontstaan.
- Granulair herstel bieden om specifieke back-upgegevens terug te zetten zonder dat u alles hoeft te herstellen
- Herstelprocessen regelmatig testen en de resultaten vastleggen om de herstelgereedheid aan te tonen en auditvereisten te ondersteunen.
- Rapporten opleveren die auditors laten zien hoe uw back-upcontroles, bewaarbeleidsregels en herstelprocessen bijdragen aan de compliance-eisen.
- Bepalen waar uw gegevens worden opgeslagen en ervoor zorgen dat ze nooit naar niet-goedgekeurde locaties gaan
Samen bepalen deze functies of een platform niet alleen uw hersteldoelstellingen ondersteunt, maar ook uw complianceverplichtingen.
Bewaartermijnen en juridische bewaarplicht beoordelen
Veel organisaties gebruiken SaaS-platformen zoals Google Workspace en Microsoft 365, die elk gevoelige gegevens kunnen bevatten die onder verschillende bewaarregels vallen.
Zodra een incident tot een onderzoek leidt, zoeken toezichthouders of juridische teams naar bewijs van wat er is gebeurd, wie toegang had tot uw gegevens en of de bewaarverplichtingen zijn nageleefd op elk SaaS-platform in uw omgeving.
Dit zijn de functies die uw compliancepositie ondersteunen:
| Functie | Wat het inhoudt | Waarom het belangrijk is |
| Configureerbare bewaarbeleidsregels | Het platform past de juiste bewaarregels toe op de gekoppelde SaaS-applicatie. | Inconsistente bewaartermijnen tussen platformen veroorzaken een compliancekloof die de volledige omgeving kan blootstellen. |
| Onveranderlijke opslag | Onveranderlijkheid helpt voorkomen dat back-upgegevens tijdens een vastgestelde bewaartermijn worden gewijzigd of verwijderd. | Het behoud van de integriteit van back-ups zorgt voor betrouwbare historische gegevens voor audits, onderzoeken en herstelwerkzaamheden. |
| eDiscovery-workflows | De mogelijkheid om relevante gegevens te zoeken, te bewaren en op te halen voor juridische, regelgevende of onderzoeksgerelateerde verzoeken. | Zonder deze mogelijkheid verloopt het beantwoorden van juridische verzoeken traag, omdat u handmatig door de hele omgeving moet zoeken. |
| Doorzoekbare historische gegevens | Back-upgegevens zijn doorzoekbaar in een centrale opslagplaats en kunnen granulair worden hersteld. | Snelheid telt bij juridische en auditdeadlines en niet-doorzoekbare back-ups zijn onbetrouwbaar wanneer de druk hoog is. |
| Auditklare rapportage | Geautomatiseerde rapportage geeft inzicht in back-upactiviteiten, bewaarbeleidsregels en herstelwerkzaamheden. | Met deze rapporten kunnen organisaties bewijs leveren voor audits en compliancebeoordelingen zonder gegevens handmatig te verzamelen. |
In gereguleerde omgevingen helpen deze functies u audits en onderzoeken soepel te doorstaan in plaats van er halsoverkop doorheen te moeten.
Datasoevereiniteit van compliancegerichte back-ups beoordelen
Naarmate SaaS-ecosystemen wereldwijd groeien, stapelen de uitdagingen rond datasoevereiniteit in uw omgeving zich op. Gegevens die in de EU worden gegenereerd, in de VS worden verwerkt en in een andere regio in back-up worden opgeslagen kunnen bijvoorbeeld problemen opleveren onder de GDPR, lokale wetgeving rond dataresidentie en sectorspecifieke regelgeving wanneer de geldende eisen niet worden afgedekt.
Het SaaS backup-platform dat u kiest kan u dus helpen te voldoen aan eisen rond datasoevereiniteit en regionale governance, maar het kan ook compliancerisico’s veroorzaken wanneer die eisen niet goed worden afgedekt.
Opslagregio’s voor back-ups
SaaS backups slaan gegevens doorgaans op in zeer goed beveiligde externe clouddatacenters of in secundaire publieke clouds. Geldt er voor uw organisatie een eis rond dataresidentie? Dan moet u kunnen bepalen in welke regio’s uw serviceprovider back-upgegevens opslaat.
Zo weet u zeker dat uw back-upgegevens niet buiten de goedgekeurde grenzen worden gerepliceerd.
Grensoverschrijdend herstel
Zelfs wanneer het SaaS backup-platform van uw keuze uw gegevens in de juiste regio opslaat kan de herstelworkflow van uw serviceprovider die gegevens via niet-goedgekeurde locaties leiden, waardoor u tijdelijk met onvoorziene juridische verplichtingen te maken krijgt.
Het is daarom belangrijk dat u precies weet hoe gegevens zich tijdens een herstelactie verplaatsen en niet alleen waar ze zijn opgeslagen.
Aansluiting op regionale regelgeving
De architectuur en contractuele toezeggingen van het gekozen platform moeten aansluiten op de specifieke regelgevende kaders die voor uw organisatie gelden. Een platform dat brede compliance claimt zonder expliciet te benoemen welke jurisdictiegebonden controles het biedt laat u in het ongewisse over de precieze dekking.
Jurisdictiegebonden governancecontroles
Sommige kaders stellen strenge eisen aan grensoverschrijdende toegang tot gegevens, vooral wanneer die toegang plaatsvindt zonder passende autorisatie of controles. Zo bepaalt artikel 28 van de GDPR dat een derde partij die uw gegevens verwerkt dat uitsluitend mag doen volgens uw gedocumenteerde instructies, waardoor ongeoorloofde toegang een directe overtreding vormt.
Naast de vraag waar uw gegevens staan en wie er toegang toe heeft valt hieronder ook of het team van uw serviceprovider gegevens buiten uw jurisdictie kan benaderen.
Back-upgovernance van Microsoft 365 beoordelen
Wereldwijd vertrouwen ruim 3,7 miljoen bedrijven op Microsoft 365, waarvan er ongeveer een miljoen in de Verenigde Staten zitten. Elk van de kernapplicaties van Microsoft 365, zoals SharePoint en Exchange Online, vervult een eigen functie met eigen complianceverplichtingen rond bewaring en herstelbaarheid.
Beoordeel de mogelijkheden van Microsoft 365 backup niet op het aantal workloads dat een platform aankan, maar op hoe diepgaand het elke workload bestuurt.
Bewaartermijnen in Exchange Online
Voor gereguleerde organisaties is het belangrijk om nauwkeurig te kunnen bepalen hoelang verschillende e-mailcategorieën worden bewaard. Bovendien is het essentieel dat bewaarregels op verschillende niveaus kunnen worden toegepast of dat nu op gebruikers-, groeps- of beleidsniveau is, en dat verwijderingen worden vastgelegd om aan de complianceverplichtingen te voldoen.
Bewaring in SharePoint
Documenten in SharePoint gelden binnen regelgevende kaders vaak als formele registraties. Dat betekent dat bewaring doorlopend en versiebewust moet zijn, in lijn met bewaarbeleidsregels die passen bij de gevoeligheid van de inhoud.
Herstel van Teams
Teams-gegevens, waaronder gesprekken, kanalen, bestanden en vergaderopnames, worden verspreid over meerdere services opgeslagen. Een back-upplatform moet kunnen aantonen dat het Teams-gegevens granulair en volledig kan herstellen met behoud van context en structuur.
Bewaring in OneDrive
OneDrive bevat vaak bedrijfskritische en door gebruikers gemaakte content die onder bewaar-, juridische en regelgevende eisen kan vallen. Back-ups moeten granulair herstel, versiebehoud en handhaving van bewaarbeleid ondersteunen en tegelijk inzicht geven in gegevens van gebruikers en bijdragen aan de complianceverplichtingen.
Orkestratie van herstel
In gereguleerde omgevingen moeten organisaties herstelworkflows vastleggen, testen en uitvoeren zoals de geldende compliance-kaders voorschrijven. Een platform dat uw gegevens wel kan herstellen maar dat niet kan aantonen met gestructureerde tests en rapporten maakt het lastiger om compliance aan te tonen.
Waar u op moet letten
Veel organisaties in streng gereguleerde omgevingen ontdekken de tekortkomingen van hun SaaS backup-platform pas wanneer die als auditbevindingen naar boven komen. De volgende valkuilen komen vaak voor en zijn te vermijden, maar ze zijn duur zodra u ze pas in productie ontdekt.
| Risico’s | Mogelijke gevolgen | Aanbevolen acties |
| Opslagcapaciteit laten voorgaan op inzicht in governance | Met ruime opslag maar zwakke governancecontroles wordt het lastig om compliance aan te tonen. | Verschuif uw beoordelingscriteria van functiedekking naar de volwassenheid van de governance rond bewaring, toegang, preservering en operationele controles. |
| Eisen rond datasoevereiniteit negeren | Back-upgegevens die in niet-goedgekeurde jurisdicties worden opgeslagen of benaderd kunnen tot regelgevende risico’s leiden. | Breng de jurisdictiegebonden verplichtingen in kaart voordat u een leverancier kiest en eis expliciete garanties over dataresidentie. |
| Juridische bewaareisen over het hoofd zien | Zonder gestructureerde legal hold-functies verloopt het reageren op onderzoeken handmatig en foutgevoelig. | Beoordeel of legal hold- en eDiscovery-functies voldoende worden ondersteund. |
| Redundantie bij de provider gelijkstellen aan volledige compliancegovernance | Redundantie garandeert geen correcte bewaartermijnen, onveranderlijkheid of goede compliancegovernance. | Beschouw beschikbaarheid en verantwoording als afzonderlijke beoordelingscriteria, want u moet toetsen of een leverancier beide waarmaakt. |
| De eDiscovery-gereedheid niet valideren | Een platform dat niet naar specifieke gegevens kan zoeken dwingt u tot een dure, tijdrovende handmatige zoektocht. | Test eDiscovery-functies tijdens de leveranciersbeoordeling en vraag om een live demonstratie over meerdere workloads voordat u beslist. |
Beoordeel de governancefuncties van compliancegerichte back-ups
Als u uw keuze voor een SaaS backup alleen baseert op functielijsten of opslagcapaciteit, komt u mogelijk uit bij een platform dat het goed doet in demonstraties maar onvoldoende aansluit op audit- en compliance-eisen. Neem ook governancefuncties, inzicht in bewaartermijnen, legal hold en datasoevereiniteit op in uw beoordelingscriteria. Zo verbetert u uw auditgereedheid en bedrijfscontinuïteit.
NinjaOne SaaS Backup is ontworpen voor gereguleerde omgevingen met strenge eisen op het gebied van datagovernance en beveiliging. Het helpt gegevens te beschermen met 256-bits AES-encryptie, MFA en op rollen gebaseerde toegangscontrole en biedt functies zoals archivering, bewaarbeleidsregels, legal hold, eDiscovery en audittrails die bijdragen aan uw compliance- en governance-eisen.
Gerelateerde onderwerpen:
