Hoe leg je per bedrijfsproces vast hoeveel dataverlies acceptabel is?

Per bedrijfsproces leg je de acceptabele hoeveelheid dataverlies vast in een Recovery Point Objective (RPO): een concrete tijdgrens die aangeeft hoeveel tijd aan data je mag verliezen bij een incident. De RPO verschilt per proces omdat niet elk proces even kritisch is. Een financieel systeem verdraagt nauwelijks dataverlies, terwijl een intern archief met statische documenten een veel ruimere marge heeft. In dit artikel beantwoorden we de belangrijkste vragen rondom het bepalen en vastleggen van de RPO per bedrijfsproces.

Wat is een RPO en waarom verschilt die per bedrijfsproces?

Een Recovery Point Objective (RPO) is de maximale hoeveelheid tijd waarover dataverlies acceptabel is bij een storing, aanval of calamiteit. Als de RPO van een proces vier uur is, betekent dat: bij een incident mag er maximaal vier uur aan data verloren gaan. De RPO verschilt per bedrijfsproces omdat elk proces een andere impact heeft op de bedrijfscontinuïteit, klantrelaties en wettelijke verplichtingen.

Een klantenservicesysteem dat real-time orders verwerkt, heeft een fundamenteel ander risicoprofiel dan een intern kennisdocument dat eens per maand wordt bijgewerkt. Dataverlies bij het eerste kost direct omzet en klantvertrouwen; dataverlies bij het tweede is vervelend maar herstelbaar. Juist die variatie maakt het zinloos om één organisatiebrede RPO te hanteren. Elk proces vraagt om een eigen afweging.

De RPO is nauw verwant aan de Recovery Time Objective (RTO), de maximale tijd die herstel mag duren. Beide waarden vormen samen de basis van een solide databeveiliging en back-upstrategie.

Hoe breng je de kritikaliteit van een bedrijfsproces in kaart?

De kritikaliteit van een bedrijfsproces breng je in kaart door te analyseren welke gevolgen uitval of dataverlies heeft voor de organisatie. Kijk daarbij naar vier dimensies: financiële impact, operationele impact, reputatieschade en wettelijke verplichtingen. Hoe groter de schade in één of meer van deze dimensies, hoe kritischer het proces en hoe lager de RPO moet zijn.

Een praktische aanpak is het opstellen van een procesoverzicht met alle primaire en ondersteunende processen. Vervolgens stel je per proces de volgende vragen:

• Wat gebeurt er als dit proces een uur, een dag of een week uitvalt?
• Welke klanten, medewerkers of systemen zijn direct afhankelijk van dit proces?
• Zijn er wettelijke bewaarplichten of compliance-eisen van toepassing?
• Kan het proces handmatig worden voortgezet als de digitale omgeving uitvalt?

De antwoorden op deze vragen geven een helder beeld van de relatieve kritikaliteit. Processen met hoge financiële impact, veel afhankelijkheden en geen handmatig alternatief verdienen de laagste RPO-waarden. Ondersteunende processen zonder directe klantimpact kunnen een ruimere marge krijgen.

Welke factoren bepalen hoeveel dataverlies acceptabel is?

Hoeveel dataverlies acceptabel is, wordt bepaald door een combinatie van bedrijfsspecifieke, technische en wettelijke factoren. Er is geen universeel antwoord: de acceptabele grens is het resultaat van een bewuste risicoafweging per proces, waarbij kosten van preventie worden afgewogen tegen de kosten van verlies.

De belangrijkste factoren zijn:

• Transactievolume: hoe meer transacties een systeem per uur verwerkt, hoe kostbaarder elk verloren uur aan data is.
• Herstelbaarheid: kan verloren data worden gereconstrueerd uit andere bronnen, zoals e-mails of papieren dossiers?
• Wettelijke vereisten: sommige sectoren, zoals zorg en financiën, hebben strikte regels over databehoud en audittrails.
• Klantafspraken: Service Level Agreements (SLA’s) kunnen minimumvereisten stellen aan beschikbaarheid en dataintegriteit.
• Kosten van back-upfrequentie: een lagere RPO vereist frequentere back-ups, wat hogere technische en financiële investeringen vraagt.

Het is verstandig om de acceptabele grens niet alleen technisch te bepalen, maar ook in overleg met proceseigenaren, de financiële afdeling en eventueel een jurist. Zo krijgt de RPO draagvlak in de hele organisatie.

Hoe leg je de RPO per proces formeel vast?

De RPO per bedrijfsproces leg je formeel vast in een Business Impact Analysis (BIA) of een back-upbeleid, waarbij elke RPO-waarde is gekoppeld aan een specifiek proces, een verantwoordelijke eigenaar en de bijbehorende technische maatregelen. Zonder formele vastlegging blijft de RPO een intentie in plaats van een afdwingbare afspraak.

Effectieve documentatie bevat minimaal de volgende elementen per proces:

1. Procesnaam en omschrijving: wat doet het proces en welke systemen of data zijn betrokken?
2. Proceseigenaar: wie is verantwoordelijk voor dit proces en de bijbehorende data?
3. RPO-waarde: de maximale tijdsduur van acceptabel dataverlies, uitgedrukt in minuten, uren of dagen.
4. Onderbouwing: waarom is deze RPO-waarde gekozen, op basis van welke risico-inschatting?
5. Technische maatregel: welke back-upoplossing of replicatiemethode realiseert deze RPO?
6. Testfrequentie: hoe vaak wordt gecontroleerd of de RPO daadwerkelijk haalbaar is?

Zorg ervoor dat dit document periodiek wordt herzien, bij voorkeur jaarlijks of na grote organisatorische of technische wijzigingen. Een RPO die is vastgesteld in 2022 is mogelijk niet meer passend voor de situatie in 2026.

Wat betekent dit voor je Microsoft 365-omgeving?

Voor je Microsoft 365-omgeving betekent een goed doordachte RPO dat je actief moet nadenken over je back-upstrategie, want Microsoft biedt standaard geen volledige back-upoplossing. Microsoft zorgt voor de beschikbaarheid van de infrastructuur, maar de verantwoordelijkheid voor het herstellen van per ongeluk verwijderde of overschreven data ligt bij de organisatie zelf. Dit principe heet het gedeelde verantwoordelijkheidsmodel.

Binnen Microsoft 365 zijn er beperkingen aan de standaard retentieperiodes. Verwijderde bestanden in OneDrive of SharePoint zijn standaard 93 dagen herstelbaar. E-mails in Exchange Online zijn beperkt herstelbaar via de prullenbak. Als jouw RPO voor kritische processen lager is dan wat de standaardinstellingen bieden, of als je langer terug wilt kunnen gaan, heb je aanvullende maatregelen nodig.

Denk daarbij aan:

• Een externe back-upoplossing die Microsoft 365-data onafhankelijk opslaat en herstel tot op een specifiek tijdstip mogelijk maakt.
• Retentiebeleid via Microsoft Purview om data langer te bewaren voor compliance-doeleinden.
• Regelmatige hersteltests om te verifiëren dat de RPO-waarden ook in de praktijk haalbaar zijn.

Het koppelen van je RPO-document aan concrete technische instellingen in Microsoft 365 is de stap die theorie omzet in daadwerkelijke bescherming.

Hoe Puur ICT helpt bij het bepalen en vastleggen van je RPO

Het bepalen van een passende RPO per bedrijfsproces vraagt om technische kennis, inzicht in je bedrijfsvoering en een praktische aanpak. Puur ICT helpt organisaties om dit proces gestructureerd en concreet aan te pakken, zonder eindeloze documentatietrajecten. Wat we daarvoor doen:

• Procesanalyse: samen met jou brengen we de kritieke bedrijfsprocessen in kaart en bepalen we per proces de risico’s en afhankelijkheden.
• RPO-advies op maat: op basis van de analyse adviseren we concrete RPO-waarden die passen bij jouw organisatie, sector en wettelijke verplichtingen.
• Technische implementatie: we vertalen de RPO-waarden naar de juiste instellingen en back-upoplossingen binnen je Microsoft 365-omgeving.
• Beleidsdocumentatie: we helpen bij het formeel vastleggen van het back-upbeleid, zodat RPO-afspraken afdwingbaar en toetsbaar zijn.
• Periodieke controle: via onze security monitoring houden we in de gaten of je omgeving voldoet aan de afgesproken beschermingsniveaus.

Wil je weten hoe jouw Microsoft 365-omgeving er nu voor staat op het gebied van databeveiliging en back-upbeleid? Neem contact op met Puur ICT voor een vrijblijvend gesprek, of start direct met een Microsoft 365 Security Scan.

Gerelateerde artikelen

• Hoe weet je zeker dat je bedrijfsdata veilig is opgeslagen en snel terug te zetten na een incident?
• Waarom zijn phishingaanvallen zo moeilijk te stoppen en wat kun je daaraan doen?
• Hoe zet je automatische back-ups in voor Exchange, SharePoint en OneDrive?
• Wat houdt de meldplicht bij een cyberincident onder NIS2 in?
• Hoe ziet een Microsoft 365-migratietraject eruit van begin tot livegang?