Hvernig virkar afritun gagna fyrir fyrirtæki

Efnisyfirlit

• Hvað er afritun gagna og hvers vegna fyrirtæki þurfa hana
• 3-2-1 reglan um afritun: Grundvallarrammi fyrir öryggi
  • Hvers vegna 3-2-1 virkar, og hvar hún bregst
  • Útfærsla gegn lausnarhugbúnaði: óbreytanleg afrit og aftengdar geymslur
• Tíðni afritunar gagna: Hversu oft ætti að taka afrit
  • RPO: Hversu mörg gögn má týna?
  • RTO: Hversu lengi má kerfið vera niðri?
  • Hvernig velurðu tíðni út frá rekstraráhættu?
  • Hagnýt skref til að velja tíðni
• Afritun gagna í skýið: Kostir og útfærslumöguleikar
• Prófun á öryggisafritum: Tryggja endurheimtun gagna
• Endurheimtarferli gagna skref fyrir skref
• Öryggi og reglulegir kröfur við afritun fyrirtækjagagna
• Algengar spurningar

Síðast uppfært: 21. október 2026

Hvað er afritun gagna og hvers vegna fyrirtæki þurfa hana

Afritun gagna er það að gera afrit af mikilvægum gögnum þínum og geyma þau á öðrum stað. Þetta tryggir að þú getur endurheimt gögnin ef eitthvað fer úrskeiðis.

Fyrirtæki þurfa afritun gagna af mörgum ástæðum. Tölvur bila. Starfsmenn eyða gögnum fyrir mistök. Netárásir geta lokað gögnum þínum og krafist peninga. Eldur eða flóð geta eyðilagt aðalþjóninn þinn.

Ef þú hefur engin afrit eru gögnin þín í hættu. Ekki bara fyrir stund. Að eilífu.

Við nexIT hjálpum fyrirtækjum að setja upp afritun gagna fyrir fyrirtæki sem virkar sjálfkrafa. Þannig þurfa þau ekki að hugsa um það. Gögnin þeirra eru alltaf örugg.

3-2-1 reglan um afritun: Grundvallarrammi fyrir öryggi

Flest fyrirtæki vita ekki hvar þau eiga að byrja með afritun. Þar kemur 3-2-1 reglan inn. Hún er einföld en hefur reynst vel í áratugi og er enn grunnurinn að flestum afritunarstefnum.

Reglan segir: 3 afrit af gögnum, 2 mismunandi gerðir geymslu, 1 afrit utan staðar.

Hvernig virkar það í raun?

3 afrit af gögnum:

• Aðalafrit á þínum aðalserver (þetta er ekki afrit heldur frumgögnin, en það telst með í heildarmyndinni)
• Eitt afrit á staðbundinni geymslu (harðdiskar, NAS eða sambærilegt)
• Eitt afrit í skýinu eða á öðrum stað utan fyrirtækisins

2 mismunandi gerðir geymslu:

• Staðbundin geymsla (t.d. NAS eða harðdiskar)
• Skýjaafrit eða geymsla hjá þriðja aðila

1 afrit utan staðar:

• Geymslurými sem ekki er tengt við þitt aðalnet
• Geymslurými í annarri byggingu eða borg

Hvers vegna 3-2-1 virkar, og hvar hún bregst

3-2-1 reglan verndar gegn mörgum algengum atvikum: vélbúnaðarbilun, mannlegum mistökum, eldi, flóði og stuttum netbilunum. Hún tryggir að eitt atvik eyðileggi ekki öll afritin á sama tíma.

En 3-2-1 ein og sér verndar ekki nægilega gegn lausnarhugbúnaði (ransomware). Nútíma lausnarhugbúnaður leitar að afritum og reynir að dulkóða eða eyða þeim líka. Ef afritin eru tengd netinu og aðgengileg frá sömu aðgangsstýringu og frumgögnin, getur árásarmaður eyðilagt þau öll í einu.

Útfærsla gegn lausnarhugbúnaði: óbreytanleg afrit og aftengdar geymslur

Til að 3-2-1 virki í dag þarf að bæta við tveimur atriðum sem margir sleppa:

1. Óbreytanleg afrit (immutable backups)
Óbreytanlegt afrit er afrit sem ekki er hægt að breyta eða eyða á meðan varðveislutíminn stendur. Það er geymt á þann hátt að jafnvel stjórnandi með fullan aðgang getur ekki eytt því fyrir tímann. Ef lausnarhugbúnaður kemst inn í kerfið getur hann því ekki skaðað þessi afrit. Margar skýjaafritunarþjónustur bjóða upp á „object lock“ eða „immutability“ stillingar sem gera þetta kleift.

2. Aftengd geymsla (offline eða air-gapped backup)
Aftengd geymsla er afrit sem er ekki tengt netinu nema þegar verið er að taka afrit eða endurheimta. Dæmi: harðdiskur sem er tekinn úr sambandi eftir afritun og geymdur í læstri skúffu, eða segulband sem er geymt utan staðar. Þetta þýðir að lausnarhugbúnaður sem er virkur á netinu kemst ekki að afritinu.

Hagnýt útfærsla á 3-2-1 með vörnum:

• Afrit 1: Staðbundið, sjálfvirkt, á NAS, notað fyrir hraða endurheimt
• Afrit 2: Í skýinu með óbreytanlegri geymslu (object lock), verndar gegn eyðingu
• Afrit 3: Aftengt eða á öðrum stað, t.d. vikulegt afrit á disk sem er tekinn úr sambandi, verndar gegn netárásum

NIST’s cybersecurity framework for data protection mælir með svipaðri nálgun fyrir mikilvæg gögn, þar á meðal aðskildum og óbreytanlegum afritum.

Tíðni afritunar gagna: Hversu oft ætti að taka afrit

Margir fyrirtækjastjórnendur spyrja: Hversu oft ætti ég að taka afrit? Svarið er ekki eitt fyrir alla, það fer eftir því hversu miklum gögnum þú getur leyft þér að týna og hversu lengi þú getur verið án kerfanna þinna.

Til að svara þessu þarftu að skilja tvö hugtök: RPO og RTO.

RPO: Hversu mörg gögn má týna?

RPO (Recovery Point Objective) er hámarksmagn gagna sem þú getur leyft þér að missa, mælt í tíma. Ef RPO er 4 klukkustundir þýðir það að ef bilun verður getur þú misst allt að 4 klukkustunda vinnu. Því lægra sem RPO er, því oftar þarf að taka afrit.

Dæmi: Ef þú tekur afrit einu sinni á dag og bilun verður klukkan 15:00, gætirðu misst allt sem var gert eftir morgunafritið, jafnvel 18 klukkustunda vinnu. Ef RPO þitt er 1 klukkustund, þá myndirðu aðeins missa síðustu klukkustundina.

RTO: Hversu lengi má kerfið vera niðri?

RTO (Recovery Time Objective) er hámarks tími sem þú getur leyft kerfum þínum að vera niðri eftir bilun. RTO er ekki bara spurning um afritunartíðni heldur líka um hversu hratt er hægt að endurheimta gögnin og koma kerfinu í gang aftur. Ef RTO er 2 klukkustundir verður endurheimtarferlið að taka minna en 2 klukkustundir.

RPO og RTO vinna saman: Þú þarft að velja afritunartíðni sem tryggir að RPO sé uppfyllt, og endurheimtaraðferð sem tryggir að RTO sé uppfyllt.

Hvernig velurðu tíðni út frá rekstraráhættu?

Hér eru nokkur algeng dæmi um hvernig mismunandi fyrirtæki velja tíðni:

Lítil þjónustufyrirtæki (t.d. ráðgjafafyrirtæki):

• RPO: 24 klukkustundir, daglegt afrit er nóg
• RTO: 8-24 klukkustundir, hægt að endurheimta á einum degi
• Afritun: Daglega, sjálfvirk

Heilsugæslustöðvar og fjármálafyrirtæki:

• RPO: 15 mínútur til 1 klukkustund, þurfa nánast rauntímaafritun
• RTO: 1-4 klukkustundir, kerfið má ekki vera niðri lengi
• Afritun: Á klukkustundar eða mínútna fresti, með skyndimyndum (snapshots)

Framleiðslufyrirtæki með gagnagrunna:

• RPO: 1-4 klukkustundir, nokkrar klukkustundir af gögnum mega tapast
• RTO: 4-8 klukkustundir, hægt að endurheimta á vakt
• Afritun: Á 4 klukkustunda fresti, auk skyndimynda fyrir stórar breytingar

Almenn skrifstofufyrirtæki:

• RPO: 4-12 klukkustundir, hálfur til einn vinnudagur
• RTO: 8-24 klukkustundir, næsta vinnudag
• Afritun: Á 4-12 klukkustunda fresti

Hagnýt skref til að velja tíðni

1. Skráðu hvaða gögn eru mikilvægust, ekki allt þarf sama RPO. Viðskiptagögn, bókhald og viðskiptavinaupplýsingar þurfa oft lægra RPO en t.d. sameiginlegar skrár.
2. Metið hversu mikinn skaða 1 klukkustund, 4 klukkustundir eða 1 dagur af gagnatapi myndi valda, í krónum, í orðspori og í rekstrartruflun.
3. Veldu RPO og RTO fyrir hvern flokk gagna, það er algjörlega í lagi að hafa mismunandi tíðni fyrir mismunandi gögn.
4. Staðfestu að tæknin þoli valda tíðni, sumar lausnir geta tekið afrit á klukkustundar fresti, aðrar ekki.
5. Prófaðu endurheimt, tíðnin er gagnslaus ef þú getur ekki endurheimt innan RTO.

Sjálfvirk afritun er lykillinn að því að þessi áætlun haldist. Þú ætlar ekki að muna að taka afrit handvirkt. Það gerist bara. Við nexIT setjum upp sjálfvirka afritun sem keyrir samkvæmt þeirri tíðni sem passar þínum RPO og RTO.

Afritun gagna í skýið: Kostir og útfærslumöguleikar

Skýjaafritun þýðir að gögnin þín eru geymd á netþjónum annars fyrirtækis. Þú getur nálgast þau hvar sem er.

Af hverju er þetta mikilvægt?

Ef eldur eyðileggur skrifstofuna þína, eru gögnin þín ennþá til. Þeir eru í öruggum gagnaverum á öðrum stað.

Kostir skýjaafritunnar:

• Gögn þín eru ekki háð einni staðsetningu
• Þú getur nálgað þau að heiman eða á ferðalögum
• Skýjafyrirtæki bera ábyrgð á öryggi
• Þú þarft ekki að kaupa dýran vélbúnað

Ókostir:

• Þú treystir öðru fyrirtæki fyrir gögnunum þínum
• Hraði afhendingar fer eftir internettengingu þinni
• Getur kostað meira en staðbundin geymsla

Fyrir fyrirtæki á Íslandi er mikilvægt að vita hvar gögn þin eru geymd. Sum skýjafyrirtæki geyma gögn í Bandaríkjunum. Önnur geyma þau í Evrópu.

EU General Data Protection Regulation guidelines on data location segja að sum gögn verði að vera innan Evrópu.

Við nexIT hjálpum fyrirtækjum að velja skýjaafritun sem uppfyllir íslenskar og evrópískar reglur.

Prófun á öryggisafritum: Tryggja endurheimtun gagna

Margir fyrirtækjastjórnendur gera ein stærstu mistökin: Þeir taka afrit en prófa það aldrei.

Hvað ef afritið virkar ekki þegar þú þarft þess?

Hafðu samband →

Það er of seint að komast að því þá.

Endurheimtarprófun þýðir að þú tekur afritið og reynir að nota það. Getur þú nálgað gögnin? Eru þau óskemmd? Geturðu opnað skrárnar?

Fyrirtæki ættu að prófa afrit sín a.m.k. einu sinni á ársfjórðungi.

Hvernig á að prófa afrit:

1. Taktu afrit af gögnum
2. Settu þau á aðskilda tölvu
3. Reyndu að opna skrárnar
4. Athugaðu hvort allt sé rétt
5. Skrá niðurstöðurnar

Þetta virðist auðvelt en margir stjórnendur fyrirtækja gera það ekki. Þeir eru of uppteknir.

Við nexIT veitum þjónustu við prófun á afritum. Við prófum afrit reglulega og tilkynnum ef eitthvað er rangt.

Endurheimtarferli gagna skref fyrir skref

Segjum að eitthvað alvarlegra hafi gerst. Þú þarft að endurheimta gögnin þín frá afritinu.

Hvernig virkar það?

Skref 1: Greina vandamálið

Fyrst þarftu að vita hvað gerðist. Var tölvan þín stolin? Voru gögn eyðilögð? Varstu fyrir netárás?

Þetta skiptir máli vegna þess að það segir þér hvaða afrit á að nota.

Skref 2: Finna rétt afrit

Þú gætir verið með mörg afrit. Eitt frá gærdeginum. Eitt frá síðustu viku. Eitt frá síðasta mánuði.

Þú þarft afritið sem var tekið fyrir vandamálið en eftir síðasta góða gögn þín.

Skref 3: Endurheimtu gögnin

Þú hleður afritinu á nýja tölvu eða á endurbyggðan server. Þetta getur tekið klukkustundir eða daga, allt eftir hversu stór gögnin eru.

Skref 4: Athugaðu gögnin

Þegar afritið er endurheimt, athugaðu hvort allt sé þar. Eru allar skrárnar til? Eru þær óskemmdar?

Skref 5: Settu afritið til baka

Nú getur þú notað endurheimtu gögnin þín. Starfsmenn þínir geta hafið vinnu aftur.

Þetta ferli getur verið flókið. Þess vegna er best að hafa fagmann sem getur gert það. nexIT veitir aðstoð við endurheimtun gagna.

Öryggi og reglulegir kröfur við afritun fyrirtækjagagna

Ekki allt afrit er jafn gott.

Ef einhver getur opnað afritið þitt, eru gögn þín ekki örugg. Þeir gætu stolið persónuupplýsingum viðskiptavina þinna.

Dulkóðun er lykillinn. Gögn þín ættu að vera dulkóðuð. Það þýðir að jafnvel ef einhver fær afritið, geta þeir ekki lesið það.

Fyrir heilsugæslumiðstöðvar og fjármálafyrirtæki á Íslandi eru reglugerðarkröfur um hvernig afrit skal geyma gögn.

Icelandic Data Protection Authority guidelines on data security segir að gögn um heilsu og fjármál verða að vera mjög örugg.

Hvað þarftu:

• Dulkóðun á gögnum
• Aðgangsstýring (aðeins fagfólk getur nálgað afritið)
• Endurkóðun á netinu (gögn sem fara yfir internetið eru dulkóðuð)
• Skrá yfir hverjir hafa nálgað afritið

Margar fyrirtækjastjórnendur vita ekki um þessar kröfur. Þeir taka afrit en fylgja ekki öryggiskröfunum.

Við nexIT aðstoðum fyrirtæki við að tryggja að afritun uppfylli viðeigandi reglur. Við setjum upp dulkóðun og stýrum aðgangi.

---

Afritun gagna er ekki flókið. Það er bara mikilvægt. Þú þarft 3 afrit. Þú þarft sjálfvirka afritun. Þú þarft dulkóðun.

Við nexIT veitum heildstæða þjónustu. Við setjum upp sjálfvirka afritun, aðstoðum við prófun á afritum og tryggjum öryggi. Við hjálpum þér við endurheimtun ef eitthvað fer úrskeiðis.

Þú getur einbeitt þér að því sem þú gerir best. Við sjáum um upplýsingatæknina.

International Organization for Standardization standards for information security management mælir með reglulegu endurheimtarprófun og sjálfvirkri afritun fyrir öll fyrirtæki.

Hafðu samband við nexIT til að fá aðstoð við uppsetningu á afritun.

Algengar spurningar

Hvernig virkar afritun gagna fyrir fyrirtæki í raun og veru?

Afritun gagna fyrir fyrirtæki er ferli þar sem afrit af gögnum er gert og geymt á aðskildum stað frá upprunalegu gögnunum. Þegar gögn eru skemmd, eytt eða stolin vegna netárásar eða vélbúnaðarbilunar, getur fyrirtækið endurheimt gögn úr öryggisafriti. Sjálfvirk afritun tryggir að gögn séu alltaf uppfærð án handvirkra aðgerða starfsmanna.

Hvað er 3-2-1 reglan um afritun og hvers vegna er hún mikilvæg?

3-2-1 reglan um afritun segir til um að fyrirtæki ætti að hafa þrjú afrit af gögnum, geymd á tveimur mismunandi miðlum og að minnsta kosti eitt afrit á aðskildum stað. Þessi aðferð tryggir að jafnvel þótt einn miðill eða staðsetning bili, eru önnur afrit ósködduð. Þetta er grundvallarrammi fyrir endurheimtarkerfi og gagnaöryggi.

Hversu oft ætti fyrirtæki að taka afrit af gögnum?

Tíðni afritunar gagna fer eftir því hversu mikilvæg gögn eru og hversu oft þau breytast. Margar fyrirtækjastofnanir taka daglega afrit, en flókin kerfi geta þurft afritun á klukkustundar fresti eða jafnvel í rauntíma. Heilsugæslumiðstöðvar og fjármálafyrirtæki með tilfallandi gögn þurfa oft tíðari afritun en fyrirtæki með stöðugari gagnagrunna.

Hvernig tryggir prófun á öryggisafritum að gögn séu endurheimt rétt?

Prófun á öryggisafritum felur í sér að reglulega athuga hvort gögn séu hægt að endurheimta og séu heilleg. Regluleg endurheimtarprófun er mikilvæg til að tryggja að gögn séu hægt að endurheimta og séu heilleg. Með prófun á öryggisafritum kemur í ljós vandamál áður en raunverulegt gagnatap á sér stað og tryggir að endurheimtarferli virki rétt.