30 juli 2026
Voor een air-gapped back-up heb je storageoplossingen nodig die fysiek of logisch losgekoppeld zijn van je netwerk. Geschikte opties zijn tapebibliotheken, externe harde schijven of USB-drives, NAS-systemen die je handmatig ontkoppelt en objectstorageplatforms met strikte toegangscontrole. De beste keuze hangt af van je datahoeveelheid, hersteltijd en hoe streng je isolatievereisten zijn.
Een back-up die permanent verbonden is met je netwerk, biedt geen bescherming als ransomware je omgeving treft. Aanvallers bewegen lateraal door netwerken en versleutelen alles wat bereikbaar is, inclusief verbonden back-upschijven en NAS-systemen zonder netwerksegmentatie. Het resultaat: je betaalt losgeld of verliest data, ook al dacht je een back-up te hebben. De oplossing is fysieke of logische ontkoppeling, zodat je back-upmedium simpelweg niet bereikbaar is tijdens een aanval.
Een air-gapped back-up die je niet snel kunt herstellen, lost het probleem maar half op. Tapeoplossingen zijn veilig, maar traag bij herstel. Externe schijven zijn snel, maar vereisen handmatige processen die foutgevoelig zijn. Als je geen getest herstelplan hebt dat past bij je storagekeuze, loop je het risico dat downtime oploopt terwijl je zoekt naar de juiste media, procedures of hardware. Kies je storageoplossing dus niet alleen op isolatieniveau, maar ook op hoe snel je ervan kunt herstellen.
Een air-gapped back-up is een kopie van je data die fysiek of logisch volledig losgekoppeld is van je productienetwerk en het internet. Omdat er geen verbinding bestaat, kunnen ransomware, malware of ongeautoriseerde gebruikers de back-up niet bereiken of versleutelen. Dit maakt het een van de sterkste verdedigingslagen in een moderne dataprotectiestrategie.
De term “air gap” verwijst letterlijk naar de luchtlaag tussen twee systemen: er is geen kabel, geen netwerk en geen protocol dat de verbinding legt. In de praktijk betekent dit dat je back-upmedia handmatig worden losgekoppeld na het schrijven, of dat systemen via strikte automatisering tijdelijk worden ontkoppeld en daarna volledig geïsoleerd blijven.
Het belang ervan is de afgelopen jaren sterk toegenomen. Ransomware-aanvallen richten zich steeds vaker bewust op back-upsystemen, omdat aanvallers weten dat organisaties zonder hersteloptie eerder betalen. Een air-gapped back-up doorbreekt die logica: je hebt altijd een schone kopie die buiten bereik van de aanval is gebleven.
De meest geschikte storageoplossingen voor air-gapped back-up zijn tapebibliotheken, externe harde schijven en USB-drives, NAS-systemen die je handmatig of automatisch ontkoppelt en objectstorage met strikte toegangscontrole en netwerksegmentatie. Elk van deze opties biedt een andere balans tussen veiligheid, capaciteit en herstelsnelheid.
Een air-gapped back-up is fysiek of logisch losgekoppeld van het netwerk, zodat niemand erbij kan. Een immutable back-up blijft verbonden, maar maakt data onveranderlijk: niemand kan de data wijzigen of verwijderen gedurende een ingestelde periode. Beide technieken beschermen tegen ransomware, maar op een andere manier, en ze vullen elkaar aan.
Bij een immutable back-up, ook wel WORM-storage (Write Once Read Many) genoemd, sla je data op in een systeem dat schrijfbewerkingen na de initiële opslag blokkeert. Dit kan via objectstorageprotocollen zoals S3 Object Lock of via dedicated WORM-hardware. De back-up blijft bereikbaar via het netwerk, maar kan niet worden aangepast of verwijderd.
Een air-gapped back-up gaat een stap verder in isolatie: als het systeem niet bereikbaar is, kan er ook niets mee gebeuren. De combinatie van beide technieken—een immutable back-up die ook air-gapped is—geldt in veel beveiligingsframeworks als de sterkste bescherming. In de praktijk kiezen organisaties vaak voor immutability als eerste laag en air-gapping als aanvullende maatregel voor de meest kritieke data.
In de praktijk werkt een air-gapped back-up via een gecontroleerd proces waarbij je back-upmedium alleen tijdelijk verbinding maakt om data te schrijven en daarna volledig wordt losgekoppeld. Het exacte proces verschilt per opslagtype, maar de kern is altijd hetzelfde: isolatie na het schrijven.
Een typisch proces ziet er zo uit:
Bij tapeoplossingen betekent stap vier letterlijk: de tape gaat in een kluis op een andere locatie. Bij NAS-gebaseerde oplossingen kan het een firewallregel zijn die de verbinding blokkeert buiten het back-upvenster. Welke aanpak je ook kiest, de hersteltest in stap vijf is niet optioneel. Een back-up die je niet hebt getest, is een aanname, geen zekerheid.
Hardware die air-gapped back-up het best ondersteunt, zijn LTO-tapedrives en -bibliotheken, high-density storageservers met ondersteuning voor WORM en objectstorage, en dedicated back-upappliances met mogelijkheden voor netwerksegmentatie. De keuze hangt af van je datavolume, retentievereisten en hersteltijddoelstellingen.
Voor grote datavolumes met lange retentie is LTO-tape nog steeds de meest kostenefficiënte keuze per terabyte. Moderne LTO-generaties bieden hoge capaciteit per cartridge en ondersteunen encryptie op hardwareniveau. De beperking is de hersteltijd: sequentieel lezen van tape is trager dan schijfgebaseerde opslag.
Voor omgevingen die snellere hersteltijden nodig hebben, zijn high-density storageservers met NVMe- of SAS-schijven een betere keuze. Deze systemen kunnen worden geconfigureerd als objectstorage met S3-compatibele interfaces en ondersteunen immutability via softwarelagen zoals MinIO of Veeam Object Storage. Gecombineerd met strikte netwerksegmentatie of fysieke ontkoppeling via geautomatiseerde scripts vormen ze een solide basis voor air-gapped back-up in grotere omgevingen.
Een air-gapped back-upstrategie is verplicht of sterk aanbevolen in sectoren met strenge compliance-eisen, zoals de financiële sector, de zorg, de overheid en kritieke infrastructuur. Frameworks zoals NIS2, ISO 27001 en DORA schrijven voor dat organisaties herstelbare, geïsoleerde back-ups moeten kunnen garanderen.
Onder NIS2, de Europese richtlijn voor netwerk- en informatiebeveiliging die in Nederland van kracht is, moeten organisaties in aangewezen sectoren aantoonbaar maatregelen nemen om dataverlies en verstoring te beperken. Een air-gapped back-up is een van de technische maatregelen die direct bijdraagt aan die verplichting, samen met encryptie, toegangscontrole en incidentresponsplannen.
Buiten verplichte compliance is een air-gapped strategie sterk aanbevolen voor elke organisatie die bedrijfskritische data beheert en zich niet kan veroorloven die te verliezen bij een ransomware-aanval. Dat geldt voor ziekenhuizen, universiteiten, paymentproviders en datacenters, maar ook voor mkb-bedrijven met klantdata of intellectueel eigendom dat niet vervangbaar is.
Als je op zoek bent naar de juiste hardware om een air-gapped back-upomgeving te bouwen, helpen wij je graag verder. Bij NCS International leveren wij Supermicro storageoplossingen die volledig op maat worden geconfigureerd voor jouw specifieke situatie, van compacte setups tot multi-rackdatacenters met hoge beschikbaarheidsvereisten. Wil je weten welke configuratie bij jouw omgeving past? Neem contact met ons op en we denken direct met je mee.
De rotatiefrequentie hangt af van je RPO (Recovery Point Objective): hoe recenter je back-up moet zijn, hoe vaker je roteert. Een gangbare aanpak is de 3-2-1-1-regel: drie kopieën, op twee mediatypen, waarvan één offsite en één air-gapped. Voor de meeste organisaties betekent dit dagelijkse of wekelijkse rotatie van het air-gapped medium. Vervang fysieke media zoals LTO-tapes na de aanbevolen levensduur van de fabrikant (doorgaans 30 jaar voor archivering, maar 10-15 jaar voor actief gebruik) en externe schijven elke 3-5 jaar.
De meest voorkomende fout is het nooit uitvoeren van een hersteltest: een back-up waarvan de integriteit niet is geverifieerd, is geen betrouwbare back-up. Andere veelgemaakte fouten zijn het te lang verbonden laten van het back-upmedium na het schrijfproces, het ontbreken van encryptie op de opgeslagen data en het bewaren van alle back-upmedia op dezelfde fysieke locatie als de productieomgeving. Zorg ook dat het ontkoppelproces gedocumenteerd en geautomatiseerd is, zodat menselijke fouten worden geminimaliseerd.
Ja, dat is mogelijk via een zogenaamde ‘logical air gap’ in de cloud: je gebruikt een cloudopslagomgeving die volledig geïsoleerd is van je productienetwerk, met strikte toegangscontrole, geen permanente verbinding en immutability via bijvoorbeeld S3 Object Lock. Sommige organisaties combineren dit met een fysieke air-gapped kopie voor maximale bescherming. Let er wel op dat een cloudoplossing zonder correcte netwerksegmentatie en toegangsbeperking geen echte air gap biedt, alleen een andere locatie.
De kosten variëren sterk afhankelijk van je datavolume, de gekozen hardware en de complexiteit van je omgeving. Een eenvoudige setup met externe harde schijven voor een mkb-omgeving kan al beginnen vanaf enkele honderden euro’s, terwijl een enterprise-oplossing met LTO-tapebibliotheken of high-density storageservers al snel tienduizenden euro’s kan kosten. Weeg de investering altijd af tegen de kosten van downtime en dataverlies bij een ransomware-aanval: gemiddeld liggen die voor organisaties aanzienlijk hoger dan de preventiekosten.
Bewaar je air-gapped media altijd op een fysiek gescheiden locatie van je productieomgeving, bij voorkeur in een brandwerende kluis of een extern datacenter. Voor maximale bescherming pas je de 3-2-1-1-regel toe en zorg je dat minimaal één kopie offsite of in een beveiligde kluis ligt. Versleutel alle back-upmedia zodat gestolen hardware geen bruikbare data oplevert, en beperk fysieke toegang tot de opslaglocatie via toegangslogging en autorisatiebeheer.
Populaire back-upoplossingen zoals Veeam Backup u0026 Replication, Commvault, Veritas NetBackup en Acronis Cyber Protect bieden ingebouwde ondersteuning voor air-gapped workflows, waaronder geautomatiseerde ontkoppeling na het schrijfproces en integratie met tape- en objectstorageplatforms. Veeam ondersteunt bijvoorbeeld directe integratie met immutable objectstorage via S3 Object Lock en biedt scripts voor geautomatiseerde NAS-isolatie. Kies software die past bij je bestaande infrastructuur en controleer of het herstelproces ook zonder netwerkverbinding volledig te doorlopen is.
Voer minimaal één keer per kwartaal een volledige hersteltest uit in een geïsoleerde testomgeving, waarbij je het volledige herstelproces simuleert: medium ophalen, koppelen, data terugzetten en systemen opstarten. Documenteer de hersteltijd en vergelijk die met je RTO (Recovery Time Objective). Test ook specifieke scenario’s zoals het herstellen van individuele bestanden, databases of volledige servers, zodat je zeker weet dat alle kritieke systemen herstelbaar zijn. Een back-up die niet is getest, is slechts een aanname.
Deze inhoud is gegenereerd met behulp van AI en kan fouten bevatten.
Den Sliem 89
7141 JG Groenlo
The Netherlands
+31 544 470 000
info@ncs.nl
GPU-servers verwerken duizenden berekeningen parallel — ontdek wanneer ze onmisbaar zijn voor jouw organisatie.
Wat is een AI-server en wanneer heb je er een nodig? Ontdek de techniek, hardware en toepassingen.
