Nästan alla företag har backup. Betydligt färre vet om den går att återställa

Skillnaden märks först den dag du verkligen behöver den, och då är det för sent att ta reda på det. I den här artikeln går vi igenom vad undersökningarna säger, varför återställningar misslyckas och hur du bygger en backup som faktiskt håller.

Klockan är kvart över sju en måndag i november. Ekonomichefen ringer IT-ansvarig: ingen kommer åt affärssystemet. På filservern har varje mapp fått en ny textfil med instruktioner om hur man betalar för att få tillbaka sina filer.

IT-ansvarig är förvånansvärt lugn. Företaget har ju backup. Varje natt i flera år har jobbet gått klockan två.

Vid lunch är lugnet borta. Backupservern var ansluten till samma domän som resten av miljön, och angriparen loggade in med ett administratörskonto två veckor tidigare. De senaste versionerna är raderade. De äldre kopiorna på en extern disk är från i våras. När teknikern försöker läsa in dem visar det sig att jobbet för affärssystemets databas har avslutats med en varning varje natt sedan en uppdatering i augusti. Ingen har läst varningarna. Lösenordet till krypteringsnyckeln låg i ett dokument på filservern, som nu är krypterad.

Scenariot är påhittat, men varje del av det kommer från verkliga incidenter. Och det är ingen ovanlig historia.

Det finns gott om undersökningar om backup och återställning. De flesta kommer från säkerhets- och backupleverantörer, vilket är bra att ha i bakhuvudet. Men bilden de ger är påfallande samstämmig: det finns ett stort glapp mellan hur säkra företag känner sig och hur det faktiskt går när det smäller.

I Veeams Data Trust and Resilience Report 2026, som bygger på svar från över 900 IT-, säkerhets- och riskchefer, säger 90 procent att de är säkra på att de kan återställa inom sina mål för återställningstid. Bland dem som drabbats av ransomware och där data eller drift påverkades var det bara 28 procent som fick tillbaka all data. Nästan hälften, 44 procent, fick tillbaka mindre än tre fjärdedelar. I snitt återställdes 72 procent av den data som drabbades.

Sophos årliga rapport State of Ransomware 2026 bygger på svar från 2 158 IT- och säkerhetsansvariga i 17 länder vars organisationer drabbats under det senaste året. Här finns faktiskt goda nyheter. Två tredjedelar av dem som fick sin data krypterad kunde återställa från backup, en ökning med tolv procentenheter jämfört med året innan. Samtidigt betalade 48 procent lösensumman, och den genomsnittliga kostnaden för att återhämta sig steg till 1,7 miljoner dollar per incident.

Varför går det då så ofta fel? En stor del av svaret är att angriparna vet exakt var de ska leta. I Veeams undersökning av ransomwareangrepp från 2025 hade angriparen gått efter backuplagringen hos 89 procent av de drabbade, och i snitt hade en tredjedel av lagringsytorna för backup ändrats eller raderats. Sophos rapport från 2024 visar samma mönster: 94 procent uppgav att angriparna försökte komma åt deras backuper, och i 57 procent av fallen lyckades de.

Siffrorna säger något enkelt. En fungerande backup förstör angriparens affärsmodell, och därför är backupen ofta det första de letar efter när de väl tagit sig in.

Ett av de mest kända exemplen kommer från GitLab. I januari 2017 felsökte en tekniker ett replikeringsproblem och raderade av misstag datakatalogen på bolagets primära databasserver. Teamet var inte särskilt oroligt till en början, eftersom det fanns flera lager av backup och replikering.

Inget av dem fungerade som det skulle. Den automatiska databasdumpen hade körts med fel version av verktyget och skapade i praktiken tomma filer. Felmeddelandena skickades med mejl, men mejlen stoppades på vägen och nådde aldrig någon. Till slut räddades situationen av en kopia som en anställd hade tagit manuellt ungefär sex timmar tidigare, för att sätta upp en testmiljö.

GitLab förlorade ungefär sex timmars data i produktion. Fallet är så användbart eftersom bolaget öppet redovisade varje steg. Lärdomen gäller alla: en backup som ingen har testat är bara ett antagande, hur många lager du än har.

Om backupservern är med i samma domän, använder samma administratörskonton eller står i samma nätverk som allt annat, så kommer angriparen åt den på samma sätt som resten av miljön. Molnet löser inte det automatiskt. Sophos har beskrivit en incident där angriparna helt enkelt mejlade molnleverantören från ett kapat administratörskonto och bad dem radera alla backuper.

Ett backupjobb som slutar med en varning ser ofta ut att ha fungerat. Larmen går till en delad brevlåda som ingen läser, eller till en person som har slutat. Månader kan gå innan någon upptäcker att en viktig databas inte har säkerhetskopierats ordentligt.

Många testar genom att återställa en enstaka fil. Det visar att verktyget fungerar, men inte att du kan få igång ett affärssystem, en hel server eller hela miljön. Keepits datarapport för 2026 pekar just på det här: att enskilda filåterställningar är vanliga, medan strukturerade tester i större skala är betydligt ovanligare.

Krypteringsnycklar, lösenord, återställningsplanen, licensfiler och kontaktuppgifter till leverantören. Om allt det ligger på filservern eller i samma lösenordshanterare som angriparen kommit åt, så har du en backup du inte kan öppna.

Många tror att Microsoft 365 eller Google Workspace sköter backupen åt dem. Leverantören ansvarar för att tjänsten är igång, men inte för att du kan få tillbaka data som raderats, krypterats eller försvunnit när en anställd slutade. Samma sak gäller ofta konfigurationen av brandväggar, identitetstjänster som Entra ID och dina SaaS-tjänster.

En backup som tar två veckor att läsa tillbaka kan vara lika illa som ingen backup alls. Ett räkneexempel: att hämta 40 terabyte från molnet över en anslutning på 1 gigabit per sekund tar nästan fyra dygn i teorin, om linan går för fullt hela tiden. I praktiken tar det oftast längre.

Angripare befinner sig ofta i nätverket i dagar eller veckor innan de slår till. Återställer du en server från en tidpunkt när de redan fanns där, så återställer du även deras bakdörrar. Därför behöver du både tillräckligt många äldre versioner och ett sätt att kontrollera att det du återställer är rent.

Den klassiska 3-2-1-regeln har fått två tillägg som passar bättre för dagens hotbild:

• 3 kopior av din data, inklusive originalet.
• 2 olika typer av lagring.
• 1 kopia på en annan plats än den ordinarie miljön.
• 1 kopia som är offline eller oföränderlig.
• 0 fel när du verifierar att återställningen fungerar.

Oföränderlig lagring, på engelska immutable storage, betyder att en backup inte kan ändras eller raderas under en bestämd tid. Inte ens av en administratör. Det är det enskilt viktigaste skyddet mot att angriparen förstör dina backuper. Kontrollera att låsningen verkligen inte går att korta eller stänga av, eftersom vissa lösningar tillåter det för konton med tillräckligt höga behörigheter.

Ge backupmiljön egna inloggningar som inte används till något annat, och anslut den inte till den vanliga domänen. Använd nätfiskeresistent flerfaktorsautentisering, till exempel säkerhetsnycklar. Vanlig MFA räcker inte alltid. Enligt Sophos rapport för 2026 fanns MFA på plats i någon form i 97 procent av de incidenter där stulna inloggningsuppgifter var orsaken. Kräv gärna att två personer godkänner om någon vill radera backuper eller ändra lagringstider.

RPO står för hur mycket data du har råd att förlora, räknat i tid. RTO står för hur lång tid det får ta innan systemet är igång igen. Det är affärsbeslut och inte tekniska frågor. Fråga ekonomi, försäljning och produktion vad ett dygn utan affärssystemet kostar, och anpassa backupen efter svaret. Ett lönesystem och en intern wiki behöver sällan samma nivå.

Ett rimligt upplägg för många företag ser ut så här:

• Varje månad: stickprov där du återställer filer, mejl och någon databas.
• Varje kvartal: återställ en hel server eller ett helt system till en isolerad miljö och kontrollera att det faktiskt fungerar.
• Varje år: en övning där du låtsas att hela miljön är utslagen. Mät hur lång tid det tar och jämför med din RTO.

Många backupverktyg kan automatiskt starta upp säkerhetskopior i en testmiljö och kontrollera att de fungerar. Använd den funktionen om du har den, men låt den inte ersätta den årliga övningen.

Varje misslyckat jobb ska leda till en åtgärd. Utse en namngiven person som ansvarar för att följa upp larmen och en ersättare när den personen är ledig. Följ också upp ovanliga händelser, som att många backuper raderas samtidigt eller att lagringstider plötsligt ändras.

Skriv ut planen. Förvara krypteringsnycklar och nödkonton i ett valv eller kassaskåp, och se till att fler än en person vet var de finns. Planen ska gå att följa även om varken e-post, Teams eller intranätet fungerar.

Spara versioner längre bakåt i tiden än du tror att du behöver, så att du kan gå tillbaka till en tidpunkt innan angriparen kom in. Skanna gärna backuperna efter skadlig kod innan du återställer, och återställ först till en isolerad miljö när du misstänker intrång.

Omfattas din verksamhet av cybersäkerhetslagen, som trädde i kraft den 15 januari 2026 och genomför EU:s NIS2-direktiv, är backup inte längre bara god sed. Direktivet räknar uttryckligen upp kontinuitetshantering, som backuphantering och återställning efter katastrof, bland de åtgärder som ska finnas. Ledningen har dessutom fått ett tydligare ansvar för cybersäkerhetsarbetet. Sedan den 1 oktober 2026 gäller dessutom föreskriften MCFFS 2026:11 om säkerhetsåtgärder, som bland annat ställer krav på säkerhetskopiering och återställning. Ansvaret för vägledning och stöd ligger sedan den 1 juli 2026 hos Nationellt cybersäkerhetscenter, NCSC, vid FRA.

Även om din verksamhet inte omfattas av cybersäkerhetslagen gäller GDPR. Enligt artikel 32 ska du kunna återställa tillgången till personuppgifter i rimlig tid efter en incident. En backup som inte går att återställa uppfyller inte det kravet.

Det finns många bra lösningar, och vilken som passar beror på hur din miljö ser ut. Listan nedan är ett urval och ingen rangordning. Flera av leverantörerna säljer främst via IT-partner som också kan sköta driften åt dig.

Oavsett leverantör är det några frågor du alltid bör ställa: Var lagras min data och under vilken lagstiftning? Går den oföränderliga lagringen att stänga av, och i så fall av vem? Hur snabbt kan jag få tillbaka 10 terabyte? Vad ingår i supporten en söndagskväll? Och kan jag testa en fullständig återställning innan jag skriver på?

Svaren är ofta viktigare än skillnaderna mellan produkterna. Ett bra verktyg som är felkonfigurerat skyddar sämre än ett enklare verktyg som är rätt uppsatt och testat.

Om svaret på någon av frågorna är ”vet inte” har du hittat ditt första förbättringsområde. Det är inget misslyckande. Det är precis den sortens svar du vill få nu, och inte en måndag morgon i november.

Vi måste börja tänka i banorna att backup egentligen inte handlar om att ta kopior. Eller jo, det gör det.. till viss del, men, det handlar egentligen mer om att återställa det som gått förlorat. Angriparna vet det och går därför ofta efter backupen först. Det som skiljer företag som klarar sig från dem som inte gör det är sällan valet av produkt. Det är att de har skyddat minst en kopia från radering, skilt backupmiljön från resten och faktiskt testat att återställa.

Ett klokt första steg är att du bokar in ett återställningstest under de närmaste veckorna och skriver in rutinen i bolagets IT-policy. Glöm inte att informera dina kollegor om vem som ansvarar och vad som gäller.