Muchas empresas pueden responder con seguridad a una pregunta: “¿hacéis copias de seguridad?”. La respuesta suele ser sí.
La pregunta realmente importante es otra: si mañana tus sistemas dejaran de funcionar, ¿cuánto tardarías en volver a trabajar?
Tener una copia de los datos es imprescindible, pero no garantiza por sí sola que una empresa pueda recuperarse después de un ransomware, un fallo de hardware, un error humano o cualquier otro incidente grave. La copia puede estar dañada, haber sido afectada por el mismo ataque, no contener la información más reciente o necesitar horas —incluso días— para ser restaurada.
Por eso, una estrategia de protección del dato no debería limitarse a comprobar que “el backup se está haciendo”. También debe responder a cómo, desde dónde y en cuánto tiempo podría recuperarse la información y volver a ponerse en marcha la actividad.
Tener backup y tener capacidad de recuperación son cosas diferentes
Una copia de seguridad crea una versión adicional de determinada información para poder recuperarla si los datos originales se pierden o quedan comprometidos. Es una primera barrera fundamental.
Sin embargo, entre tener los datos copiados y tener la empresa nuevamente operativa puede existir una diferencia considerable.
Imaginemos que un ransomware cifra el servidor donde se encuentra la aplicación de gestión de una empresa. Existe una copia de seguridad realizada durante la madrugada, así que aparentemente el problema está bajo control.
Pero todavía quedan muchas preguntas por responder.
¿Dónde está almacenada esa copia? ¿El ataque ha podido acceder también a ella? ¿Se ha comprobado recientemente que puede restaurarse? ¿Cuánto tarda en recuperarse el servidor completo? ¿Cuántas horas de trabajo se perderían? ¿Qué sistemas tienen que volver a ponerse en marcha antes de que los empleados puedan trabajar?
INCIBE recomienda realizar copias periódicas y comprobar que puedan restaurarse. Además, advierte de que un incidente puede afectar también a las copias almacenadas si estas resultan accesibles desde los sistemas comprometidos. Puedes consultar su guía sobre copias de seguridad para empresas.
Existe incluso un caso real documentado por INCIBE en el que un ataque de ransomware afectó a diferentes máquinas y eliminó las copias almacenadas en un NAS. La empresa pudo recuperar la información porque disponía adicionalmente de copias en la nube.
El problema, por tanto, no es únicamente hacer copias, sino diseñar una estrategia que permita disponer de información recuperable cuando realmente sea necesaria.
Los problemas que suelen descubrirse cuando ya ha ocurrido el incidente
Una estrategia de backup puede llevar años funcionando aparentemente bien hasta que llega el momento de utilizarla.
Es entonces cuando pueden aparecer problemas que antes habían pasado desapercibidos.
Uno de ellos es que las copias se encuentren conectadas a la misma infraestructura que acaba de verse comprometida. Un ransomware puede intentar propagarse por los sistemas conectados y alcanzar también unidades compartidas o dispositivos de almacenamiento accesibles desde la red. INCIBE recoge precisamente este tipo de escenarios entre los incidentes reales sufridos por empresas.
También puede ocurrir que exista una copia, pero nadie haya probado recientemente su restauración. El proceso de backup puede haberse ejecutado sin errores aparentes y, sin embargo, existir problemas cuando llega el momento de recuperar determinados archivos o máquinas.
Otro riesgo es descubrir que la copia disponible es demasiado antigua.
Si una empresa realiza una copia diaria y el incidente se produce al final de la jornada, podría perder todo el trabajo realizado desde el último respaldo. Dependiendo de la actividad, varias horas de pedidos, documentos, operaciones o cambios en los sistemas pueden suponer un impacto importante.
Y después está el tiempo.
Disponer de todos los datos necesarios no significa necesariamente que estos puedan estar nuevamente disponibles en unos minutos. Cuando hay que reconstruir servidores, reinstalar sistemas, recuperar máquinas virtuales y comprobar que las aplicaciones funcionan correctamente, el proceso puede prolongarse.
Es aquí donde la protección del dato empieza a relacionarse directamente con la continuidad de negocio.
Una buena estrategia debe plantearse cuánto puedes perder y cuánto puedes estar parado
Cuando hablamos de recuperación aparecen dos conceptos que ayudan a definir qué necesita realmente una empresa: RPO y RTO.
El RPO —Recovery Point Objective— determina cuánta información puede permitirse perder la organización. Si se establece un RPO de una hora, la infraestructura debería permitir recuperar la información con una antigüedad máxima aproximada de ese periodo.
El RTO —Recovery Time Objective— plantea otra cuestión: cuánto tiempo puede permanecer detenido un servicio antes de que la interrupción se convierta en un problema serio para el negocio.
No todas las empresas necesitan los mismos objetivos.
Un sistema documental utilizado ocasionalmente puede admitir varias horas de recuperación. Una aplicación de producción, el ERP, el sistema de pedidos o una infraestructura de la que depende toda la organización pueden necesitar tiempos considerablemente menores.
Por eso, antes de diseñar una solución conviene identificar qué sistemas son realmente críticos.
En COASER este análisis se relaciona tanto con sus servicios de ciberseguridad para empresas como con las soluciones de Datacenter y recuperación ante desastres. La prioridad no debería ser proteger todos los sistemas exactamente de la misma manera, sino establecer qué necesita recuperarse primero y qué impacto tendría que dejara de estar disponible.
También resulta importante que las copias críticas estén protegidas frente a modificaciones.
Los denominados puntos de recuperación inmutables están diseñados para que la información almacenada no pueda ser modificada durante su periodo de conservación. Esto introduce una capa adicional frente a escenarios como el ransomware, donde uno de los objetivos del atacante puede ser inutilizar también las posibilidades de recuperación.
Syneto combina copia, protección y recuperación de la infraestructura
COASER trabaja con Syneto para la protección del dato, una plataforma que integra infraestructura, protección de datos y recuperación ante desastres.
La diferencia respecto a entender el backup únicamente como una copia de archivos está precisamente en la capacidad de proteger y recuperar también las máquinas y servicios sobre los que funciona la empresa.
Syneto utiliza Recovery Points inmutables, que no pueden ser modificados durante el periodo de retención, e integra funciones de recuperación y Disaster Recovery dentro de la propia plataforma.
Esto permite plantear escenarios en los que no sea necesario reconstruir manualmente toda la infraestructura desde cero después de un incidente.
La tecnología, sin embargo, debe partir siempre de las necesidades de cada empresa. No tiene sentido definir una arquitectura compleja sin analizar primero qué datos son críticos, cuánto tiempo pueden permanecer inaccesibles, qué sistemas dependen de ellos y qué escenarios de recuperación deben contemplarse.
COASER desarrolla este enfoque con mayor detalle en su página sobre las posibilidades de Syneto para pymes e infraestructuras empresariales.
Además, no hablamos únicamente de un escenario teórico. En el caso de Fundación San Prudencio, COASER implantó una arquitectura basada en Syneto orientada a proteger información crítica y asegurar la continuidad operativa mediante backup y recuperación ante desastres.
Este tipo de proyectos muestra por qué la conversación debería ir más allá de preguntar simplemente si existe una copia de seguridad.
La pregunta es cuánto tardarías en volver a trabajar
Realizar copias de seguridad sigue siendo una medida imprescindible. Pero una empresa que quiera proteger realmente su actividad debería ir un paso más allá.
Necesita saber dónde se encuentran sus copias, cómo están protegidas, con qué frecuencia se realizan y, especialmente, si puede recuperar los sistemas cuando algo falla.
La mejor forma de comprobarlo no es esperar al incidente.
Probar periódicamente los procedimientos de recuperación, identificar los sistemas críticos y definir objetivos realistas de pérdida de datos y tiempo de parada permite conocer de antemano qué ocurriría ante un ransomware, una avería grave o un fallo humano.
Por eso, la próxima vez que alguien pregunte si tu empresa tiene copias de seguridad, quizá merezca la pena plantear una segunda cuestión:
¿Sabemos realmente cuánto tardaríamos en volver a trabajar?
Si no tienes clara la respuesta, puedes hablar con el equipo de COASER para revisar la protección actual de tus datos y valorar qué capacidad real de recuperación tendría tu empresa ante un incidente.
