Tener copias de seguridad es imprescindible, pero no garantiza por sí solo que una empresa pueda volver a trabajar después de un ataque de ransomware. La diferencia parece pequeña hasta que ocurre un incidente: una cosa es disponer de una copia de los datos y otra muy distinta saber que esa copia está limpia, que sigue siendo accesible, que puede restaurarse correctamente y que los sistemas críticos pueden volver a estar operativos dentro de un plazo asumible.
Esta distinción es especialmente importante porque el ransomware moderno no se limita necesariamente a cifrar los archivos de un ordenador. Puede propagarse por la red, afectar servidores, comprometer unidades compartidas e intentar alcanzar también los sistemas de respaldo. INCIBE recomienda realizar copias periódicas y, además, comprobar que pueden restaurarse, porque disponer de un backup solo resulta útil cuando es posible recuperar la información y continuar con la actividad. Puedes ampliar esta información en su guía sobre copias de seguridad para empresas.
Por eso, la pregunta que una empresa debería hacerse no es únicamente “¿tenemos copias de seguridad?”, sino algo bastante más exigente: “si mañana un ransomware deja nuestros sistemas inutilizados, ¿sabemos exactamente cómo volveríamos a trabajar?”
Tener backup y tener capacidad de recuperación no es lo mismo
Durante años, muchas estrategias de protección de datos se han centrado en comprobar que las copias se realizan correctamente. El sistema ejecuta el backup, aparece un mensaje indicando que el proceso ha finalizado y la organización considera que esa parte de la continuidad de negocio está resuelta.
Sin embargo, una copia de seguridad solo cumple realmente su función cuando puede utilizarse para recuperar los sistemas después de un incidente.
Hay varios motivos por los que un backup aparentemente correcto puede no ser suficiente. La copia puede encontrarse conectada a la misma infraestructura que ha sufrido el ataque, contener ya información comprometida, ser demasiado antigua para recuperar la actividad sin una pérdida importante de datos o requerir tantas horas de restauración que el negocio permanezca detenido durante demasiado tiempo.
INCIBE ha documentado incluso casos reales en los que un ataque de ransomware consiguió eliminar las copias almacenadas en un NAS conectado a la infraestructura. En ese caso concreto, la empresa pudo recuperar la información porque disponía también de copias adicionales en la nube que continuaban operativas.
El ejemplo refleja perfectamente el problema: la existencia de una copia no garantiza que esa copia vaya a seguir disponible cuando realmente se necesite.
Qué puede ocurrir con tus copias durante un ataque de ransomware
El escenario más evidente es que el ransomware alcance también el almacenamiento utilizado para realizar los backups. Si las copias permanecen continuamente accesibles desde los mismos sistemas comprometidos, un atacante puede intentar cifrarlas, borrarlas o inutilizarlas antes de lanzar definitivamente el ataque.
Pero ese no es el único riesgo. Incluso cuando el backup continúa disponible, pueden aparecer otras dificultades que compliquen la recuperación.
La copia también puede contener el problema
Un ataque no siempre se detecta en el mismo momento en el que comienza. El atacante puede haber obtenido acceso días o semanas antes, y durante ese periodo la empresa puede haber seguido generando copias aparentemente normales.
Cuando llega el momento de recuperar los sistemas, es necesario identificar qué punto de restauración es anterior al compromiso. Restaurar simplemente “la última copia” podría significar volver a introducir el problema dentro de la infraestructura.
Por eso es importante conservar diferentes puntos de recuperación y disponer de información suficiente para determinar qué versión de los datos puede considerarse fiable.
La copia puede estar demasiado desactualizada
Imaginemos que una empresa realiza una copia completa una vez al día y el ataque se produce al final de la jornada. Aunque la restauración funcione perfectamente, podría perderse prácticamente toda la información generada desde el último backup.
La cuestión ya no es únicamente técnica. Hay que valorar qué significaría para el negocio reconstruir pedidos, operaciones, documentos o modificaciones realizadas durante ese periodo.
Este es el motivo por el que una estrategia de backup debe definir cuánta información puede permitirse perder la empresa y ajustar la frecuencia de los puntos de recuperación a esa realidad.
Restaurar puede tardar demasiado
También puede ocurrir que los datos estén perfectamente protegidos pero que devolverlos a producción requiera horas o incluso días.
Una empresa puede disponer de varios terabytes de información, numerosas máquinas virtuales y aplicaciones que deben recuperarse siguiendo un determinado orden. No es lo mismo restaurar un archivo concreto que recuperar servidores, bases de datos, aplicaciones y servicios completos.
En este punto aparece una pregunta especialmente importante: ¿cuánto tiempo puede permanecer detenida la empresa antes de que el impacto sea crítico?
Recuperación tras ransomware: las preguntas que deberías poder responder
Una forma sencilla de evaluar la capacidad real de recuperación consiste en dejar de pensar únicamente en el backup y revisar qué ocurriría durante las horas posteriores al ataque.
La empresa debería poder responder con claridad, al menos, a estas cuestiones:
- ¿Las copias están protegidas frente al propio ransomware? El sistema de respaldo debería evitar que un atacante con acceso a la infraestructura pueda modificar o eliminar fácilmente los puntos de recuperación.
- ¿Disponemos de varias copias y puntos de restauración? Una única versión puede resultar insuficiente si esa copia ya contiene información comprometida o si se encuentra dañada.
- ¿Sabemos cuál sería nuestro punto de recuperación aceptable? Conviene determinar cuántos minutos u horas de información puede asumir perder la empresa sin comprometer seriamente su operativa.
- ¿Sabemos cuánto tardaríamos en volver a trabajar? La recuperación debe medirse también en tiempo. Restaurar correctamente después de tres días puede ser técnicamente un éxito y empresarialmente un problema enorme.
- ¿Hemos probado realmente la restauración? Una estrategia de backup que nunca se ha probado contiene demasiadas incógnitas para descubrirlas precisamente durante una emergencia.
- ¿Existe un orden de recuperación de los sistemas críticos? No todas las aplicaciones tienen la misma importancia. ERP, servidores de archivos, correo, bases de datos o aplicaciones de producción pueden necesitar prioridades diferentes.
Precisamente por eso, desde COASER trabajamos el backup como parte de una estrategia de recuperación y continuidad, no como una tarea aislada de almacenamiento.
Las copias inmutables añaden una barrera frente al ransomware
Una de las tecnologías que más importancia ha adquirido frente al ransomware es la inmutabilidad.
Una copia inmutable está diseñada para que los datos almacenados no puedan modificarse o eliminarse durante un periodo determinado, incluso si un atacante consigue comprometer otros sistemas de la infraestructura. Esto ayuda a mantener puntos de recuperación protegidos que puedan utilizarse después del incidente.
No significa que la inmutabilidad sustituya al resto de medidas de ciberseguridad. Sigue siendo necesario proteger accesos, actualizar sistemas, segmentar redes, controlar privilegios y reducir la superficie de ataque. La ventaja es que añade una última capa de defensa cuando las medidas preventivas no han conseguido detener el incidente.
En soluciones como Syneto, los puntos de recuperación inmutables forman parte de la propia arquitectura de protección y recuperación. El fabricante plantea precisamente este enfoque para evitar que el ransomware pueda cifrar o sobrescribir los puntos de restauración y acelerar la vuelta a producción después de un ataque.
También trabajamos soluciones específicas de backup como NAKIVO, que permiten proteger entornos virtualizados y diseñar políticas de copia y recuperación adaptadas a las necesidades de cada infraestructura.
La prueba definitiva de un backup es intentar recuperarlo
Existe una diferencia importante entre comprobar que el backup ha terminado correctamente y comprobar que una empresa puede recuperarse utilizando ese backup.
La segunda opción exige realizar pruebas periódicas de restauración. Estas pruebas permiten verificar que los datos son utilizables, medir cuánto tarda el proceso y detectar problemas que quizá no sean visibles mientras el sistema funciona con normalidad.
Además, permiten identificar dependencias entre aplicaciones. Una máquina virtual puede restaurarse correctamente y, sin embargo, seguir necesitando otros servidores, bases de datos o servicios para funcionar. Solo cuando se prueba el proceso completo se obtiene una imagen realista de la capacidad de recuperación.
Esta es también una de las razones por las que resulta útil medir dos conceptos habituales en continuidad:
- RPO (Recovery Point Objective) indica cuánta información puede permitirse perder la empresa entre el último punto recuperable y el momento del incidente.
- RTO (Recovery Time Objective) indica cuánto tiempo puede permanecer un servicio detenido antes de que el impacto resulte inaceptable.
No todas las empresas necesitan los mismos objetivos, pero todas deberían saber cuáles son los suyos.
Proteger datos es importante; proteger la continuidad del negocio lo es todavía más
Cuando una infraestructura se diseña pensando únicamente en almacenar copias, es fácil perder de vista el objetivo final. La empresa no necesita backups por el simple hecho de tenerlos. Los necesita para seguir funcionando cuando algo grave ocurra.
Por eso, la estrategia debería contemplar la protección de los datos, la disponibilidad de diferentes puntos de recuperación, la resistencia de las copias frente a modificaciones, el tiempo necesario para restaurar y el orden en el que deben volver a ponerse en marcha los servicios.
En COASER ya hemos trabajado este enfoque en proyectos reales como la protección del dato de Rulisa Hydraulics o el proyecto en el que la Fundación San Prudencio reforzó la protección de sus datos con Syneto. Estos casos muestran por qué la protección del dato debe plantearse junto con la capacidad de recuperación y no como dos problemas independientes.
La pregunta no es si tienes copias, sino qué ocurriría mañana
Una empresa puede tener copias de seguridad desde hace años y, aun así, no saber cuánto tardaría en recuperarse después de un ransomware. Esa incertidumbre solo desaparece cuando existe una estrategia que combina protección, aislamiento, varios puntos de recuperación, pruebas periódicas y procedimientos claros para restaurar los sistemas.
INCIBE insiste precisamente en la necesidad de disponer de copias periódicas, mantenerlas protegidas y utilizar una copia anterior al incidente para recuperar los sistemas afectados.
Por eso, la próxima vez que revises el estado de tus backups, no te quedes únicamente con el mensaje de “copia realizada correctamente”.
Comprueba también si podrías responder a una pregunta bastante más importante:
¿Cuánto tardaría tu empresa en volver a trabajar si mañana un ransomware cifrase sus sistemas?
Desde COASER podemos ayudarte a revisar la estrategia de backup y recuperación de tu infraestructura, analizar los puntos de riesgo y diseñar una solución que permita proteger no solo los datos, sino también la continuidad de la empresa.
