Disponer de copias de seguridad es una parte imprescindible de cualquier estrategia de protección del dato, pero existe una diferencia importante entre tener un backup y saber que la empresa podrá utilizarlo cuando realmente lo necesite.
Este fue precisamente el punto de partida de uno de nuestros proyectos. La empresa realizaba copias periódicas de sus sistemas y disponía de mecanismos para recuperar información ante errores o fallos habituales, pero necesitaba reforzar su capacidad de respuesta ante un escenario diferente: un ataque de ransomware capaz de comprometer no solo los sistemas de producción, sino también las propias copias.
Desde COASER analizamos la infraestructura y planteamos una evolución de la estrategia de protección basada en copias de seguridad inmutables con Syneto, integrando protección y recuperación dentro de un entorno diseñado para mantener disponibles puntos de restauración que no pudieran ser modificados por el ransomware.
El objetivo no era simplemente almacenar más copias. Era conseguir que, si los sistemas principales quedaban comprometidos, la empresa dispusiera de una vía fiable para recuperar su actividad.
El reto: tener copias no significaba tener garantizada la recuperación
La empresa ya contaba con una política de backup. Los sistemas críticos se respaldaban periódicamente y existían diferentes puntos desde los que recuperar archivos o información en caso de fallo.
A primera vista, la protección parecía suficiente.
Sin embargo, al revisar el entorno detectamos que buena parte de la estrategia se había construido pensando principalmente en fallos técnicos, borrados accidentales o averías. El escenario de un ataque deliberado requería analizar algo más: qué ocurriría si el malware alcanzaba también los repositorios en los que estaban almacenadas las copias.
Es un riesgo que no debe tratarse como una posibilidad teórica. INCIBE ha documentado incidentes reales en los que un ataque de ransomware consiguió cifrar servidores y afectar también a sistemas NAS donde se encontraban las copias de seguridad. En uno de esos casos, la organización pudo recuperar información porque disponía de copias adicionales almacenadas en otro entorno.
Por eso, desde COASER no analizamos únicamente si existían backups. Revisamos también cómo estaban protegidos, qué dependencia mantenían respecto al entorno de producción y qué procedimiento debía seguirse para recuperar los servicios.
Este enfoque forma parte de nuestra propuesta de ciberseguridad y protección del dato, donde combinamos prevención con continuidad y recuperación ante incidentes. COASER integra actualmente dentro de esta área soluciones de protección del dato e infraestructura hiperconvergente orientadas precisamente a reducir el impacto de un ciberataque sobre la operativa.
El análisis cambió el foco del backup a la recuperación
Una de las primeras conclusiones del proyecto fue que medir la protección únicamente por la existencia de una copia podía ofrecer una falsa sensación de seguridad.
El verdadero criterio debía ser otro: si mañana una parte de la infraestructura queda cifrada, ¿desde qué punto recuperamos y cómo volvemos a poner en marcha los sistemas?
Esta pregunta obligó a revisar la estrategia desde tres perspectivas.
Proteger las copias frente al propio ataque
Un ransomware que consigue suficiente acceso a la infraestructura puede intentar cifrar, borrar o inutilizar información accesible desde los sistemas comprometidos.
Por eso era necesario disponer de puntos de recuperación protegidos frente a modificaciones posteriores. El objetivo era impedir que la misma amenaza que comprometiera producción pudiera alterar también aquellas versiones que debían utilizarse para restaurar los sistemas.
INCIBE recomienda mantener copias periódicas y conservar al menos una en un entorno aislado de la red empresarial, precisamente para evitar que un incidente que se propaga por la infraestructura elimine también la posibilidad de recuperación.
Determinar qué sistemas debían recuperarse primero
La continuidad no depende solo de conservar la información.
También es necesario establecer prioridades. Algunos sistemas pueden permanecer detenidos temporalmente sin provocar un impacto grave, mientras que otros resultan esenciales para que los equipos puedan seguir trabajando.
Durante el análisis identificamos las cargas con mayor importancia operativa y estructuramos la protección teniendo en cuenta qué servicios deberían recuperarse primero si se producía una incidencia.
Convertir la restauración en un proceso previsto
La tercera cuestión estaba relacionada con el procedimiento.
Una copia no aporta todo su valor hasta que existe una forma clara de utilizarla. Por eso la estrategia debía contemplar también cómo localizar el punto de recuperación adecuado, restaurar las cargas necesarias y validar posteriormente que los sistemas podían volver a utilizarse con normalidad.
Copias de seguridad inmutables con Syneto
A partir de este análisis planteamos la protección mediante tecnología Syneto.
Una de las capacidades que resultaba especialmente adecuada para el proyecto era la utilización de Recovery Points inmutables. SynetoOS utiliza puntos de recuperación que, una vez creados, no pueden ser modificados durante su periodo de retención y los combina con aislamiento lógico entre producción y el almacenamiento destinado a la recuperación.
Esta arquitectura permitía abordar el problema desde una perspectiva diferente a la de un backup tradicional añadido como una herramienta independiente.
En nuestra página sobre Syneto y protección del dato explicamos cómo la plataforma combina virtualización, copias integradas, restauración y recuperación ante desastres dentro de un mismo entorno.
Puntos de recuperación que no pueden sobrescribirse
El primer cambio fue reforzar la protección de las versiones utilizadas para recuperación.
Los Recovery Points inmutables de Syneto están diseñados para impedir su modificación durante el periodo establecido, incluso si las credenciales del entorno principal llegan a verse comprometidas. Syneto describe esta arquitectura mediante almacenamiento inmutable y un air-gap lógico destinado a aislar los puntos de recuperación de las cargas de producción.
Para la empresa, esto suponía pasar de confiar únicamente en que la copia existiera a disponer de puntos específicamente preparados para permanecer disponibles ante un escenario de ransomware.
Protección integrada en la propia infraestructura
Otro de los cambios importantes fue dejar de considerar el backup como un elemento completamente separado.
Con Syneto, la protección del dato forma parte de la propia plataforma. Virtualización, almacenamiento, Data Protection y Disaster Recovery pueden integrarse dentro del mismo entorno, reduciendo la cantidad de soluciones independientes necesarias para gestionar la recuperación.
Desde COASER ya utilizamos este planteamiento en proyectos de continuidad y protección del dato. Por ejemplo, en el caso de la Fundación San Prudencio diseñamos una arquitectura basada en Syneto orientada a reforzar backup, recuperación y continuidad operativa.
La recuperación pasó a formar parte de la estrategia de ciberseguridad
La implantación modificó también la forma de entender la protección de la infraestructura.
Anteriormente, seguridad y backup se gestionaban como cuestiones relacionadas, pero diferentes. Las herramientas de ciberseguridad intentaban impedir el incidente y las copias actuaban como mecanismo de respaldo ante determinados problemas.
El nuevo planteamiento incorporó una tercera pieza con mucho más peso: la capacidad de recuperación.
Las medidas preventivas siguen siendo imprescindibles. Firewalls, protección endpoint, actualización de sistemas, control de accesos y monitorización continúan formando parte de cualquier arquitectura de seguridad razonable. Pero ningún sistema preventivo permite asumir que un incidente nunca llegará a producirse.
Por eso la empresa pasó a trabajar también sobre la pregunta que aparece después del ataque: qué hacemos cuando una carga crítica ya no está disponible.
La propia estrategia recomendada por INCIBE ante ransomware contempla la restauración desde una copia anterior a la infección y destaca la importancia de disponer de backups que no hayan resultado comprometidos por el incidente.
El resultado: de tener backups a disponer de una estrategia de recuperación
El principal cambio del proyecto no puede resumirse simplemente en la incorporación de una nueva tecnología.
La transformación estuvo en cómo la empresa pasó a gestionar el riesgo.
Las copias quedaron mejor protegidas frente al ransomware
La introducción de puntos de recuperación inmutables añadió una barrera específica frente a la modificación de las copias utilizadas para restaurar sistemas.
De esta forma, la protección ya no dependía únicamente de que el repositorio de backup permaneciera fuera del alcance del atacante.
La recuperación dejó de improvisarse
El proyecto permitió establecer con mayor claridad qué sistemas tenían prioridad, desde qué puntos debían recuperarse y cómo abordar una restauración después de un incidente.
Esta planificación resulta especialmente importante cuando el problema afecta simultáneamente a diferentes servidores o máquinas virtuales.
La continuidad pasó a formar parte del diseño tecnológico
También cambió el criterio utilizado para evaluar futuras decisiones de infraestructura.
A partir de la implantación, una nueva aplicación o carga no debía analizarse únicamente desde el punto de vista de capacidad, rendimiento o almacenamiento. Su protección y recuperación tenían que formar parte del mismo planteamiento.
Esta filosofía está también detrás de otros proyectos que hemos realizado con Syneto, como el de protección del dato de Rulisa Hydraulics, donde la solución se planteó precisamente alrededor de la capacidad de mantener protegida la información y recuperar la infraestructura ante una incidencia.
Prepararse para un ransomware significa saber cómo volver a trabajar
La mejor estrategia frente al ransomware no puede limitarse a intentar impedir que el ataque ocurra.
La prevención es fundamental, pero la resiliencia de una empresa también depende de su capacidad para recuperar datos, aplicaciones y sistemas cuando las medidas preventivas no han sido suficientes.
En este proyecto, las copias de seguridad inmutables permitieron reforzar esa segunda línea de defensa. La empresa pasó de disponer de backups convencionales a trabajar con puntos de recuperación protegidos y con una estrategia en la que restauración y continuidad formaban parte de la arquitectura.
Syneto mantiene actualmente este mismo enfoque en su propuesta específica de protección frente al ransomware, combinando Recovery Points inmutables, aislamiento lógico y capacidades de recuperación integradas en SynetoOS. Puedes consultar el funcionamiento técnico en la información oficial de Syneto sobre protección frente al ransomware.
Desde COASER analizamos la protección del dato desde esta perspectiva: no solo comprobar que existen copias, sino determinar si estarán disponibles cuando realmente sean necesarias y cómo puede recuperarse la actividad.
Si quieres revisar si las copias actuales de tu empresa están realmente preparadas frente a un ataque de ransomware, puedes hablar con nuestro equipo para analizar la infraestructura, la estrategia de backup y los procedimientos de recuperación.
