Elaborar un plan de copias de seguridad: qué debe incluir

¿Para qué un plan de copias de seguridad?

Sin plan, las copias crecen al ritmo de la TI: aquí un trabajo para el nuevo servidor, allá un disco USB para contabilidad. Si todo está cubierto y si la restauración se logra en el tiempo necesario, entonces nadie lo sabe con certeza. El plan obliga a responder estas preguntas por completo una vez y deja constancia de las respuestas para que no dependan de una sola persona.

También se espera desde fuera. El RGPD exige en su art. 32 la capacidad de restaurar con rapidez los datos personales tras un incidente y la verificación periódica de las medidas (Copias de seguridad y RGPD). NIS2 menciona expresamente la gestión de copias de seguridad entre las obligaciones de las entidades afectadas (NIS2 y copias de seguridad). En el IT-Grundschutz de la Oficina Federal alemana de Seguridad de la Información (BSI), el tema tiene un módulo propio, CON.3 «Concepto de copias de seguridad». Y las aseguradoras de ciberriesgos suelen preguntar cómo se hacen las copias antes incluso de firmar la póliza.

Los nueve componentes

Un plan completo responde a nueve preguntas. Para una pequeña empresa suelen bastar unas pocas páginas.

RPO y RTO: las dos cifras más importantes

El objetivo de punto de recuperación (RPO) indica cuánto trabajo puede perderse como máximo: con una copia diaria a las 3 de la madrugada, hasta un día. El objetivo de tiempo de recuperación (RTO) indica cuánto tiempo puede estar fuera de servicio un sistema como máximo hasta que vuelva a funcionar. Ninguna de las dos cifras la fija TI en solitario, sino la dirección junto con los departamentos: ¿cuánto cuesta un día sin el sistema de gestión de mercancías, cuánto una mañana perdida en contabilidad?

Los valores son ejemplos. Lo decisivo es que se fijen de forma consciente y se confirmen con pruebas: un RTO de cuatro horas no vale nada si en la prueba la restauración del servidor de bases de datos tarda seis.

Ubicaciones y conservación

Para las ubicaciones ha demostrado su eficacia la regla 3-2-1, que también recomienda el BSI: tres copias en dos soportes distintos, una de ellas fuera de la empresa. Frente al ransomware se añade una copia inmutable o desconectada, además de pruebas periódicas: la regla 3-2-1-1-0.

La conservación suele seguir un esquema de generaciones: versiones diarias durante algunas semanas, semanales durante algunos meses y mensuales durante un año o más. Muchas versiones antiguas ayudan cuando un ataque o un error se detecta tarde. El RGPD pone un límite superior: las copias con datos personales no deben conservarse más tiempo del necesario y después deben caducar automáticamente.

Claves, permisos y responsabilidades

Una copia cifrada vale tanto como la custodia de su clave. Si la clave solo está en el servidor que falla, la copia se pierde con él. El plan establece dónde se guarda la clave, por ejemplo en un sobre de emergencia sellado en la caja fuerte y como copia en un segundo lugar, y quién tiene acceso a ella.

Igual de importantes son los permisos: los sistemas protegidos no deberían poder borrar sus propias copias; de lo contrario, también podría hacerlo un atacante con sus derechos. Y debe estar claro quién lee los avisos de error, quién sustituye durante las vacaciones y quién decide en una emergencia. El orden de restauración (primero la red y el servicio de directorio, luego las bases de datos y después las aplicaciones de negocio) va en el manual de emergencias junto con las personas de contacto.

Pruebas y evidencias

Un plan que nunca se ha ensayado es una suposición. Las pruebas de restauración periódicas confirman el RPO y el RTO y revelan lagunas, como una unidad nueva que nunca se incluyó en la copia. Cada copia, cada prueba y cada supresión debería quedar registrada de forma trazable: es la evidencia ante auditores, aseguradoras y la propia dirección.

Revise el plan al menos una vez al año y con cada cambio importante: una sede nueva, una nueva aplicación de negocio, el traslado de servicios a la nube o un cambio en el equipo de TI.

Lista de control

• Todos los sistemas, conjuntos de datos y servicios en la nube como Microsoft 365 están registrados, cada uno con un responsable.
• El RPO y el RTO de cada sistema están fijados con la dirección.
• El tipo de copia y la programación están fijados para cada sistema; las bases de datos se copian de forma coherente.
• Hay al menos tres copias en dos soportes, una fuera de la empresa y otra inmutable o desconectada.
• La conservación está fijada por generaciones y las copias caducadas se suprimen automáticamente.
• Las copias están cifradas y la clave se guarda por separado y accesible en caso de emergencia.
• Los sistemas protegidos no pueden borrar sus copias.
• La responsabilidad y la suplencia para avisos y emergencias están reguladas.
• El orden de recuperación figura en el manual de emergencias.
• La restauración se prueba con regularidad y los resultados están documentados.
• La próxima fecha de revisión del plan está en el calendario.

Cómo pone AegisGrid el plan en práctica

Con AegisGrid, el plan se convierte en configuración. Una ejecución escribe en hasta ocho destinos: disco local, NAS, su propio servidor de copias, una segunda sede o el almacenamiento en la nube. Las programaciones tienen en cuenta los festivos de cada estado federado alemán y recuperan las ejecuciones perdidas, y la conservación se aplica por destino, también por generaciones. Los datos se cifran en el sistema protegido y la clave queda en sus manos. En un almacenamiento WORM del servidor de copias, cada copia está bloqueada contra cambios y borrado hasta que vence su bloqueo, también frente a los equipos protegidos.

El servidor de copias avisa de las copias que faltan, restaura copias periódicamente a modo de prueba y lleva un registro de evidencias firmado, del que cada mes se genera un informe de evidencias en PDF: la prueba de que el plan se cumple de verdad. Si prefiere no encargarse usted de la operación, puede confiarla a nuestro backup gestionado.