En las auditorías que hacemos, la pregunta “¿tenéis copias de seguridad?” casi siempre se responde con un sí tranquilo. La siguiente pregunta —“¿cuándo fue la última vez que restaurasteis una?”— suele generar un silencio incómodo.
No es un fallo de nadie en concreto: es que una copia que se ejecuta cada noche y no da error parece una copia que funciona. Y no siempre lo es.
Lo que falla en la práctica
Estos son los casos que más nos hemos encontrado, por orden de frecuencia:
- La copia se hace, pero no incluye todo: falta una base de datos, una carpeta compartida o el servidor que se añadió hace ocho meses.
- La copia está en el mismo sitio que el original. Un incendio, un robo o un ransomware se lleva las dos.
- La copia se hace en un disco USB que lleva meses desconectado y nadie lo ha mirado.
- La copia existe y está completa, pero restaurarla tarda cuatro días y el negocio aguanta uno.
- La copia está cifrada y nadie sabe dónde está la clave.
La regla 3-2-1, en cristiano
Tres copias de tus datos, en dos soportes distintos, con una de ellas fuera de la sede. Es lo mínimo. Sobre eso, hoy añadimos una condición más: al menos una copia debe ser inmutable, es decir, que no se pueda borrar ni siquiera con credenciales de administrador. Es lo único que aguanta un ransomware bien hecho.
Una copia sin prueba de restauración no es una copia: es una intención.
Cómo probarlo sin montar un circo
No hace falta parar la empresa para probar una restauración. Nosotros lo hacemos así:
- Se levanta la copia en un entorno aislado, sin tocar producción.
- Se comprueba que arranca, que los datos están y que la fecha es la que debería.
- Se cronometra: cuánto se tarda desde que se decide restaurar hasta que el servicio está usable.
- Se documenta el resultado y se compara con el RTO acordado.
Ese último punto es el que convierte el ejercicio en algo útil. Si tu plan dice que en ocho horas estás operativo y la prueba dice veintiséis, tienes un problema que resolver hoy, con calma, y no el día del desastre.
Dos preguntas que deberías poder responder
RPO: ¿cuántas horas de trabajo puedes permitirte perder? Eso marca cada cuánto hay que copiar. RTO: ¿cuánto tiempo puedes estar parado? Eso marca qué tecnología necesitas.
Si no tienes esos dos números acordados por escrito con dirección, lo demás son detalles técnicos sin contexto.
