Casi todas las empresas tienen copias de seguridad. Muy pocas han comprobado que restauran.
Esa distancia —entre tener backup y poder recuperar— es donde se pierden las empresas después de un incidente. El panel dice que todo está en verde, la copia se hizo anoche, y cuando llega el momento de recuperar resulta que faltaba un servidor, que la copia estaba cifrada junto al resto, o que restaurar entero lleva cuatro días y el negocio no aguanta cuatro días.
Esta guía recoge los siete criterios que separan un sistema que restaura de uno que solo copia, y cómo comprobarlo antes de necesitarlo.
El error de dar el backup por hecho
Hay tres cosas distintas que se confunden en una sola:
- Que la copia se haga. Es lo que verifica el panel. Es lo más fácil y lo menos relevante.
- Que la copia esté completa. Que incluya todo lo que hace falta para volver a funcionar: no solo los datos, también configuraciones, bases de datos, máquinas virtuales y lo que vive en la nube.
- Que la copia restaure. Que un sistema real arranque a partir de ella, en un tiempo conocido, y que quien usa ese sistema confirme que los datos están bien.
Solo la tercera es una garantía. Y es la única que casi nunca se comprueba, porque es la única que cuesta tiempo.
¿Cuándo fue la última vez que restaurasteis de verdad?
Si la respuesta es «no lo sé» o «nunca», no es un caso raro: es lo habitual. Lo comprobamos contigo sobre un sistema real y te decimos cuánto se tarda.
Los siete criterios para elegir bien
1 · RTO y RPO reales, no los del folleto
El RTO es cuánto tiempo puedes estar sin el sistema. El RPO es cuántos datos puedes permitirte perder. Los dos se fijan por negocio, no por tecnología: la pregunta no es qué puede hacer la herramienta, sino cuánto aguanta la empresa parada y cuánto trabajo puede repetirse.
Fija esos dos números antes de mirar ninguna solución. Todo lo demás se deriva de ahí.
2 · Inmutabilidad frente a ransomware
Un ataque de ransomware moderno no cifra solo los datos: busca las copias de seguridad y las cifra o las borra primero, porque sabe que son la salida. Una copia inmutable no se puede modificar ni eliminar durante un periodo definido, ni siquiera con credenciales de administrador.
Si el backup se puede borrar desde la misma consola desde la que se administra el sistema, no es una defensa frente a ransomware.
3 · Dónde residen los datos y qué implica
Importa por dos motivos: por normativa, según qué datos se traten y qué exija el sector o el cliente; y por tiempo de recuperación, porque bajar varios terabytes desde un centro de datos lejano no se mide en minutos. Pregunta en qué ubicación concreta se guardan las copias y bajo qué legislación.
4 · Quién restaura y en cuánto tiempo
Es la pregunta que más se olvida. Si el sistema se cae un viernes por la tarde, ¿quién ejecuta la restauración? ¿Alguien de dentro que sabe hacerlo, o el proveedor? ¿Con qué compromiso de respuesta? Un backup impecable con nadie disponible para restaurarlo tarda lo mismo que no tenerlo.
5 · Qué cubre y qué no: el caso de Microsoft 365
Es el agujero más extendido, porque casi nadie lo sabe. Microsoft protege la infraestructura: los centros de datos, la red, la disponibilidad del servicio y la replicación entre ubicaciones. Lo que no protege es el contenido frente a un borrado, un cifrado por ransomware o un error de configuración.
Las papeleras nativas no son un backup. En Exchange Online los elementos eliminados se conservan 30 días por defecto; en SharePoint y OneDrive, 93. Pasado ese plazo no hay nada que recuperar. Y la replicación entre centros de datos copia fielmente también los borrados y las corrupciones.
El propio contrato de servicio de Microsoft recomienda al cliente hacer copias de seguridad de su contenido con aplicaciones de terceros. Está escrito por ellos, y es el argumento definitivo cuando alguien dice que «Microsoft ya lo guarda todo».
6 · El coste real, incluida la salida de datos
El precio de almacenar suele ser transparente. El de recuperar, no siempre. Algunos servicios cobran por extraer los datos, y la factura llega justo el día del desastre, que es el peor momento para descubrirla. Pregunta explícitamente cuánto cuesta una recuperación completa.
7 · Quién responde cuando falla
Un acuerdo de nivel de servicio sobre la disponibilidad de la plataforma no es lo mismo que un compromiso sobre el tiempo de recuperación de tus datos. Lo primero lo tiene todo el mundo; lo segundo, casi nadie. Es la diferencia entre un proveedor de almacenamiento y un servicio gestionado.
¿Tu backup actual cumple los siete?
Revisamos tu sistema de copias frente a estos criterios y te decimos cuáles cumple, cuáles no y qué cuesta cerrarlos.
Local, nube, híbrido o inmutable: comparativa
No son opciones excluyentes, y la buena respuesta para una empresa mediana casi siempre combina varias:
| Enfoque | Velocidad de recuperación | Resistencia a ransomware | A tener en cuenta |
|---|---|---|---|
| Local | La más alta: los datos están al lado | Baja si está en la misma red | No protege ante incendio, robo o inundación |
| Nube | Depende del volumen y del ancho de banda | Media: mejora si está fuera del dominio | Revisar ubicación y coste de recuperación |
| Híbrido | Alta en local, respaldo en nube | Alta | Es el equilibrio habitual en empresa mediana |
| Inmutable | Igual que su soporte | La más alta: no se puede borrar | Es una propiedad, no un tipo. Se combina con los demás |
Cómo se combinan en la práctica, y con qué tecnologías, está en backup empresarial y disaster recovery. En una empresa industrial hay además sistemas de planta que también hay que respaldar y que no se comportan como un servidor de oficina: en qué se diferencian IT y OT.
La regla 3-2-1-1-0, sin tecnicismos
Es la referencia de la industria y se lee de izquierda a derecha:
- 3 copias de los datos: la original y dos más.
- 2 soportes distintos, para que un mismo fallo no se lleve las dos.
- 1 fuera de las instalaciones.
- 1 inmutable o desconectada, que es la que sobrevive al ransomware.
- 0 errores en la verificación. Este último dígito es el que convierte la regla en una garantía, y es el que casi todo el mundo ignora.
Si te suena en su versión corta, es porque la clásica es la regla 3-2-1: los dos últimos dígitos son la actualización frente a ransomware y a las copias que nadie ha verificado.
Cómo se hace una prueba de restauración de verdad
No es abrir el panel y comprobar que pone «correcto». Es esto:
- Elegir un sistema crítico real, no el menos importante.
- Restaurarlo en un entorno aislado, sin tocar producción.
- Arrancarlo y comprobar que funciona, no solo que los ficheros están.
- Validarlo con quien usa ese sistema a diario. Es quien detecta que faltan los últimos registros o que una integración no responde.
- Medir el tiempo total, desde que se decide restaurar hasta que el sistema está operativo. Ese número es tu RTO real, y suele sorprender.
- Documentar el procedimiento, para que no dependa de que esté una persona concreta.
Frecuencia razonable: trimestral para los sistemas críticos, anual para el resto. Y siempre después de un cambio importante de infraestructura.
Ocho preguntas para tu proveedor actual
Si no sabe responderlas con soltura, ya tienes el diagnóstico:
- ¿Cuál es mi RTO y mi RPO reales, medidos y no estimados?
- ¿Alguna de mis copias es inmutable?
- ¿Se puede borrar el backup desde la misma consola que administra los sistemas?
- ¿Está incluido el backup de Microsoft 365?
- ¿Dónde están físicamente las copias y bajo qué legislación?
- ¿Cuándo fue la última restauración completa que se probó y cuánto tardó?
- ¿Quién ejecuta la restauración un viernes a las siete de la tarde?
- ¿Cuánto cuesta recuperar todos los datos?
Preguntas frecuentes
¿Microsoft 365 incluye copia de seguridad?
No en el sentido que la mayoría entiende. Microsoft protege la infraestructura y la disponibilidad del servicio, pero no el contenido frente a un borrado, un ataque de ransomware o un error de configuración. Las papeleras nativas retienen 30 días en Exchange Online y 93 en SharePoint y OneDrive, y no son un sistema de backup. El propio contrato de servicio recomienda usar aplicaciones de terceros.
¿Qué es un backup inmutable?
Una copia que no se puede modificar ni eliminar durante un periodo definido, ni siquiera con credenciales de administrador. Es la defensa concreta frente al ransomware, que ataca primero las copias de seguridad precisamente porque son la salida.
¿Cada cuánto hay que probar la restauración?
Trimestralmente para los sistemas críticos y anualmente para el resto, además de después de cualquier cambio importante de infraestructura. Una prueba al año sobre un sistema que ha cambiado tres veces no demuestra gran cosa.
¿Cuánto se tarda en restaurar?
Depende del volumen, de dónde estén las copias y de quién ejecute la recuperación. La única forma de saberlo es medirlo en una prueba real. El número que sale de esa prueba es el que hay que usar para planificar, no el del folleto.
¿Es suficiente con tener la copia en la nube?
Sirve para protegerse de un problema físico en las instalaciones, pero no basta por sí solo. Si esa copia se puede borrar con las mismas credenciales que administran los sistemas, un atacante que entre la eliminará antes de cifrar nada.
¿Qué pasa si mi proveedor de copias cierra?
Es una pregunta legítima y conviene tenerla resuelta por contrato: en qué formato se entregan los datos, en cuánto tiempo y con qué coste. Forma parte de la diligencia mínima al contratar.
Qué estás decidiendo en realidad
Elegir un sistema de copias de seguridad no es comparar precios de almacenamiento. Es decidir cuánto tiempo puede estar tu empresa parada y cuánto trabajo puede permitirse repetir, y comprar en consecuencia. Y si quieres esa revisión del sistema de copias dentro de una foto completa —accesos, procesos y red de planta incluidos—, eso es lo que hace una auditoría de ciberseguridad.
Y luego comprobarlo. Una vez al trimestre, sobre un sistema de verdad.
Solicita una prueba de restauración
Restauramos un sistema real de tu empresa en un entorno aislado, medimos el tiempo que tarda en estar operativo y te entregamos el resultado con las brechas detectadas.
