Copia inmutable: una copia que nadie puede borrar
El ransomware busca primero la copia de seguridad. Si se llega a tu copia con las mismas credenciales que a los sistemas que protege, no es una copia de seguridad: es un segundo objetivo.
Una copia inmutable es una copia que no se puede modificar ni borrar durante un periodo de retención fijado, ni siquiera por un administrador. Veeam lo permite mediante repositorios reforzados y almacenamiento de objetos con bloqueo, y es la defensa más eficaz contra que la copia acabe cifrada junto con todo lo demás.
La regla práctica es 3-2-1-1-0: tres copias, en dos tipos de soporte, una fuera de las instalaciones, una inmutable o desconectada, y cero errores en la última prueba de restauración verificada.
El número que importa no es cada cuánto copias, sino cuánto tardas en volver. Acuerda por escrito el tiempo de recuperación y demuéstralo una vez al año con una restauración real.
Por qué la inmutabilidad cambió el cálculo
Durante años el consejo estándar fue tres copias, dos soportes, una fuera. Sigue siendo correcto, pero da por hecho que aquello de lo que te recuperas es un incendio o un disco averiado. El ransomware moderno es paciente: entra, espera, observa qué cuenta ejecuta el trabajo de copia y borra o cifra el repositorio antes de tocar nada visible.
La inmutabilidad elimina esa opción. Una vez escrito un punto de restauración, no se puede modificar ni borrar hasta que vence su retención, lo pida quien lo pida. Un atacante con permisos completos de administrador de dominio sigue sin poder borrar el día de ayer.
La regla 3-2-1-1-0 en la práctica
| Cifra | Significa | En la práctica |
|---|---|---|
| 3 | Tres copias de los datos | La copia en producción más dos copias de seguridad |
| 2 | En dos tipos de soporte distintos | Un equipo local más almacenamiento de objetos, por ejemplo |
| 1 | Una copia fuera de las instalaciones | Una segunda ubicación o un destino en la nube, no la misma sala de servidores |
| 1 | Una copia inmutable o desconectada | Repositorio reforzado, bloqueo de objetos o soporte realmente desconectado |
| 0 | Cero errores en la última prueba de restauración | Una restauración verificada, no un registro de trabajo correcto |
La última cifra es donde falla en silencio la mayoría de las organizaciones. Un trabajo de copia en verde significa que la copia se escribió. No significa que esa copia pueda volver a convertirse en un sistema que funciona.
RTO y RPO, sin la jerga
Dos números guían cada decisión de diseño, y ambos son decisiones de negocio antes que técnicas.
- Objetivo de punto de recuperación. Cuánto trabajo estás dispuesto a perder. Si copias cada noche, la respuesta es hasta un día. Para un sistema de caja o un sistema de gestión de almacén, un día suele ser inaceptable y la respuesta tiene que ser minutos.
- Objetivo de tiempo de recuperación. Cuánto tiempo puedes estar parado. Es el número que la gente subestima, porque restaurar dos terabytes por una conexión dimensionada para uso de oficina tarda bastante más que copiarlos en local.
Ponemos ambos por escrito antes de diseñar nada, y diseñamos para cumplirlos en lugar de para llenar un disco. Eso es lo que cubre copias y continuidad.
Con qué lo construimos
- Veeam para copia y replicación de cargas virtuales, físicas y en la nube, con repositorios reforzados para la copia inmutable. Es nuestra opción por defecto porque cubre VMware, Hyper-V, Microsoft 365 y servidores físicos desde una sola consola.
- Synology para almacenamiento en red por sede y como destino local de restauración, que es lo que hace posible una recuperación rápida sin traerlo todo de vuelta por internet.
- Datto cuando una restauración local muy rápida importa más que la profundidad del archivo, normalmente en sedes pequeñas que no toleran una parada larga.
- Schneider Electric para SAI y alimentación de rack. Un apagado controlado evita la corrupción que convierte un corte de luz en una restauración.
- Azure o AWS, almacenamiento de objetos con bloqueo activado para la copia inmutable fuera de las instalaciones.
Microsoft 365 no lo respalda Microsoft por ti
Esto todavía sorprende. Microsoft garantiza la disponibilidad del servicio, no la recuperabilidad de tu contenido una vez pasada la ventana de retención. Buzones eliminados, sitios de SharePoint purgados y un canal de Teams que alguien limpió se pueden recuperar durante un periodo limitado, y después desaparecen.
Si tu organización funciona sobre Microsoft 365, respáldalo aparte. Es barato en relación con la exposición, y es la carencia que más veces encontramos al hacernos cargo de un entorno.
La prueba de restauración es todo el objetivo
Una copia que nunca has restaurado es una hipótesis. Una vez al año restauramos un sistema real desde un punto de restauración real, en un entorno aislado, y anotamos cuánto tardó. Ese número entra en el informe, y si no coincide con el tiempo de recuperación acordado cambiamos el diseño, no la promesa.
La prueba también saca a la luz los fallos aburridos: la aplicación que necesita una licencia que nadie guardó, el servidor que no arranca sin un controlador de dominio que se restauró en segundo lugar, la base de datos que vuelve pero sin las tareas programadas. Nada de eso aparece en un registro de copia.
Qué deberías ver cada mes
Tasa de éxito de copia por sistema, antigüedad del punto de restauración más viejo y más reciente, capacidad usada frente a capacidad disponible, y cualquier trabajo que haya fallado dos veces seguidas. Con menos que eso, lo que te piden es que confíes en una marca verde.
Ese informe forma parte del gobierno de servicio, así que llega con un ritmo fijo y no cuando alguien lo pide.
Lo que nos preguntan sobre esto
Lo que sale en cada conversación sobre continuidad.
¿Qué es una copia de seguridad inmutable?
Una copia que no se puede modificar ni borrar hasta que vence su periodo de retención, ni siquiera por alguien con permisos de administrador. Se crea con un repositorio reforzado o con almacenamiento de objetos con bloqueo, y es lo que impide que el ransomware cifre tu opción de recuperación junto con los sistemas en producción.
¿Microsoft hace copia de seguridad de Microsoft 365?
No como la mayoría supone. Microsoft protege la disponibilidad de la plataforma y ofrece una retención limitada de los elementos eliminados, pero una vez pasada esa ventana el contenido desaparece. Una copia separada de Microsoft 365 forma parte estándar de cualquier diseño de continuidad que construimos.
¿Cada cuánto hay que probar una restauración?
Al menos una vez al año para la restauración completa de un sistema, y de forma continua con verificación automática allí donde la herramienta lo permite. La prueba anual es lo que convierte una suposición en un número que puedes poner delante de un consejo o de un auditor.
¿De qué depende un diseño de copia de seguridad?
Del volumen de datos y de lo rápido que necesites estar de vuelta. La variable cara es el tiempo de recuperación, no el almacenamiento: volver en una hora exige bastante más que volver en un día. Planteamos las dos opciones para que decidas qué sistemas justifican cuál.
Dónde encaja esto en nuestro trabajo
Dónde conecta la continuidad.
¿Quieres que lo revisemos en tus sedes?
Media hora de llamada suele bastar para saber si somos la parte adecuada, y lo diremos si no lo somos.