Copias de seguridad y recuperación: una copia solo cuenta si puede demostrar que restaura
Cómo montar copias de seguridad que resistan un ransomware, fijar objetivos de recuperación por sistema y demostrar con pruebas cronometradas que puede restaurar.
En este tema: Tecnología y datos 18
El programa de copias de seguridad informa de lo que copió, no de lo que usted puede recuperar. Una marca verde dice que anoche salieron datos hacia algún sitio, no si la copia está completa, si se puede leer, si un atacante llega hasta ella ni cuánto tardaría la empresa en volver a trabajar. Copias de seguridad y recuperación solo funcionan juntas, y la recuperación es la mitad que más se aplaza.
Los atacantes lo saben. El CCN-CERT, el equipo de ciberseguridad del Centro Criptológico Nacional de España, describe ransomwareRansomwarePrograma malicioso que cifra o roba datos para que los delincuentes puedan exigir un pago a cambio de liberarlos. que desactiva las instantáneas de volumen de Windows y elimina los puntos de restauración (fuente: CCN-CERT, abril de 2021), y Microsoft advierte de que estos atacantes invierten mucho en neutralizar las aplicaciones de copia de seguridad (fuente: Microsoft, julio de 2026). Una copia solo cuenta cuando ha restaurado desde ella, con el reloj en marcha y con alguien del negocio comprobando el resultado.
- Un borrado o un cifrado llega a todas las copias
- No hay forma de volver a un momento anterior
- Copias separadas de momentos anteriores
- Se restaura la última versión limpia
La sincronización mantiene todas las copias idénticas: si un archivo se cifra en un equipo, la versión cifrada sustituye a la buena en todos los demás en cuanto se sincronizan.
Una copia de seguridad es una copia separada de un momento anterior; una carpeta sincronizada no lo es. Guarde al menos una copia que ninguna cuenta de administración de su red pueda modificar ni borrar, fije por sistema cuántos datos puede perder y cuánto tiempo puede estar parado, y demuestre con pruebas cronometradas que cumple ambos límites. La dirección fija los límites; TI los hace funcionar.
- Copias
- Objetivos de recuperación
- Ransomware
- Pruebas de restauración
Tres copias, dos soportes, una fuera de la empresa y otra fuera de alcance
La regla clásica sigue valiendo. Necesita un añadido ahora que los atacantes también van a por las copias.
INCIBE, el Instituto Nacional de Ciberseguridad de España, resume la estrategia 3-2-1 así: tres copias de cualquier archivo importante, el original y dos copias de seguridad, en dos soportes distintos y con una copia fuera de la empresa (fuente: INCIBE, marzo de 2020). La idea es que ningún suceso aislado, sea un incendio, un disco que falla o una carpeta borrada, alcance todas las copias a la vez.
Una cuenta de administrador robada es otro tipo de suceso: llega a toda copia en la que pueda iniciar sesión. El CCN-CERT recomienda aislar de la red los servidores de copias y tener una copia físicamente aislada y desconectada (fuente: CCN-CERT, abril de 2021), y Microsoft aconseja guardar las copias sin conexión, fuera del sitio o en almacenamiento inmutableAlmacenamiento inmutableAlmacenamiento que no permite modificar ni borrar una copia antes de una fecha pactada, ni siquiera a un administrador. (fuente: Microsoft, julio de 2026). Ese es el más uno: una copia aislada o inmutable.
Para una asesoría con sus archivos en SharePoint, eso podría ser: el original en la nube de Microsoft, una copia diaria inmutable en otro proveedor con cuentas propias y una copia mensual cifrada en un disco guardado fuera.
RPO y RTO en palabras sencillas
Dos límites deciden qué deben poder hacer sus copias. La dirección los fija por sistema, antes de comprar nada.
El objetivo de punto de recuperación (RPO, siglas en inglés) es el momento hasta el que deben recuperarse los datos tras una interrupción (fuente: NIST, mayo de 2010). Es decir, cuánto trabajo puede perder: con una copia cada noche, hasta un día entero. El objetivo de tiempo de recuperación (RTO) es cuánto tiempo puede estar un sistema en recuperación antes de que el negocio sufra (fuente: NIST, mayo de 2010): cuánto tiempo puede trabajar sin él. Debe ser menor que el tiempo máximo de inactividad tolerable, la interrupción que el responsable del proceso está dispuesto a aceptar (fuente: NIST, mayo de 2010).
Piense en un mayorista. La gestión de pedidos puede perder como mucho una hora de pedidos y debe volver a funcionar en medio día laborable, lo que exige copias cada hora y una restauración ensayada. El archivo histórico puede perder una semana y esperar quince días.
Los límites más cortos cuestan más, así que compárelos con lo que cuesta un día sin cada sistema: ventas perdidas, horas extra, penalizaciones. Es una decisión de la dirección, no un ajuste del proveedor de TI.
Qué copiar: servidores, equipos, servicios en la nube y configuración
Una copia es tan completa como su lista. Los huecos típicos están en los equipos de los empleados y en los servicios en línea.
Microsoft es claro sobre su propia nube: en todos los tipos de implementación, usted es propietario de sus datos e identidades y responde de su protección (fuente: Microsoft, agosto de 2026). Los servicios traen redes de seguridad. Lo eliminado se queda 93 días en la papelera de reciclaje de SharePoint, y una biblioteca de documentos puede volver a cualquier momento de los últimos 30 días, también tras un ransomware (fuente: Microsoft, junio de 2024). Útil, pero esas redes dependen de las mismas cuentas de administración que los datos.
Para una copia real de SharePoint, OneDrive y Exchange Online, Microsoft vende aparte la Copia de seguridad de Microsoft 365, de pago por uso; su almacenamiento es de solo anexión, así que las copias no se pueden sobrescribir, y los datos no salen del límite de confianza de Microsoft 365 (fuente: Microsoft, agosto de 2026). Todo sigue en un solo proveedor. INCIBE pide que el contrato y el acuerdo de nivel de servicio de cada servicio en la nube digan quién hace las copias de seguridad (fuente: INCIBE, noviembre de 2026); si no lo hace nadie, le toca a usted.
| Qué | Hueco habitual | Qué añadir |
|---|---|---|
| Servidores y bases de datos | Se copian archivos, pero no el sistema completo ni una base de datos coherente | Copias de imagen de sistemas completos y copias que respeten la base de datos |
| Equipos de los empleados | El trabajo guardado en el propio equipo nunca llega al servidor | Carpetas centrales con copia, o una copia de los datos locales |
| Servicios en línea (SaaSSaaS (software como servicio)Una aplicación en línea que se paga por suscripción, como una contabilidad en la nube o un CRM.) | Solo las papeleras y el historial de versiones del proveedor | Una copia aparte o una exportación periódica con otras cuentas |
| Configuración | Reglas del cortafuegos y ajustes de red y de nube que existen en un solo sitio | Una exportación tras cada cambio |
| Documentos de recuperación | Las instrucciones para restaurar están en el servidor que ha fallado | Manual, contactos y dónde están las claves, fuera de la red; Microsoft aconseja proteger o imprimir los procedimientos de restauración (fuente: Microsoft, julio de 2026) |
Copias de seguridad fuera del alcance de un atacante
Una copia que funciona deja sin sentido el rescate, y por eso los atacantes van a por ella. Cuatro medidas mantienen al menos una copia fuera de su alcance.
- Aislada o inmutable: guarde al menos una copia sin conexión, fuera del sitio o en almacenamiento inmutable (fuente: Microsoft, julio de 2026).
- Borrado con un segundo paso: exija un paso fuera de banda, como la MFAMFA (autenticación multifactor)Iniciar sesión con la contraseña y un segundo paso, como un código en el teléfono. o un PIN de seguridad, antes de modificar o borrar una copia en línea (fuente: Microsoft, julio de 2026), y administre las copias con cuentas que no se usen para nada más.
- Servidores de copias aislados: separe del resto de la red los servidores o cabinas de copias (fuente: CCN-CERT, abril de 2021), para que un equipo infectado no llegue a ellos.
- Varias versiones: reserve espacio para más de una copia de cada sistema, para poder recurrir a una copia anterior sin cifrar (fuente: CCN-CERT, abril de 2021).
La palabra se usa con poca precisión. La Copia de seguridad de Microsoft 365, por ejemplo, protege las copias contra sobrescrituras, pero no bloquea su eliminación (fuente: Microsoft, agosto de 2026). Pregunte quién puede borrar una copia, al cabo de cuánto tiempo y a quién se avisa cuando alguien lo intenta.
Cifrado y claves
Cifre las copias, sin duda las que salen de la empresa: INCIBE pide cifrar las que contienen información confidencial y las que se suben a la nube (fuente: INCIBE, noviembre de 2026). Proteja la clave con el mismo cuidado que los datos, porque quien la borra o la cambia inutiliza la copia sin tocarla. Guarde una copia de ella fuera del sistema, por ejemplo impresa en una caja fuerte, y asegúrese de que alguien ajeno al proveedor de TI sabe dónde está.
Pruebas de restauración: con qué frecuencia y hasta dónde
Una copia que nunca se ha restaurado es una promesa. Una prueba cronometrada la convierte en una evidencia para la dirección, un auditor o una aseguradora.
El marco de ciberseguridad del NIST pide que las copias de seguridad se creen, protejan, mantengan y comprueben, y que su integridad se verifique antes de usarlas para restaurar (fuente: NIST, febrero de 2024). INCIBE aconseja fijar una periodicidad para las pruebas de restauración (fuente: INCIBE, noviembre de 2026). En la UE hay también un motivo legal: entre las medidas de seguridad del artículo 32 del RGPD figuran la capacidad de restaurar con rapidez la disponibilidad y el acceso a los datos personales tras un incidente y la verificación regular de esas medidas (fuente: AEPD, junio de 2021).
La guía de contingencia del NIST distingue entre un ejercicio de mesa, una conversación sin equipos, y un ejercicio funcional en el que cada persona ejecuta su tarea; para sistemas de impacto moderado incluye recuperar desde los soportes de copia (fuente: NIST, mayo de 2010). Cronometre cada prueba frente al RTO y pare el reloj cuando un usuario pueda trabajar, no cuando el programa diga que ha terminado.
| Prueba | Qué demuestra | Frecuencia |
|---|---|---|
| Archivos sueltos y un buzón de correo | Las restauraciones del día a día funcionan y la gente sabe pedirlas | Cada mes |
| Una aplicación o base de datos completa | Vuelve coherente y con sus conexiones funcionando | Cada trimestre, rotando sistemas |
| El sistema más crítico, desde la copia fuera de alcance | La recuperación tras un ataque cabe en el RTO | Al menos una vez al año |
| Ejercicio de mesa del manual de recuperación | Cada persona conoce su tarea y el orden de recuperación | Cada año y tras cambios importantes |
Hasta dónde puede volver atrás
INCIBE aconseja conservar más de una copia de situaciones anteriores, y no guardar únicamente la última (fuente: INCIBE, marzo de 2020). Fije la conservación por tiempo y no por número de copias: si el sistema guarda solo las diez últimas, una ráfaga de copias dañadas puede expulsar la última limpia. Y si una intrusión pasa inadvertida más tiempo que su periodo de conservación, todas las copias la contienen ya.
Hay dos límites externos. Las normas mercantiles y fiscales obligan a conservar documentos durante un plazo: en España, el Código de Comercio exige guardar libros, correspondencia, documentación y justificantes durante seis años (fuente: BOE, mayo de 2023), y en América Latina cada país fija los suyos. El RGPD, en cambio, pide no conservar los datos personales más tiempo del necesario y fijar plazos para su supresión o revisión periódica (fuente: Diario Oficial de la UE, mayo de 2016).
Copia de seguridad, recuperación ante desastres y continuidad del negocio: quién responde de qué
Los tres términos se usan como si fueran lo mismo. Responden a preguntas distintas, y cada uno necesita un responsable.
Copia de seguridad
Copias de los datos de momentos anteriores. Responde a una sola pregunta: ¿qué podemos recuperar?
Recuperación ante desastres
Volver a poner en marcha los sistemas tras una interrupción grave, si hace falta en otro lugar mediante conmutación por errorConmutación por error (failover)Pasar a un sistema de reserva, a menudo en otra ubicación, cuando falla el sistema principal.. El NIST describe este plan como la recuperación de sistemas en una instalación alternativa (fuente: NIST, mayo de 2010).
Continuidad del negocio
Seguir trabajando mientras los sistemas están caídos: soluciones provisionales, prioridades y comunicación. El NIST lo describe como sostener los procesos de negocio durante y después de una interrupción (fuente: NIST, mayo de 2010).
Si el incidente afecta a datos personales, corre también un reloj legal: para la AEPD, un ransomware que cifra datos personales es una brecha de disponibilidad, que se notifica a la autoridad, cuando procede, en un máximo de 72 horas, y una copia actualizada y recuperable mitiga el riesgo (fuente: AEPD, junio de 2021). Fuera de la UE, revise qué exige la ley de su país.
La dirección es dueña de los límites: qué sistemas importan más, el RPO y el RTO de cada uno y el riesgo que queda. TI, interna o externa, diseña y opera las copias e informa sobre ellas. Cada responsable de proceso comprueba los datos restaurados y sabe trabajar sin el sistema. Externalizar traslada el trabajo, no la responsabilidad: pregunte a su proveedor de TI si la copia cubre los servicios en línea, si hay una copia fuera de sus propias cuentas y si los tiempos pactados valen también tras un ataque. Para las primeras horas de un ataque, vea ataque de ransomware; más guías en Tecnología y datos.
¿Podría demostrar que sabe restaurar?
Ocho afirmaciones de esta guía. Respóndalas para su empresa y vea por dónde empezar.
- 1Guardamos tres copias de los datos importantes, en dos tipos de soporte, con una fuera de la empresa.
- 2Al menos una copia está aislada o es inmutable, fuera del alcance de nuestras cuentas de administración.
- 3La dirección ha fijado, para cada sistema importante, cuántos datos podemos perder y cuánto tiempo puede estar parado.
- 4Nuestro correo y nuestros archivos en la nube tienen una copia aparte de las papeleras del propio servicio.
- 5Las claves de cifrado de las copias se guardan aparte, y alguien ajeno al proveedor de TI sabe dónde.
- 6En los últimos doce meses hemos restaurado un sistema completo desde la copia y lo hemos cronometrado.
- 7Nuestras copias llegan lo bastante atrás como para encontrar una copia limpia anterior a una intrusión.
- 8Un plan escrito dice cómo sigue trabajando la empresa mientras se restauran los sistemas.
Guías relacionadas
Registro de copias, registro de pruebas y manual de recuperación
A continuación encontrará un registro de copias con filas de ejemplo para un mayorista, un registro de pruebas de restauración y un esquema de manual de recuperación que fija quién hace qué, y en qué orden, tras un incidente grave.
Preguntas frecuentes
¿Cada cuánto hay que hacer copias de seguridad?
¿Un disco en espejo o un NAS son una copia de seguridad?
¿Necesitamos nuestra propia copia de un CRM o de una contabilidad en línea?
¿Quién debe tener acceso a las copias?
- INCIBE: Día mundial del backup, repasamos la importancia de las copias de seguridad (marzo de 2020)
- INCIBE: Políticas de seguridad para la pyme: copias de seguridad (noviembre de 2026)
- CCN-CERT: Gestión de incidentes de ransomware (abril de 2021)
- AEPD: Guía para la notificación de brechas de datos personales (junio de 2021)
- NIST: Contingency Planning Guide for Federal Information Systems (mayo de 2010)
- Microsoft Learn: Plan de copia de seguridad y restauración para protegerse contra el ransomware (julio de 2026)