Las copias de seguridad no evitan un ataque. Evitan que el ataque sea el final de la empresa. Son la diferencia entre perder una tarde y perder el trimestre.
Y sin embargo, es donde más frecuentemente encontramos la misma escena: copias que existen, nadie sabe si restauran, y están en la misma red que los datos que deberían proteger.
Por qué el rescate no arregla el problema
Un ransomware cifra tus archivos y te pide dinero por la clave. Aunque pagues —y muchos no reciben nada útil—, el daño real no es el cifrado: son los días de parada, la facturación que no entra y los clientes que se van.
La única forma de saltarse esa ecuación es volver a tener los datos sin depender de nadie. Eso son las copias de seguridad. Todo lo demás es mitigación.
Con un matiz que cuesta caro: los grupos actuales roban los datos antes de cifrarlos. Una copia te devuelve los sistemas, pero no borra lo que ya han copiado. Por eso las copias se combinan con doble factor, parcheo y segmentación, no van solas.
La regla 3-2-1, explicada sin jerga
- 3 copias de los datos: la original y dos más.
- 2 soportes distintos: por ejemplo, disco local y almacenamiento en la nube. Dos discos en el mismo armario no son dos soportes, son el mismo riesgo.
- 1 fuera de la red: desconectada, en otra ubicación o en un almacenamiento que no se puede borrar desde una cuenta comprometida.
El tercer punto es el que casi nadie cumple. Una copia montada como unidad de red con las mismas credenciales que usa el usuario es una copia que el ransomware también cifra.
Copias inmutables y air-gap
Dos ideas que suenan técnicas y son sencillas:
- Inmutabilidad: el almacenamiento impide modificar o borrar lo escrito durante un periodo, por ejemplo 30 días. Ni tú puedes borrarlo antes. Es lo que hace que un atacante con tu contraseña no pueda destruir el histórico.
- Air-gap: el soporte no está conectado de forma permanente. Un disco externo que se conecta solo para copiar y se guarda después es un air-gap de andar por casa, y funciona.
Lo que casi nadie hace: probar la restauración
Una copia sin probar es una hipótesis, no un respaldo. El fallo más común no es que falte la copia: es que la copia existe, pero está incompleta, cifrada con una clave que nadie tiene, o tarda cuatro días en restaurarse.
Establece una prueba mínima y calendarizada:
- Elige un fichero y una carpeta completa al azar.
- Restáuralos en un equipo limpio, no en el servidor de producción.
- Mide cuánto tarda y anótalo. Ese dato es tu realidad, no la del proveedor.
- Documenta quién lo hizo y cuándo. Si no está escrito, no existe.
RTO y RPO en lenguaje de empresa
- RPO (cuánto dato puedes perder): si copias cada noche, puedes perder hasta un día de trabajo. ¿Te lo puedes permitir en facturación? ¿Y en el correo?
- RTO (cuánto puedes estar parado): si restaurar todo tarda tres días, ese es tu tiempo real de parada. ¿Sobrevive tu empresa a tres días sin sistemas?
Estos dos números deberían decidirlos dirección, no el informático de guardia a las tres de la mañana. Y deberían condicionar la frecuencia y el tipo de copia.
Errores típicos que vemos
- Copias accesibles con las credenciales de trabajo: el ransomware las cifra junto con todo lo demás.
- Un solo soporte en el mismo edificio: un incendio, un robo o un fallo eléctrico se lleva original y copia.
- Claves de cifrado guardadas en el mismo servidor que la copia.
- Sin copia del correo ni de las bases de datos, solo de la carpeta compartida.
- Sin retención histórica: si el cifrado ocurre en agosto y solo guardas siete días, la copia buena ya se sobrescribió.
Plan mínimo para una PYME
- Inventario de qué datos existen y cuáles son críticos.
- Decidir RPO y RTO por sistema, con dirección en la sala.
- Copias automáticas diarias, con un soporte externo o inmutable.
- Prueba de restauración trimestral, con registro escrito.
- Credenciales de copia distintas de las de trabajo, y sin acceso desde la red de usuarios.
- Un folio con el procedimiento: quién llama a quién y en qué orden.
Tu siguiente paso
Las copias son el plan B. El plan A es que no te cifren nada: cerrando el acceso remoto, activando doble factor y parcheando lo que se ve desde Internet.
Para saber por dónde empezar, nuestra auditoría OSINT gratuita te muestra qué se ve de tu empresa desde fuera en 72 horas, sin tocar tus sistemas. Y si quieres comprobar cómo resiste tu red a un ataque real, lo hacemos con un pentesting autorizado por escrito.