Backups que no se prueban no son backups

La trampa de la suposición

Casi todas las empresas dicen tener respaldos. Muy pocas pueden responder con certeza tres preguntas básicas:

• ¿Cuándo fue la última copia exitosa y qué contiene?
• ¿Cuánto tardaría en recuperar la información si el servidor muriera hoy?
• ¿Alguien ha restaurado ese respaldo alguna vez para comprobarlo?

El respaldo suele fallar en silencio: una tarea programada que dejó de correr, un disco externo que se llenó, una carpeta nueva que quedó fuera del alcance, un error de permisos que nadie ve. Solo se descubre cuando hay que restaurar, y ahí ya no hay margen.

La regla 3-2-1: el estándar mínimo sensato

La regla 3-2-1 es un punto de partida ampliamente aceptado:

• 3 copias de tus datos: la original y al menos dos respaldos.
• 2 medios distintos: por ejemplo, disco local y almacenamiento en la nube. Así un fallo de hardware no se lleva ambas.
• 1 copia fuera de sitio (offsite), física o en la nube. Si solo tienes el respaldo en la misma oficina, un incendio, un robo o un ransomware lo alcanza.

Para información crítica, se agrega una copia desconectada o inmutable (offline), que no se pueda cifrar desde la red. Es la única defensa realmente sólida contra el ransomware, que precisamente busca y cifra las copias accesibles.

RPO y RTO: los dos números que definen tu respaldo

Antes de elegir frecuencia y tecnología, define dos cosas con el negocio (no solo con TI):

• RPO (Recovery Point Objective): cuánta información puedes permitirte perder. Si el RPO es de 24 horas, un respaldo diario basta; si es de 15 minutos, necesitas replicación continua.
• RTO (Recovery Time Objective): cuánto tiempo puedes estar sin el servicio. Define si basta con restaurar desde un respaldo (horas) o necesitas alta disponibilidad con conmutación automática (minutos).

Estos números se traducen directamente en costo. No tiene sentido pagar por recuperación en minutos si el negocio tolera horas, ni aceptar pérdida de un día si el negocio no puede permitírselo.

Cómo se prueba un respaldo de verdad

"Probar" no es abrir el archivo y ver que existe. Es simular una recuperación real:

1. Restauración parcial. Toma un archivo o carpeta y recupéralo en una ubicación distinta. Verifica que abre y que su contenido es correcto.
2. Restauración completa. Levanta el sistema completo desde el respaldo en un entorno de prueba, al menos una o dos veces al año.
3. Medición del tiempo. Cronometra cuánto tarda la recuperación. Ese tiempo real es tu RTO efectivo, y casi siempre sorprende.
4. Registro. Documenta la fecha, qué se restauró, cuánto tardó y qué falló. Un respaldo sin bitácora es un respaldo sin evidencia.

Los errores que vemos una y otra vez

• Respaldo solo local. Todo en el mismo servidor o en un disco junto al equipo. Un robo o un incendio se lleva original y copia.
• Sin monitoreo de las tareas. La copia falla, nadie se entera y se acumulan días sin protección.
• Nunca restaurar. Se asume que funciona porque la tarea aparece como "completada".
• Respaldar de más. Copiar terabytes innecesarios encarece y ralentiza todo; conviene priorizar lo crítico.
• Respaldar de menos. Dejar fuera correos, bases de datos o configuraciones que también son irremplazables.
• Sin cifrado. Un respaldo en la nube sin cifrado es información sensible expuesta.
• Credenciales compartidas. El usuario que hace respaldos con acceso total es un blanco favorito del ransomware.

Checklist para revisar hoy mismo

Responde con sinceridad:

• ¿Tengo al menos tres copias de la información crítica?
• ¿Hay una copia fuera de la oficina o en la nube?
• ¿Sé cuándo fue la última copia exitosa y qué incluyó?
• ¿Existe una copia que el ransomware no pueda alcanzar?
• ¿He restaurado algo en los últimos 6 meses y tengo el registro?
• ¿Sé cuánto tardaría en volver a operar (RTO) y cuánto perdería (RPO)?
• ¿Alguien recibe alertas cuando un respaldo falla?

Si alguna respuesta te deja incómodo, es buen momento para ajustar. En cloud e infraestructura y en ciberseguridad lo trabajamos como parte de la continuidad del negocio, con pruebas incluidas.