¿Cómo se planifica, se construye y se verifica una copia inmutable? Una guía paso a paso sobre la regla 3-2-1, los objetivos RPO/RTO, la elección del modo de bloqueo y las pruebas de restauración.
Esta guía es para equipos de TI y seguridad que quieren planificar una copia inmutable desde cero. Para saber por qué la necesita, lea nuestro artículo “Los atacantes ya van a por sus copias de seguridad”. Aquí nos centramos en los pasos de implementación.
Paso 1: Fije sus objetivos (RPO y RTO)
Primero responda dos preguntas. ¿Qué pérdida de datos acepta? ¿En cuánto tiempo debe volver el sistema? La primera es el RPO. La segunda es el RTO. Fije los objetivos de cada sistema según su impacto en el negocio.
| Tipo de sistema | RPO de ejemplo | RTO de ejemplo |
|---|---|---|
| Base de datos de clientes y pedidos | 15 minutos | 1 hora |
| Servidor de archivos | 4 horas | 8 horas |
| Archivos e informes | 24 horas | 72 horas |
Los valores de la tabla son ejemplos. Fije sus propios objetivos con un análisis de impacto en el negocio.
Paso 2: Aplique la regla 3-2-1
Mantenga 3 copias de los datos. Guárdelas en 2 soportes distintos. Mantenga 1 copia lejos del sitio principal. En la práctica moderna, una copia también debe ser inmutable.
Paso 3: Elija el modo de bloqueo
- Modo cumplimiento (compliance): Nadie puede quitar el bloqueo antes de que termine la retención. Recomendado para la resiliencia frente al ransomware.
- Modo gobernanza (governance): Un usuario privilegiado puede quitar el bloqueo. Esto crea un riesgo si roban la cuenta.
Paso 4: Defina la retención y la separación de identidades
- Elija un periodo mayor que el tiempo que tarda en notar un ataque.
- Mantenga la gestión del almacén de copias aparte de la cuenta Domain Admin.
- Use autenticación multifactor en la cuenta de copias.
Paso 5: Pruebe la restauración
Una copia sin probar no es una copia fiable. Cada trimestre, restaure al menos un sistema crítico desde la copia. Mida el tiempo real y compárelo con su RTO. Registre el resultado. Este registro es evidencia de auditoría para el control A.8.13 de ISO 27001:2022 (copias de seguridad de la información).
Paso 6: Combine con aislamiento y detección
La copia es la última línea de defensa. Primero hay que ver el ataque pronto. La supervisión de endpoints, la gestión de parches y la capacidad de desconectar un dispositivo afectado reducen la cantidad de datos que debe recuperar. Moftgate combina, en este ámbito, el aislamiento con una copia inmutable bloqueada con WORM.
Lista de comprobación
- El RPO y el RTO están por escrito para cada sistema crítico.
- Al menos una copia es inmutable y está separada del sitio principal.
- El modo de bloqueo está en “cumplimiento”.
- La gestión de las copias usa una identidad separada.
- Se hizo una prueba de restauración en los últimos 90 días.
El equipo de ingeniería de Moftgate trabaja en gestión de endpoints, prevención de pérdida de datos y resiliencia frente al ransomware.
Respuestas de expertos a las preguntas clave de profesionales
¿El almacenamiento de objetos en la nube basta para una copia inmutable?
Sí, si tiene función de bloqueo de objetos y funciona en modo cumplimiento. Configure bien el modo de bloqueo y la retención.
¿Con qué frecuencia debo probar una restauración?
Al menos cada trimestre para los sistemas críticos. Pruebe también tras cambios grandes de infraestructura.