Hoy en día, el valor del dato es de sobra conocido. Especialmente en empresas tecnológicas, los datos suelen ser el activo principal que impulsa el caso de negocio.
Hay ciertas tareas, digamos analógicas, que usualmente se encuentran denostadas, por no aportar valor directamente al negocio día a día. Entre estas tareas podemos encontrar la redacción de un plan de recuperación ante desastres. También llamado en inglés “Disaster recovery plan” o “Bussiness continuity plan”, deja claro en su nombre que se refiere a un plan a seguir en caso de que ocurra alguna calamidad no usual, de carácter grave, que ponga en peligro la continuidad del negocio.
Estos planes, pueden contemplar escenarios muy variopintos y probablemente poco plausibles, pero que nos aseguran que la empresa va a poder continuar ejecutando sus procesos y negocios en caso de que ocurra un evento grave e improbable. Lo más importante de un plan de recuperación ante desastres, son las soluciones, soluciones que deben ser implementadas lo antes posible, tras la aceptación del plan, y que deben vigilarse como si fueran otras medidas de seguridad más conocidas, como la videovigilancia o la seguridad perimetral.
En este artículo, trataremos de descubrir qué debe contemplar un plan de recuperación ante desastres en una empresa que trabaja principalmente en sectores IT, y cuyo valor, reside principalmente en sus datos.
Ya en el 2001, existen estudios que demuestran que las empresas que pierden gran cantidad de sus registros internos, es decir, datos de clientes, facturas, proveedores, empleados, etc., se enfrentan con unas negras perspectivas de futuro. Precisamente, teniendo en cuenta que en 2001 la explotación del dato aún no era reinante con este año postpandémico de 2021, según el estudio, el 43% de las empresas nunca volvió a operar, o a abrir sus puertas y otro 51% cesó en un plazo inferior a dos años.
Sólo el 6% de las empresas afectadas por una pérdida de sus registros y bases de datos pudo sobrevivir en el largo plazo.
Dada la importancia de los datos en la economía actual y en las empresas que lo conforman, hay varias preguntas que una compañía debería hacerse, como paso inicial antes de redactar y confeccionar un plan de copias de seguridad, que es la principal medida a tomar para recuperarse de un desastre en una empresa centrada en el valor del dato.
¿Cuantos datos estoy dispuesto a perder como máximo? (RPO)
Esta es la medida del riesgo que se toma al implementar una estrategia de copias de seguridad. Si la copia de seguridad la hacemos semanalmente, nuestro RPO es el equivalente a los datos que la empresa pueda ingresar en una semana cualquiera. Es importante equilibrar la frecuencia de las copias de seguridad con los costes asociados a las mismas. Asímismo, en caso de desastre, tenemos que valorar el tiempo que conllevaría recuperar los datos ingresados desde la última copia de seguridad.
¿Cuánto tiempo estoy dispuesto a perder recuperándome de un desastre? (RTO)
Dependiendo de la metodología para realizar dichas copias de seguridad, el tiempo necesario para restaurarlas puede ser mayor o menor. Es importante tener en cuenta este aspecto, para limitar el impacto a los clientes de la compañía en caso de tener que restaurar alguna copia.
Una vez decididos estos dos parámetros, es importante que conozcamos algunos factores importantes a la hora de implementar nuestra estrategia de copias de seguridad. No vale de nada, redactar un plan de recuperación ante desastres, contemplando una estrategia de copias de seguridad detallada, si, finalmente, resulta que no es efectiva o no se han tenido en cuenta ciertos factores esenciales, como los que contamos a continuación.
Primeramente, es esencial pensar y razonar en el número y forma de las copias de seguridad. Como muchas de las cosas en el mundo de TI, es mejor ceñirse a las buenas prácticas establecidas y aprovechar el esfuerzo realizado de las personas que las han establecido. La norma más establecida en cuanto al número de copias, es la llamada 2 + 1.
En esta estrategia, se mantienen siempre 3 copias de todos los datos. La primera, la natural, es la que se usa en el día a día. La segunda es una copia de seguridad normal, que se puede realizar en las mismas dependencias o instalaciones de la empresa. Esta copia es la que la mayoría de las empresas contempla de forma única, cuando piensa en un plan de copias de seguridad. Sin embargo, es importante realizar una copia de seguridad adicional, con la particularidad de que debe almacenarse fuera de las instalaciones de la empresa, en otro edificio, sede o incluso país.
Es esta tercera copia la que debe sobrevivir a los desastres más graves, como incendios, terremotos, ataques terroristas o calamidades de similar índole.
Prosiguiendo, y tomando como ejemplo claro esta tercera copia que se realiza fuera del control perimetral de la empresa, es importante encriptar todas las copias de seguridad. Dado que usualmente la mayoría de controles seguridad se aplican centrándose de manera casi exclusiva en los datos originales, las copias de seguridad suelen almacenarse con controles menos estrictos, y por lo tanto, pueden suponer una vulnerabilidad. Una recomendación, para asegurar la no alteración y aumentar la seguridad de todo el proceso, podría ser usar un esquema de cifrado híbrido asimétrico-simétrico, como ECIES, con la ventaja adicional de que los sistemas nunca entran en contacto con la clave que habilita descencriptar los datos, y puede ser custiodada por el CIO/CISO, hasta el momento de ejecutar el plan de recuperación.
Por último y no menos importante, todo el proceso debe probarse de manera regular. Es posible que las primeras copias que se realicen no sean útiles, por problemas con la implantación del proceso o la formación del personal, por eso es importante poner en práctica el plan de recuperación ante desastres de manera periódica, mediante simulacros y formaciones. De esta forma estaremos listos para protegernos ante las peores eventualidades.
