Copias de seguridad contra el ransomware: qué debe verificar una empresa

Cuando un ransomware cifra los archivos de una empresa, la pregunta que determina el tamaño del daño es sencilla: ¿existe una copia reciente, íntegra y fuera del alcance del ataque? Muchas pymes creen tener copias de seguridad (backup) y solo descubren en el peor momento que estaban incompletas, desactualizadas o conectadas a la misma red que fue comprometida. Este artículo reúne lo que un responsable de la empresa debe verificar para que las copias de seguridad cumplan su función.

Por qué una copia de seguridad corriente no siempre resiste a un ransomware

El ransomware moderno no se limita a cifrar la carpeta del usuario que hizo clic en el adjunto. Con frecuencia busca unidades de red asignadas, carpetas compartidas, discos externos conectados e incluso consolas de copia de seguridad accesibles con las mismas credenciales. Si la copia está en un disco duro externo que permanece conectado al servidor todo el tiempo, o en una carpeta compartida en la que cualquier equipo puede escribir, lo más probable es que se cifre junto con todo lo demás.

Otro punto que se suele olvidar: sincronizar no es hacer copias de seguridad. Los servicios que replican archivos en la nube replican también la versión cifrada. Algunos ofrecen historial de versiones y papelera con retención, lo que ayuda, pero hay que comprobarlo y configurarlo, no darlo por supuesto.

La regla 3-2-1 como punto de partida

Una referencia consolidada para las copias de seguridad de las pequeñas empresas es la regla 3-2-1:

• 3 copias de los datos importantes: el original y dos más;
• 2 tipos de soporte o almacenamiento distintos, por ejemplo un NAS local y un servicio en la nube;
• 1 copia fuera de las instalaciones, físicamente separada de la oficina.

Para protegerse del ransomware, conviene añadir un requisito: al menos una de las copias debe ser desconectada (offline) o inmutable. Desconectada significa que se separa de la red una vez grabada, como un disco que se lleva a otro lugar. Inmutable significa almacenada de forma que no pueda modificarse ni borrarse durante un periodo definido, una función que ofrecen diversos servicios en la nube y equipos de almacenamiento. Algunas referencias llaman a esta variante 3-2-1-1.

Qué debe verificar el responsable

No hace falta ser técnico para hacer las preguntas adecuadas al responsable de TI o al proveedor. Estas son las principales:

Alcance

¿Qué datos están incluidos en la copia de seguridad? Es habitual encontrar el servidor de archivos cubierto, pero no la base de datos del sistema de gestión, el correo electrónico, las configuraciones de los equipos o los archivos que solo están en el portátil del director. Haga una lista de esos datos sin los que la empresa no puede funcionar y compruébelos uno por uno.

Frecuencia y retención

¿Con qué frecuencia se hace la copia y durante cuánto tiempo se guardan las versiones antiguas? Si es diaria, la empresa acepta perder hasta un día de trabajo. Si la retención es de pocos días y el ataque permaneció silencioso durante una semana antes de detectarse, todas las copias disponibles pueden estar ya contaminadas.

Separación y credenciales

¿Es accesible la copia desde los equipos normales de la red? ¿Usa el sistema de copias de seguridad una cuenta propia, con contraseña robusta y, si es posible, autenticación en dos factores? Si la misma cuenta de administrador que gestiona la red también puede borrar las copias, un intruso que se haga con esa cuenta tendrá acceso a todo. Esta precaución está directamente relacionada con el control de acceso a los sistemas.

Supervisión

¿Alguien recibe y lee el informe de ejecución? Los fallos silenciosos son frecuentes: un disco lleno, una contraseña que cambió, un agente que dejó de funcionar después de una actualización.

Prueba de restauración: el paso que casi nadie da

Probar la restauración significa recuperar datos a partir de la copia de seguridad, en un entorno separado, y comprobar que están completos y son utilizables. Una rutina sencilla para pymes:

1. Cada mes: restaurar algunos archivos y carpetas elegidos al azar y abrirlos para comprobarlos.
2. Cada trimestre o semestre: restaurar un sistema completo, como la base de datos del ERP, y verificar que arranca y funciona.
3. Registrar el resultado: fecha, qué se probó, cuánto tiempo llevó y qué problemas surgieron.

El tiempo medido en la prueba es información de negocio. Si restaurarlo todo lleva tres días, la dirección necesita saberlo antes de un incidente, para decidir si ese plazo es aceptable o si hay que invertir en otra solución.

La copia de seguridad es la última línea, no la única

Una buena copia de seguridad reduce mucho el impacto de un ransomware, pero no impide el ataque. Tampoco resuelve la filtración: muchos grupos copian los datos antes de cifrarlos y amenazan con publicarlos. Según el Reglamento General de Protección de Datos (RGPD), eso es una brecha de datos personales que puede tener que notificarse a la Agencia Española de Protección de Datos (AEPD), aunque la empresa lo recupere todo. Por eso, la copia de seguridad funciona mejor combinada con actualizaciones al día, protección contra malware, control de acceso y un firewall (cortafuegos) bien configurado. Y, cuando se produzca un incidente, contar con una hoja de ruta ayuda a no destruir pruebas ni las propias copias. El artículo sobre los primeros 30 minutos de un incidente trata de ello.

Lista de verificación de copias de seguridad

• Existe una lista de los datos y sistemas críticos, y todos están incluidos en la copia de seguridad.
• La rutina sigue la regla 3-2-1, con una copia fuera de la oficina.
• Al menos una copia es desconectada (offline) o inmutable.
• La copia de seguridad usa credenciales propias, protegidas y separadas de las cuentas de uso diario.
• La retención cubre un periodo suficiente para volver a una versión anterior al ataque.
• Alguien revisa los informes de ejecución con regularidad.
• Las restauraciones se prueban periódicamente y el resultado queda registrado.