Probar la restauración
Módulo 6: Copias de seguridad · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Después de esta lección podrá planificar y ejecutar una prueba de restauración, registrar en lenguaje sencillo cuánto trabajo puede permitirse perder como máximo (RPO) y con qué rapidez debe recuperarse algo (RTO), y anotar un orden de recuperación.
Conceptos clave: prueba de restauración, RPO (cuánto trabajo puede perder), RTO (con qué rapidez debe recuperarse), orden de recuperación, documentación
Una copia de seguridad que nunca ha restaurado es solo una suposición
Casi todo el que descubre tras un incidente que su copia de seguridad no funciona, pensaba que tenía una buena copia. Los avisos estaban en verde, el disco estaba lleno, el programa se ejecutaba cada noche. Solo al restaurar se descubre qué está mal. Ejemplos típicos de lo que entonces aparece:
- La copia de seguridad solo incluía los archivos del sitio web, no la base de datos. La tienda online volvió sin pedidos, clientes ni productos.
- La copia de seguridad estaba cifrada, pero la clave solo estaba en el portátil que fue robado.
- El programa de copias de seguridad llevaba cuatro meses notificando un error, pero esos avisos iban a la dirección de correo de un compañero que ya no trabajaba allí.
- La copia de seguridad existía, pero restaurar 400 GB por una conexión de internet normal llevó tres días.
Por eso el INCIBE recomienda no limitarse a comprobar que se ha realizado la copia de seguridad, sino además restaurar algo realmente de forma periódica. También recomienda poder comprobar a diario si las copias de seguridad se han ejecutado y si hubo errores.
RPO: ¿cuánto trabajo puede perder?
Antes de hacer la prueba, debe saber qué es "suficientemente bueno". Para ello existen dos conceptos que encontrará en cualquier conversación con una empresa de IT.
El RPO (Recovery Point Objective, objetivo de punto de recuperación) es, en lenguaje sencillo: ¿cuánto trabajo puede perder como máximo? El NIST lo describe como el momento en el tiempo al que deben restaurarse los datos tras una interrupción. Cuantas más veces haga una copia de seguridad, menor será ese hueco.
El cálculo es sencillo: como máximo pierde todo lo que haya cambiado desde la última copia de seguridad correcta. El propio INCIBE pone el ejemplo: si su copia de seguridad se ejecuta por la noche a las 03:00 y sufre un incidente a las 16:00, puede haber perdido varias horas de trabajo.
| Programación de copias | Fallo a las | Última copia correcta | Pérdida máxima |
|---|---|---|---|
| Cada noche a las 02:00 | martes 16:30 | martes 02:00 | 14 horas 30 minutos |
| Cada hora en horario laboral | martes 14:40 | martes 14:00 | 40 minutos |
| Cada noche a las 02:00, pero la copia de la noche del martes falló | miércoles 10:00 | martes 02:00 | 32 horas |
Tenga en cuenta dos trampas. Una copia de seguridad fallida no cuenta: la última copia correcta retrocede un paso. Y en el caso del ransomware, lo que importa es el momento en que comenzó el daño, no el momento en que lo detecta. Si el cifrado comenzó a las 11:15 y lo nota a las 14:40, la copia de las 12:00 ya está afectada y la de las 11:00 es la última correcta.
RTO: ¿con qué rapidez debe recuperarse?
El RTO (Recovery Time Objective, objetivo de tiempo de recuperación) es, en lenguaje sencillo: ¿cuánto puede tardar en volver a funcionar? El NIST lo describe como el tiempo que un sistema puede estar en recuperación antes de que perjudique realmente a su negocio.
El RTO varía según el elemento. Para Panadería Example:
| Elemento | Qué ocurre si falta | RPO | RTO |
|---|---|---|---|
| Caja y pedidos | Sin ventas, los clientes esperan | 1 hora | 2 horas |
Correo info@example.com | Los pedidos por correo no llegan | 1 día | 4 horas |
| Sitio web | Sin clientes nuevos, pero molesto | 1 día | 1 día laborable |
| Archivo de presupuestos antiguos | Incómodo, pero puede esperar | 1 semana | 1 semana |
El RTO también determina qué copia de seguridad elige. Un disco en una caja fuerte en casa del propietario es una buena copia fuera de línea, pero si recogerlo y restaurarlo lleva cuatro horas, no cumplirá un RTO de dos horas.
Una prueba de restauración en cinco pasos
Una prueba no tiene por qué ser grande. Empiece poco a poco y vaya ampliando.
- Elija qué va a probar. Empiece con un archivo, una carpeta y un buzón de correo. Haga una prueba más grande una vez al año: un sitio web completo con base de datos, o un portátil entero.
- Restaure junto al original. No sobrescriba nunca sus datos reales para probar. Restaure en una carpeta aparte, como copia o en un entorno de pruebas.
- Compruebe el contenido. ¿Se abre el archivo? ¿Contiene el correo de la fecha correcta? ¿Funciona el sitio web con la base de datos del mismo momento? Un sitio web con archivos de hoy y una base de datos del mes pasado a menudo no funciona bien.
- Mida el tiempo. Anote cuánto tardó, desde "necesito recuperar algo" hasta "ya funciona". Compárelo con su RTO.
- Limpie y anótelo. Elimine la copia de prueba, para que no ocupe espacio ni genere confusión, y registre el resultado.
Orden de recuperación y documentación
En un incidente grave no todo puede recuperarse a la vez, y eso no es posible. Por eso, establezca de antemano el orden de recuperación: qué primero, qué después. Normalmente es: primero el acceso (su gestor de contraseñas, su correo y sus cuentas de administración), después lo que genera ingresos (caja, pedidos, facturas), luego el resto.
Anote por cada elemento en una ficha de recuperación:
- dónde está la copia de seguridad y cómo acceder a ella (sin contraseñas en la propia ficha: remita al gestor de contraseñas o a la caja fuerte);
- quién puede y debe restaurar, y quién es el sustituto;
- los pasos, o un enlace a la guía de su proveedor;
- la fecha y el resultado de la última prueba.
Guarde esa ficha también en papel o fuera de línea. En caso de ransomware, es probable que su carpeta compartida con documentación también esté afectada. Esta ficha forma parte de la tarjeta de incidentes de la lección 8.1.
En la práctica: así se ve
En el entorno de ejemplo WebOké Backups puede hacer una prueba sin cambiar nada de su sitio o correo actual. En el asistente elige el paquete, el momento de la copia de seguridad, los elementos y después la forma de restauración. Con Como copia junto al actual, la copia de seguridad se coloca como copia en una carpeta nueva, como base de datos con un nombre nuevo o como buzón de correo nuevo. Para un buzón de correo, dé a la copia un nombre, por ejemplo recuperacion, y ábralo en el webmail para comprobar si contiene el correo de ese momento. Elimine después la copia, porque cuenta para su espacio de almacenamiento. Cada restauración recibe un código de restauración de ocho caracteres y un informe de lo que se ha restaurado.
La base de conocimientos también advierte de un error frecuente: para un buzón de correo, no elija Restaurar por completo, porque entonces desaparece todo lo que haya llegado después del momento elegido. En Euro-Office y Nextcloud restaura una versión anterior de un documento mediante el historial de versiones; la versión que sustituye se conserva.
En otros proveedores se llama de otra forma y a veces funciona de otra manera. Si con su proveedor no puede restaurar como copia por su cuenta, pregunte cómo puede probar de forma segura.
Resumen
- Una copia de seguridad solo es fiable si la ha restaurado; pruebe en pequeño y con regularidad, en grande una vez al año.
- RPO: cuánto trabajo puede perder. Pierde todo desde la última copia de seguridad correcta; una copia fallida o infectada no cuenta.
- RTO: con qué rapidez debe recuperarse. Mida el tiempo de recuperación real en cada prueba.
- Restaure junto al original, compruebe el contenido y elimine la copia de prueba.
- Establezca el orden de recuperación y los pasos en una ficha de recuperación que también exista fuera de línea.
Cuestionario
Ejercicio
Ejercicio A6.3: ¿Cuánto trabajo pierde? Recibirá una programación de copias de seguridad y un momento de fallo o ataque. Calcule cuánto trabajo pierde como máximo y evalúe si la programación cumple el objetivo de RPO. El programa corrige su respuesta y explica cada caso.
Ejercicio D6.3: Una prueba de restauración real. Restaure un archivo y un buzón de correo (u otro conjunto pequeño de datos) desde su propia copia de seguridad, junto al original. Compruebe el contenido, mida el tiempo, elimine la copia de prueba y rellene su ficha de recuperación con el RPO, el RTO y el orden de recuperación.
Ejercicio D6.3: Una prueba de restauración real
Así se hace: (1) Elija un conjunto de prueba pequeño: un archivo, una carpeta y un buzón de correo (u otro conjunto pequeño que considere importante). (2) Anote la hora de inicio. (3) Restaure el conjunto desde su propia copia de seguridad junto al original: como copia, en una carpeta separada o como buzón de correo separado. No sobrescriba nada. (4) Compruebe el contenido: ¿se abre el archivo, está el correo de la fecha correcta, es correcta la carpeta? En el caso de un sitio web: ¿son los archivos y la base de datos del mismo momento? (5) Anote la hora de finalización y calcule el tiempo de recuperación. (6) Elimine la copia de prueba. (7) Rellene una hoja de recuperación para este elemento: dónde se guarda la copia de seguridad, quién puede restaurar (y quién es el sustituto), los pasos o un enlace al manual, RPO, RTO, lugar en el orden de recuperación, fecha y resultado de esta prueba. No ponga contraseñas en la hoja. (8) Imprima la hoja de recuperación o guárdela sin conexión, junto a su tarjeta de incidente (lección 8.1).
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; con otros proveedores puede funcionar de forma similar o diferente. Consúltelo con su proveedor.
- WebOké Backups: ver, restaurar o descargar una copia de seguridad
- Recuperar buzón de correo o correos electrónicos eliminados desde la copia de seguridad
- Manual de WebOké 6.10: WebOké Backups: restaurar archivos
- Manual de DirectAdmin 16.3: Restaurar una copia de seguridad de DirectAdmin
- Manual de Euro-Office 8.6: Historial de versiones: restaurar una versión anterior
- INCIBE, recursos de ciberseguridad para empresas: https://www.incibe.es/empresas
- NIST, Glossary: Recovery Point Objective (en inglés): https://csrc.nist.gov/glossary/term/recovery_point_objective
- NIST, Glossary: Recovery Time Objective (en inglés): https://csrc.nist.gov/glossary/term/recovery_time_objective