Muchas empresas dependen ahora completamente de los datos almacenados en sus servidores de red, ordenadores, portátiles, dispositivos móviles y en la nube. Es probable que algunos de estos datos contengan información personal o confidencial de la empresa.
Aquí analizamos algunas de las cuestiones a tener en cuenta al revisar la seguridad de sus sistemas informáticos y datos.
La copia de seguridad de datos es un procedimiento esencial de recuperación ante desastres y debe realizarse periódicamente. Una empresa debe considerar las copias de seguridad periódicas como una especie de póliza de seguro contra desastres, robos o ciberataques.
Hay varios puntos a tener en cuenta.
Medios de instalación de software de sistemas y aplicaciones
Idealmente, una vez instalado el software, el medio original debería almacenarse de forma segura en un lugar externo, a menos que se haya descargado. Asimismo, cualquier clave o código de activación debería almacenarse de forma segura.
Ubicaciones de los archivos de datos
En un entorno de red, algunos archivos de datos pueden almacenarse en el servidor y otros en unidades locales. En este caso, podrían requerirse copias de seguridad independientes tanto para el servidor como para uno o más equipos.
Lo ideal sería ofrecer una solución de red que garantice que todos los datos se vuelvan a copiar al servidor desde las unidades locales.
Una estrategia sería utilizar un servicio de sincronización como Microsoft OneDrive, o incluso Sharepoint, en lugar del almacenamiento en disco de red más tradicional.
Estrategia y frecuencia de las copias de seguridad
Probablemente se necesiten dos procedimientos de copia de seguridad paralelos. Uno para realizar una copia de seguridad completa de los servidores, generalmente como imagen, y otro para realizar una copia de seguridad incremental (o diferencial) de los archivos de datos que se hayan actualizado desde la copia de seguridad anterior.
El ciclo de copias de seguridad más común es el método abuelo-padre-hijo. Este consiste en un ciclo de cuatro copias de seguridad diarias, cuatro o cinco semanales y doce mensuales.
Recuerde que algunos datos deben conservarse durante muchos años; por ejemplo, los registros contables deben conservarse durante un mínimo de seis años.
Ciertos medios de copia de seguridad, como cintas o CD/DVD, pueden reutilizarse muchas veces, pero su vida útil no es ilimitada y deberán reemplazarse entre dos y diez años, dependiendo de su calidad y uso. Se abordan algunos puntos adicionales sobre este tema en la sección sobre degradación de los medios de copia de seguridad.
Soluciones como disco a disco, o disco a disco a cinta, y los servicios de respaldo basados en la nube eliminan la necesidad de preocuparse por la degradación.
Responsabilidades de respaldo
Se debe asignar a un miembro específico del personal la responsabilidad de los procedimientos de respaldo. Esta persona debe ser capaz de:
- Asegúrese periódicamente de que todos los archivos de datos (servidor y locales) se incorporen en los ciclos de copia de seguridad
- Adaptar los criterios de copia de seguridad a medida que se agregan nuevas aplicaciones y archivos de datos
- modificar la programación de copias de seguridad según sea necesario
- Interpretar los registros de respaldo y reaccionar ante cualquier error notificado
- restaurar datos si los archivos se eliminan accidentalmente o se dañan
- Pruebe periódicamente que los datos se puedan restaurar desde los medios de respaldo
- Mantener un registro regular de las copias de seguridad y las ubicaciones donde se almacenan los medios de copia de seguridad.
Rutinas de copia de seguridad de aplicaciones
Muchas aplicaciones de contabilidad y nóminas cuentan con sus propias rutinas de copia de seguridad. Es recomendable usarlas periódicamente (además de las copias de seguridad convencionales del servidor) y siempre justo antes de las actualizaciones críticas. Estos archivos de datos de copia de seguridad deben almacenarse en la unidad del servidor para que se respalden junto con el servidor.
PC locales
Algunos usuarios tendrán los archivos de datos de las aplicaciones exclusivamente en sus unidades locales, por ejemplo, los datos de nómina. Estos requerirán su propio sistema de copias de seguridad, que (como se mencionó en el párrafo anterior) puede consistir en una combinación de copias de seguridad en medios y en el servidor. También debe considerarse si estos datos deben permanecer en los equipos locales o si deben transferirse a otro lugar.
Medios de respaldo
La selección del medio adecuado para las copias de seguridad dependerá de criterios como el presupuesto disponible, el volumen de datos que se deben respaldar y el software operativo de red. Los discos duros externos o un dispositivo NAS con copia de seguridad en la nube pueden ser buenas soluciones. Si se utiliza un proveedor de servicios externo o una opción en la nube, este debería tener su propio sistema de copias de seguridad. Sin embargo, no se base únicamente en esto y asegúrese de que cualquier proveedor externo satisfaga o supere sus necesidades de copia de seguridad.
Otros tipos de medios como cintas o almacenamiento óptico (CD/DVD/Blu-Ray) también pueden considerarse como una alternativa más económica, pero la capacidad y la vida útil pueden ser limitadas.
Los discos duros externos son otra opción. Sin embargo, cualquier disco que deba trasladarse fuera de la oficina para realizar copias de seguridad también debe estar cifrado en caso de pérdida o robo.
Ubicación de la copia de seguridad
Las copias de seguridad deben almacenarse en diversas ubicaciones, tanto internas como externas. Las copias de seguridad internas son fácilmente accesibles cuando es necesario restaurar los datos rápidamente, aunque pueden verse afectadas por emergencias, como incendios o inundaciones.
Muchas empresas utilizan cajas fuertes en sus instalaciones. Sin embargo, en caso de recuperación, estas podrían quedar inaccesibles durante un tiempo.
Las copias de seguridad externas tienen la ventaja de que se pueden recuperar después de una emergencia, pero el almacenamiento debe ser seguro y accesible.
Retención de copias de seguridad
Por último, ciertos tipos de registros, como por ejemplo los registros contables, deben conservarse durante un período mínimo de tiempo y esto debe tenerse en cuenta al desarrollar la estrategia de respaldo de datos (véase también más abajo sobre la degradación).
Degradación/descomposición de los medios de respaldo
Los medios de respaldo se degradan y los datos almacenados en ellos se descomponen con el paso del tiempo.
Los soportes ópticos como CD/DVD y Blu-ray son particularmente sensibles a la luz (fotosensibles), por lo que es importante almacenarlos en un entorno oscuro. También son propensos a sufrir daños físicos al manipularlos. Por último, los CD-R y CD-RW duran entre cinco y diez años, mientras que los DVD-RW y las cintas LTO pueden durar hasta 30 años.
Las copias de seguridad deben revisarse periódicamente para detectar signos de descomposición digital y probarse para verificar que los datos se puedan restaurar con éxito.
¿En casa o en la nube?
Muchos proveedores de servicios de internet y organizaciones de servicios de TI de terceros ofrecen ahora repositorios de datos externos y soluciones completas de aplicaciones en línea, ya sea de forma estándar o con un coste adicional. Esto elimina la necesidad de dar soporte interno a un servidor y a su software operativo y de aplicaciones. Sin embargo, existe un número significativo de cuestiones clave de seguridad que deben incluirse en el contrato/acuerdo de nivel de servicio (ANS). Estas deben incluir:
- nivel de cifrado
- los países en los que se procesan y almacenan los datos (ya que esto puede generar problemas con las leyes de protección de datos)
- períodos de eliminación y retención de datos
- la disponibilidad de registros de auditoría, que cubran quién accede a los datos
- propiedad de los datos si el proveedor pasa a administración judicial.
Cuando los datos se almacenan en la nube, procure que se procese y almacene la menor cantidad posible de datos personales. Si esto no es posible, al menos anonimice los datos para que no se pueda identificar a las personas.
Asegúrese de poder realizar manualmente sus propias copias de seguridad de los datos almacenados con un tercero y de que estos datos estén en un formato legible y se puedan restaurar en otros servicios y aplicaciones.
