Tecnología

Aplique la regla de 3-2-1 para respaldar archivos de su negocio guardados en la nube

El respaldo y restauración de datos debería aplicarse ante los riesgos de pérdida de información

¿Qué ocurre con los archivos y los datos que contenían las cuentas de un empleado se va de su empresa, se eliminan sus accesos y se cumple el plazo límite de recuperación?

Suponga un ejecutivo de cuentas clave se va y a las semanas se borra la cuenta, incluyendo los oficios para el próximo contrato con una de las empresas que más le compra, la hoja de cálculo con los datos de sus principales clientes o el proyecto del próximo producto estrella. Incluso, si un ejecutivo se retira temporalmente, muy probablemente no encontrará los viejos archivos cuando regrese y se rehabilite sus accesos.

Los inconvenientes que se generen durante la operación diaria tanto como el riesgo de hackeo a los servicios en la nube también hace necesario que las compañías tengan respaldos de toda su información, incluyendo oficios, documentos, archivos, aplicativos y bases de datos. Algunas empresas podrían creer que es suficiente el Acuerdo de Nivel de Servicio (SLA, por sus siglas en inglés). No lo es.

Deberá considerar, entre otras medidas y políticas de gestión de sistemas e información, la llamada regla 3-2-1. “Al menos se deben tener siempre tres copias de los datos, en al menos dos medios de almacenamiento diferentes y una copia fuera de la organización, conocido comúnmente como copia offsite”, explicó Miguel Jiménez, especialista en Nube 4.0 de Grupo CMA.

Las pérdidas de archivos cuando un ejecutivo se va no están registradas ni calculadas, pero en los casos de ataques informáticos Cybereason, especializada en ciberseguridad, reporta que el 31% de las empresas en Estados Unidos ha sufrido un secuestro de información como el que le ocurrió a Kaseya y que afectó a unas 1.500 firmas clientes que usan sus servicios.

No es el país con más empresas afectadas. El 42% de las compañías de Emiratos Árabes Unidos y el 34% de las del Reino Unido también se han visto afectadas. El reporte indica que al menos dos de 10 empresas de Francia, Alemania y Singapur han enfrentado una situación similar.

Por sectores no hay discriminación. El 50% de las empresas afectadas fueron del área legal y el 48% de comercio al detalle, pero hay firmas víctimas en sectores como automovilismo (42%), manufactura y tecnología (29%), salud (24%) y servicios financieros (23%).

Mitigación de riesgos
Reduzca los peligros de la pérdida de información:
Respaldos 3-2-1: para sistemas en la nube e instalados tener tres copias de datos (dos medios de almacenamiento y una copia fuera de la empresa).
Políticas de respaldo: definir y probar normas, planes, prácticas, herramientas, procedimientos y tiempos de respaldo de datos según requerimientos.
Plan de recuperación: debe incluir pruebas de recuperación, ubicación del respaldo, conectividad y política correcta de retención de datos.
Seguridad de acceso: asegúrese que el acceso es adecuado y seguro para evitar hackeos a través de diferentes engaños como phishing.
Servicios externos: al utilizar servicios externos asegúrese que el proveedor cuente con infraestructura de alta disponibilidad, certificada bajo estándares internacionales y acuerdos a nivel local y externo de alta gama, flexibles y competitivas.
Revisar normas (externas o internas) de ubicación física de datos: pueden existir restricciones legales, regulatorias o inclusive internas.
Seguridad de datos: considerar confidencialidad, integridad y disponibilidad, gobernanza, estrategia de protección de información, seguridad física, control de acceso lógico, plan de aplicación de parches, actualización de sistemas y gestión de vulnerabilidades.
Fuentes: CMA, Continum Datacenter y GBM

Prevenir

Tras muchas dudas sobre la confidencialidad de los datos, la computación en la nube con sus modalidades de servicios a nivel de software, plataforma e infraestructura atrae a las empresas por sus menores costos de adquisición y operación, sus facilidades de gestión y su ubicuidad, que permite acceso a través de los navegadores de forma remota.

Al haber garantizado la continuidad de las operaciones durante el confinamiento de marzo a mayo de 2020 por la pandemia, muchas empresas se vieron obligadas a migrar desde los sistemas instalados (on premise) a servicios en la nube. Daños de equipos, como el de disco duro del sistema de radiografías y tomografías el del Hospital Nacional de Niños en Costa Rica, tienden a confirmar la necesidad de utilizar servicios de computación en la nube y especialmente de respaldo.

Los respaldos de información y archivos pueden realizarse desde infraestructura física ubicada en las oficinas de las empresas o instituciones o desde cualquier nube pública. Se puede eligir entre una amplia variedad de soluciones según los criterios de la empresa, incluyendo servicios donde el cliente solo configura las herramientas o aquellas donde se tiene el control de la infraestructura y el software de respaldo y de recuperación. Cada alternativa tiene pros y contras que deben ser evaluados.

Las empresas que amplíen el uso de la computación en la nube en aplicaciones desde ofimática hasta bases de datos deben dar un paso preventivo a través de los mismos servicios que obtiene utilizando el modelo 3-2-1, medios alternativos de almacenamiento, planes contingentes de recuperación y políticas de retención de datos por más tiempo al usual.

“Es vital que se tome en cuenta que un servicio de respaldo de dicha información, ya sea en las premisas del cliente o bien en la nube de un proveedor de servicios, cuente con un esquema de recuperación de desastres mediante múltiples copias de datos”, dijo Hugo García, director general de Continum Datacenter.

Nivel de respaldo
Dentro de los principales criterios a considerar para un adecuado plan de respaldo de la información y archivos de las empresas se debe tomar en cuenta los siguientes elementos:
Criticidad o importancia de la información a respaldarse: dependiendo del tipo de datos se puede utilizar técnicas distintas para respaldo y recuperación de modo que se pueda balancear costos y disponibilidad de datos.
Puntos de recuperación de la información.
Dimensionamiento de los recursos para tener respaldos.
Estándares y certificaciones de ciberseguridad como cumplimiento (plan de recuperación ante desastres, de continuidad de negocios y de riesgos, PCI e ITIL).
Tiempo de la recuperación y disponibilidad de la información.
Acuerdos de Nivel de Servicio (SLA).
Presupuesto que debe destinarse para asegurar escenarios de seguridad avanzada y alta disponibilidad del servicio y la información.
Cifrado de la información en línea y en almacenamiento.
Fuente: Continum Datacenter

Se deben contemplar también herramientas que permiten extender el tiempo de la retención de los archivos y trasladar los respaldos a otro sitio. También hay herramientas de comprobación de respaldos, recuperaciones y replicación. En todos los casos, las empresas deben verificar que cumplan con las mejores prácticas de generación de respaldos y brinden agilidad para los procesos de respaldo, recuperación y restauración.

A nivel de infraestructura (servidores y bases de datos) se debe recurrir a equipos especializados con altos índices de comprensión y duplicación para un uso más eficiente del espacio y menores costos. Las empresas deben asegurarse, a su vez, que el proveedor de nube cuente con un plan de continuidad de negocio (respaldo y restauración), cifrado de datos (en reposo o en tránsito), y proceso formal de control de cambios, entre otros.

El plan y los criterios de disponibilidad, respaldos y recuperación los define cada empresa, a sabiendas que los costos de una caída de sistemas o pérdida de información son más elevados que adoptar medidas apropiadas. Se determinan a su vez considerando soluciones para cuando hay sospechas de alteración o secuestro de datos. Debe evaluar, además, la relevancia que tiene cada grupo de datos para el negocio a la hora de definir qué hacer y en qué invertir.

Lo mismo aplica ante la posibilidad de un ataque cibernético o un secuestro de información tipo ransomware. “Cuando hay un ataque informático la forma más simple para recuperar disponibilidad de datos es restaurar respaldos”, dijo Eric Arosemena, gerente regional de nube híbrida de GBM. Sin embargo, esa sería ya una medida reactiva. “Es fundamental enfocarse en servicios proactivos para la prevención”, reiteró Arosemena.

El uso de sistemas de nube seguirá aumentando, según lo proyectan las firmas de investigación de mercados como IDC y Gartner. Ante los naturales riesgos no hay otra que fortalecer las políticas y la educación de los usuarios, el cifrado de la información durante su transmisión y almacenamiento, el uso de tecnologías de seguridad avanzada y la comunicación estrecha con los proveedores para asegurar la disponibilidad de los servicios.

Las empresas, sin embargo, deben tener un plan alternativo para cuando se requiera. “Se debe respaldar con un único objetivo que es lograr una exitosa recuperación de un dato o un ambiente”, recalcó Jiménez, de CMA.

Evalúe y califique
Analice las infraestructuras de su proveedor de servicios:
Filtrado de correo no deseado (spam) y sitios fraudulentos (phishing).
Antivirus y antimalware en dispositivos de usuarios (endpoints) y móviles.
Educación de usuarios en ciberseguridad.
Cifrado de copias o respaldos.
Exclusión de extensiones o tipos de archivos del tipo ransomware
Sistemas, aplicaciones y plataformas actualizados con las últimas versiones.
Uso de sitios web y demás servicios, aplicaciones y sistemas seguros (certificados, cifrado, VPN. protocolos).
Uso restringido de dispositivos de almacenamiento portables.
Destrucción o eliminación permanente e irrecuperable de datos ya no utilizables (archivos, USB, discos, cintas).
Asignación de privilegios y acceso controlado y restringido a aplicaciones, datos, información (autenticación multifactor).
Uso de software y tecnologías con enfoque en ciberseguridad centralizada.
Monitoreo temprano de actividad sospechosa en las redes y sistemas.
Fuente: Continum Datacenter
Carlos Cordero Pérez

Carlos Cordero Pérez

Carlos Cordero es periodista especializado en temas tecnológicos. Escribe para El Financiero y es autor del blog "La Ley de Murphy".