Respaldos y continuidad operativa
Que el respaldo termine “correctamente” no demuestra que la empresa pueda volver a trabajar. La prueba decisiva es recuperar información en un entorno separado, abrirla con su aplicación y medir cuánto tarda el proceso.
Para una pyme, una carpeta recuperada que no abre o una base de datos que depende de una contraseña perdida pueden convertir una falla pequeña en una interrupción prolongada. La guía #StopRansomware de CISA recomienda mantener copias cifradas fuera de línea y comprobar regularmente su disponibilidad e integridad en escenarios de recuperación. NIST, por su parte, incorpora las pruebas y los ejercicios dentro de la planeación de contingencias.
Son recomendaciones técnicas de referencia, no un anuncio de una amenaza nueva ni una obligación general para las empresas mexicanas. Su aplicación práctica este octubre es clara: además de revisar si se copió la información, comprueba si puedes usarla después de restaurarla.
Dos preguntas que deben responder negocio y soporte
Antes de comprar más almacenamiento, define qué necesita recuperarse primero. Facturación, pedidos, expedientes y archivos de trabajo pueden tener prioridades distintas. Los conceptos de NIST ayudan a convertir esa conversación en objetivos verificables:
RPO: hasta qué momento
Define el punto de recuperación requerido y cuánto trabajo reciente podría perderse.
RTO: en cuánto tiempo
Fija el objetivo de tiempo para recuperar el servicio según su impacto en el negocio.
Prueba: con evidencia
Contrasta esos objetivos con una restauración real, no solo con el reporte del respaldo.
Ejemplo hipotético: si tu negocio solo tolera perder una hora de pedidos, un respaldo nocturno por sí solo no cubre ese objetivo. Y si necesita volver a operar en cuatro horas, una recuperación que tarda seis exige ajustar el plan. Esos números son ilustrativos: el objetivo debe acordarse para cada proceso, no copiarse de una tabla genérica.
Una copia en el NAS no resuelve todos los escenarios
Un NAS puede ser parte de una estrategia de respaldo, pero no basta con que los archivos estén en “otro disco”. Si las mismas credenciales permiten borrar tanto los datos de trabajo como sus copias, un incidente puede afectar a ambos. La sincronización también puede propagar un borrado; no equivale por sí sola a conservar versiones recuperables independientes.
CISA advierte que muchas variantes de ransomware intentan localizar y cifrar o eliminar respaldos accesibles. Por eso propone copias fuera de línea y contempla almacenamiento inmutable, cuya configuración y costos deben evaluarse. Fuera de línea e inmutable no son sinónimos: la primera medida limita la conexión; la segunda restringe cambios durante una retención determinada.
Revisa también las llaves de cifrado, las cuentas de recuperación y el acceso a instaladores o licencias. Una copia cifrada sin una llave recuperable no te permite volver a trabajar. Protege esos elementos y documenta quién puede utilizarlos, sin pegar contraseñas dentro del plan compartido.
Cómo organizar una prueba sin sobrescribir producción
- Elige un proceso y un responsable: por ejemplo, recuperar los archivos necesarios para atender pedidos. Acuerda qué resultado validará el usuario del área.
- Prepara un destino aislado: usa una máquina o carpeta de pruebas con permisos limitados. En aplicaciones, bloquea envíos de correo, pagos, timbrado y otras integraciones para evitar acciones reales desde una copia restaurada.
- Identifica el respaldo exacto: registra su fecha, alcance y ubicación, y comprueba que los accesos y llaves estén disponibles por el procedimiento autorizado.
- Restaura y mide: cuenta el tiempo de localizar la copia, obtener acceso, transferir, reconstruir y validar. No midas únicamente la descarga de archivos.
- Prueba el uso: abre documentos, revisa permisos y valida con la aplicación una muestra representativa de registros. En bases de datos, utiliza los procedimientos de respaldo y recuperación compatibles con el motor; copiar archivos mientras están en uso puede no producir una copia consistente.
- Cierra con evidencia: anota qué funcionó, qué faltó, el tiempo real y quién aprobó el resultado. Asigna responsable y fecha a cada corrección, y vuelve a probar lo que falló.
No publiques capturas con datos de clientes como evidencia del ejercicio. Conserva el reporte en una ubicación restringida y elimina o resguarda las copias de prueba según tu política interna. Un simulacro también crea información que necesita protección.
La prueba pequeña no sustituye la recuperación completa
Recuperar un archivo demuestra algo útil, pero no acredita que todo el servidor pueda arrancar. Además de pruebas acotadas, programa ejercicios que incluyan aplicación, base de datos, permisos y dependencias. NIST distingue las pruebas de capacidades, la capacitación del personal y los ejercicios del plan; también advierte que una prueba integral mal planeada puede interrumpir otros sistemas.
Como propuesta práctica de Tiser, comienza con un proceso crítico y amplía el alcance según el riesgo. Define la frecuencia con base en la importancia del servicio y repite la validación después de cambios relevantes en software, infraestructura o estrategia de copias. No existe una periodicidad única que garantice continuidad para todas las pymes.
En CDMX, Querétaro o Celaya Guanajuato, la pregunta útil para la próxima reunión de operación es la misma: ¿cuándo recuperamos por última vez este sistema y cuánto tardamos en dejarlo utilizable?
Cómo puede ayudar Tiser: revisamos respaldos, NAS y servidores; ayudamos a definir prioridades de recuperación y a documentar pruebas de restauración con responsables y resultados medibles.
Conoce nuestros servicios de infraestructura y respaldos empresariales, solicita una revisión de tu plan de recuperación o registra una incidencia en Soporte Tiser.
Fuentes consultadas
- CISA: #StopRansomware Guide. Referencia para copias cifradas fuera de línea, pruebas periódicas, imágenes de sistemas y precauciones con almacenamiento inmutable.
- NIST SP 800-34 Rev. 1: Contingency Planning Guide for Federal Information Systems, versión actualizada el 11 de noviembre de 2010. Se consultaron la ficha y el documento completo para objetivos de recuperación, pruebas y ejercicios. Su ámbito original es el gobierno federal estadounidense; aquí se utiliza como referencia técnica, no como requisito legal mexicano. Fuentes consultadas el 14 de octubre de 2026.
- Fotografía: robot, de zombieite, con licencia CC BY 2.0. Fotografía de 2009 de una biblioteca automatizada de cintas de respaldo; recorte horizontal realizado por Tiser. Imagen ilustrativa de infraestructura de almacenamiento, no de instalaciones de Tiser ni recomendación de un equipo específico.