Implementa copias de seguridad seguras

Toda la información y los ejemplos de este artículo son recomendaciones de implementación para copias de seguridad seguras.

Nada de aquí es vinculante contractualmente.

Las copias de seguridad son tu última línea de defensa durante ataques de ransomware y ataques destructivos.

El éxito de la recuperación depende de la calidad, la frecuencia, la retención de las copias de seguridad y de la capacidad de restaurar rápidamente.

Condiciones del seguro cibernético de Stoik

El seguro cibernético de Stoïk establece requisitos de copia de seguridad durante la suscripción.

Requisito mínimo: al menos una copia de seguridad semanal debe ser:

• sin conexión, o

• en almacenamiento inmutable

Con una retención mínima de 2 semanas.

Si no es posible usar sin conexión o inmutable, una opción menos recomendada es una copia de seguridad segura en línea.

El sistema de copias de seguridad permanece conectado, pero debe cumplir todos los requisitos siguientes:

• El sistema de copias de seguridad está fuera del dominio de AD

• El sistema de copias de seguridad está segmentado (firewall + acceso mediante lista de permitidos)

• La eliminación/modificación de las copias de seguridad solo es posible mediante una consola web protegida por MFA

Objetivo: incluso con un administrador de dominio o de nube comprometido, un atacante sigue sin poder borrar las copias de seguridad.

Tipos de copias de seguridad (y qué cuenta)

Tipo	Ejemplos típicos	Por qué importa	¿Cumple el requisito?
Copias de seguridad sin conexión	Unidades externas, medios USB, NAS sin conexión, cintas magnéticas (LTO/DLT)	Máxima protección. No es accesible a través de la red.
Copias de seguridad inmutables en línea (nube)	AWS S3 Object Lock, blobs inmutables de Azure (WORM), Wasabi Object Lock	Accesibles en línea, pero no se pueden modificar ni eliminar.
Copias de seguridad en línea (local / centro de datos)	Servidor de copias de seguridad dedicado con acceso restringido	Puede ser aceptable solo si el acceso está fuertemente aislado.	(solo si está reforzado)
“Almacenamiento” en línea no inmutable (nube)	Dropbox, Google Drive, OneDrive sin WORM	Fácil de usar, fácil de borrar si las cuentas se comprometen.
Copias de seguridad locales	Discos locales, copia de archivos en el mismo servidor, duplicación RAID	Se cifra o se elimina junto con el host. No es un plan de recuperación.

“Copia de seguridad en línea segura” significa “resistente frente a un procedimiento típico de ransomware que intenta borrar todas las copias de seguridad”.

Opciones de copia de seguridad sin conexión

Usa rotación. Mantén al menos una copia reciente desconectada.

Opción	Cómo hacerlo de forma segura
Cintas magnéticas (LTO/DLT)	Rota al menos 2 cintas. Mantén siempre 1 cinta fuera del sitio y sin conexión.
NAS sin conexión	Conéctalo solo durante la ventana de copia de seguridad. Desconéctalo al terminar el trabajo. Rota varios dispositivos si es posible.
Unidades externas / medios USB	Conéctalos solo durante la ventana de copia de seguridad. Desconéctalos al terminar el trabajo. Guárdalos en un lugar cerrado con llave. Rota varios dispositivos.

Opciones de copia de seguridad inmutable

Copias de seguridad inmutables alojadas en la nube

Proveedor	Función de inmutabilidad	Guía / documentación
AWS	S3 Object Lock (y/o Glacier)	Copias de seguridad S3 inmutables
Azure	Blobs inmutables (WORM)	Soluciones de copia de seguridad en la nube
Wasabi	S3 Object Lock	Haz copia de seguridad de tus datos con Wasabi
Acronis Cyber Protect Cloud	Modo de cumplimiento (comprueba tu plan/versión)	Documentación de Acronis 1, Documentación de Acronis 2
Scaleway	Object Storage (comprueba la compatibilidad con Object Lock)	Conceptos de Scaleway Object Storage
OVHcloud	Object Lock para S3 Object Storage	Guía de OVHcloud
Fast LTA	“Almacenamiento sin pérdida”	Resumen de Fast LTA

Copias de seguridad inmutables alojadas localmente

Proveedor / producto	Requisitos previos	Guía / documentación
Veeam Linux Hardened Repository	Veeam >= 11. Requiere reforzar el host del repositorio.	Referencia de Veeam
Synology	DSM >= 7.2. Requiere modelos compatibles.	Modelos compatibles, Documentación de instantáneas inmutables
Dell Data Domain	Usa el modo de cumplimiento.	Documento técnico de Dell

Ejemplos de copias de seguridad “no seguras”

Estos son patrones comunes que fallan cuando los atacantes toman el control de cuentas de administrador.

Ejemplo	Por qué falla
Dropbox / Google Drive / OneDrive / SharePoint (sin WORM)	Un administrador comprometido puede eliminar datos y también vaciar las papeleras de reciclaje / la retención.
NAS “inmutable” implementado solo en software	Si el sistema operativo del NAS se ve comprometido, el atacante aún puede destruir los volúmenes.
Centro de datos externalizado con un enlace de red permanente	Funcionalmente similar a un servidor de archivos en línea. El ransomware puede cifrar/eliminar a través del enlace.
Almacenamiento en la nube no inmutable	Si se compromete el administrador de la nube, el atacante puede eliminar buckets, copias de seguridad y reglas de retención.

Controles operativos (recomendados)

Incluso con almacenamiento sin conexión o inmutable, los controles operativos a menudo determinan el éxito de la recuperación:

• Prueba las restauraciones según un calendario (al menos una vez al mes para sistemas críticos).

• Usa cuentas separadas de administrador de copias de seguridad. No las sincronices desde AD.

• Exija MFA en las consolas de copia de seguridad y en las cuentas en la nube.

• Mantén las credenciales de copia de seguridad fuera de los endpoints de usuario (sin contraseñas guardadas en scripts).

• Habilitar alertas sobre fallos de trabajos de copia de seguridad, cambios de retención e intentos de eliminación.

• Documenta el runbook de restauración y conserva una copia sin conexión.