Ransomware, un arreglo de almacenamiento que falla, un incendio, un terremoto o un simple error humano: la causa cambia, el resultado es el mismo — sistemas caídos y datos en riesgo. Un plan de recuperación ante desastres (DRP) es la forma en que una empresa decide, con anticipación y con calma, cómo va a volver a trabajar. Aquí tiene una forma práctica de construirlo en siete pasos.
1. Sepa qué importa más (análisis de impacto al negocio)
Haga una lista de sus sistemas y procesos — facturación, ERP, correo, sitio web, central telefónica, servidores de archivos — y pregúntese para cada uno: ¿qué pasa si se detiene una hora, un día, una semana? Ordénelos. No todo necesita la misma protección, e intentar proteger todo por igual es como se acaba el presupuesto.
2. Defina su RTO y RPO
- RTO (tiempo objetivo de recuperación): cuánto tiempo puede estar caído un sistema antes de que el daño sea inaceptable.
- RPO (punto objetivo de recuperación): cuántos datos, medidos en tiempo, puede permitirse perder. Un RPO de 24 horas significa que basta un respaldo diario; un RPO de 15 minutos requiere replicación.
Estos dos números guían todas las decisiones técnicas que siguen, y deben acordarse con la gerencia, no definirse solo desde TI.
3. Aplique la regla de respaldo 3-2-1
Mantenga tres copias de sus datos, en dos tipos de medio distintos, con una copia fuera de sitio. Hoy conviene agregar un cuarto principio: al menos una copia debe ser inmutable o estar aislada, para que un ransomware que llegue a su red no pueda cifrarla ni borrarla.
4. Elija un sitio de recuperación
Su copia fuera de sitio necesita un lugar donde funcionar si pierde el sitio principal. Algunas opciones:
- Almacenamiento de respaldos en un data center: la opción más económica para RTO largos.
- Servidores en espera en la nube o en servidores dedicados, listos para arrancar cuando se necesiten.
- Un ambiente replicado en colocation para sistemas críticos con RTO y RPO cortos.
El sitio de recuperación debe estar lo suficientemente lejos para no compartir los mismos riesgos — energía, inundaciones, acceso al edificio — y lo suficientemente cerca para mantener baja la latencia. Un data center certificado Tier III agrega energía y enfriamiento redundantes, para que el sitio de recuperación no se convierta en el punto débil.
5. Escriba los procedimientos
Para cada sistema crítico, describa paso a paso cómo recuperarlo: quién decide activar el plan, quién hace qué, qué contraseñas y contactos se necesitan y en qué orden vuelven los sistemas (normalmente red, luego identidad, luego bases de datos, luego aplicaciones). Guarde una copia donde pueda consultarla aunque sus propios sistemas estén caídos.
6. Pruébelo — de verdad
Un plan que nunca se ha probado es una esperanza, no un plan. Empiece con un ejercicio de escritorio, luego restaure un solo servidor, luego haga una conmutación completa de un sistema. Cada prueba encuentra algo: una contraseña vencida, un paso que faltaba, un respaldo que no estaba corriendo. Mejor descubrirlo un martes en la tarde que durante un incidente real.
7. Revíselo y manténgalo vivo
Revise el plan al menos una vez al año y cada vez que cambie algo importante: un sistema nuevo, un proveedor nuevo, una reorganización. Asígnele un responsable. Si la empresa tiene certificaciones como ISO 27001, el DRP formará parte de la evidencia que piden los auditores.
No olvide el lado legal
En Costa Rica, la Ley 8968 de protección de la persona frente al tratamiento de sus datos personales exige medidas de seguridad adecuadas para los datos personales que usted trata, y muchos contratos con clientes agregan sus propios requisitos sobre dónde se almacenan los datos y qué tan rápido deben recuperarse. Involucre a sus asesores legales cuando defina dónde viven los respaldos y los sitios de recuperación.
Por dónde empezar esta semana
- Haga la lista de sus cinco sistemas más críticos.
- Acuerde con la gerencia el RTO y el RPO de cada uno.
- Verifique que tiene una copia fuera de sitio y aislada de cada uno — y cuándo fue la última vez que la restauró.
Ayudamos a las empresas a construir sitios de recuperación en nuestro data center Tier III y Rated-3 en San José, con almacenamiento de respaldos fuera de sitio, servidores cloud y colocation en la misma red. Cuéntenos su RTO y RPO y diseñamos el plan con usted.
Hable con un ingeniero
Cuéntenos qué necesita y lo diseñamos con usted, desde nuestro data center Tier III y Rated-3 en San José.