La auditoría solicita la política de respaldo: RPO de 24 horas, retención de 30 días, “instantáneas automáticas incluidas”. Luego: muestra la última restauración exitosa. Último intento: hace dos años, parcial, nadie recuerda la contraseña de la base de datos de prueba.
Una política de respaldo sin prueba de recuperación es un documento de confianza, no un control operativo. Tanto en el alojamiento compartido como en la nube, los fallos silenciosos son frecuentes: copias de seguridad vacías, volcados corruptos, claves KMS revocadas, restauración posible en teoría pero nunca medida. El auditor o el cliente empresarial no le preguntará si está realizando una copia de seguridad; le preguntará cuándo la restauró por última vez y cuánto tiempo tardó.
Por qué fallan las copias de seguridad sin que lo veamos
Espacio en disco lleno: el script se ejecuta y el archivo se trunca. Permisos cambiados: ejecución de tareas programadas, escritura denegada desde la actualización. Cifrado: hay una copia de seguridad presente, la clave se perdió o la rotación no está documentada.
Alcance incompleto — archivos sí, base de datos no; producción sí, cubos adicionales no. Restauración fuera del SLA de soporte: el host restaura el disco, no la lógica de su aplicación.
| Prueba | Qué valida | Frecuencia sugerida |
|---|---|---|
| Fila única | Acceso a copias de seguridad, integridad | Mensual |
| Base completa | Coherencia SQL, RPO | Trimestral |
| Máquina virtual/volumen | Infraestructura RTO | Anual |
| Interregional | Reanudación de la actividad real | Anual si RD |
Una copia de seguridad que nunca se haya restaurado es una lotería, no un seguro.
Realizar un ejercicio creíble en cuatro pasos
Prepare un entorno aislado, un conjunto de datos de referencia, un temporizador y un administrador con nombre. Restaurar desde la misma fuente que en crisis: instantánea del host, restic, volcado de S3.
Validar mediante suma de verificación, solicitudes comerciales y conexión de aplicaciones, no solo "el servicio está iniciando". Documentar en un informe de una página: desviaciones de RTO/RPO, tickets correctivos abiertos.
Invoque el soporte de alojamiento si el escenario incluye su bloque; tenga en cuenta el tiempo de respuesta: esto también es una prueba.
Contrato con el anfitrión
Pregunte sobre la frecuencia de las instantáneas, la retención, si la recuperación está incluida o se cobra, el tiempo de soporte y la inmutabilidad del anti-ransomware. Compare a través del directorio y Copias de seguridad: lo que se incluye si están disponibles.
Alinee la copia de seguridad del host y la copia de seguridad del cliente (exporte una cuenta externa): una única copia del mismo proveedor no siempre es suficiente. Referencia cruzada con Ubicación de las copias de seguridad para el mapeo de copias.
Escenarios a incluir en el plan de pruebas
Como mínimo: restauración de un solo archivo, volcado básico completo, remontaje de una máquina virtual o un volumen y, si se reanuda la actividad entre regiones, restauración desde la región de respaldo. Cada escenario produce un informe fechado con los RPO observados y las desviaciones del objetivo contractual. Sin variedad, sólo estás validando el camino más fácil, no el que necesitarás en una crisis. Integre el resultado de la prueba en su plan de continuidad y comuníqueselo al DPO o al auditor interno: una fecha y una duración medida son mejores que una promesa de RPO en papel.
La cumbre: día del ransomware
Decide y avanza sin puntos ciegos
Programe una prueba de restauración de treinta días con al menos un escenario de base de datos completa y un escenario de archivos críticos. Publique el informe interno fechado, asigne acciones correctivas e integre el resultado en su plan de continuidad. Vincule el ejercicio con Ubicación de las copias de seguridad y utilice el comparador si cambia su oferta de copias de seguridad: la prueba fechada vale más que un SLA impreso.
Preguntas frecuentes
¿Con qué frecuencia probar una restauración?
Mínimo anual para datos críticos; trimestralmente si es un tratamiento sensible o cambios frecuentes.
¿Restaurar un archivo es prueba suficiente?
No: varíe los escenarios de recuperación ante desastres de archivos, bases de datos, máquinas virtuales y entre regiones.
¿El anfitrión prueba nuestras copias de seguridad por nosotros?
Rara vez la legibilidad de sus copias de seguridad cifradas: la prueba queda en casa.
¿Qué incluir en el informe de pruebas?
Fecha, fuente, duración, RPO observado, anomalías, próximo plazo y responsable.
Una política de respaldo creíble comienza con una oración: última restauración exitosa el... en... minutos. Muestre esta fecha en su documentación de continuidad interna, no solo en un PDF de política que nadie abre.