Un backup (copia de seguridad) es una copia de tus datos guardada aparte, para poder recuperarlos si el original se pierde, se rompe o lo cifra un ataque. Hay tres tipos básicos: el completo, que copia todo; el incremental, que copia solo lo que cambió desde el último backup; y el diferencial, que copia lo que cambió desde el último completo.
Hay una creencia muy instalada y muy peligrosa: que el antivirus es la defensa contra el ransomware. No lo es. Es una capa útil, necesaria, y absolutamente insuficiente por sí sola.
La razón es que el ransomware moderno no empieza cifrando. Empieza por otro lado, y si entendés cuál, entendés por qué tener backups no alcanza: en el informe de tendencias de ransomware 2023 de Veeam, un fabricante de software de backup, los atacantes fueron por los repositorios de backup en el 93% de los ataques analizados, y el 75% de las organizaciones perdió al menos parte de esas copias.
Un ataque de ransomware serio no es un archivo que ejecutás y al segundo siguiente aparece la pantalla de rescate. Eso es la última escena de una película que empezó semanas antes.
La secuencia típica tiene cuatro etapas. Primero, acceso inicial: credenciales robadas, una vulnerabilidad sin parchear, un correo que alguien abrió. Segundo, permanencia silenciosa: el atacante se mueve por la red, escala privilegios y aprende cómo está armado todo. Tercero, y este es el punto: busca y destruye los backups. Recién cuarto, cifra.
El orden no es casual, es la estrategia entera. Un atacante sabe que si tenés una copia recuperable no vas a pagar. Por eso dedica la mayor parte del esfuerzo a asegurarse de que no la tengas: borra las copias en red, elimina las instantáneas del sistema, revoca accesos y, si puede, cifra también el propio repositorio de backup.
Cuando aparece la pantalla de rescate, la pelea por tus backups ya se peleó. Y la perdiste hace días, sin enterarte.
Un backup inmutable es una copia que no puede modificarse ni borrarse durante un período definido, ni siquiera por alguien con credenciales de administrador. Ni por vos, ni por tu proveedor, ni por un atacante que haya tomado el control absoluto del entorno.
La distinción es sutil y decisiva. Un backup "protegido por contraseña" o "con permisos restringidos" depende de que las credenciales no estén comprometidas. Un backup inmutable no depende de eso: el sistema de almacenamiento directamente rechaza la operación de borrado, sin importar quién la pida.
Es la diferencia entre una puerta con buena cerradura y una pared. La cerradura sirve hasta que alguien consigue la llave. La pared sigue ahí.
Si tenés que quedarte con una sola idea de este artículo: preguntale hoy a tu proveedor si tus copias son inmutables, y pedí que te expliquen técnicamente cómo. Si la respuesta habla de permisos y usuarios, no son inmutables.
Es el estándar de la industria desde hace décadas y sigue vigente porque es simple y funciona. Tres números.
Hoy hay una versión extendida que se escribe 3-2-1-1-0: se agrega una copia inmutable o desconectada, y se exige cero errores en la verificación. Esos dos agregados nacieron directamente de la experiencia con ransomware.
El error más común que vemos no tiene que ver con no conocer la regla, sino con creer que se cumple. Tres copias en el mismo servidor no son tres copias: son una copia con tres nombres. Y un backup en la nube que se sincroniza automáticamente puede replicar el cifrado del ataque en cuestión de minutos, dejándote con tres versiones inútiles del mismo desastre.
Toda conversación sobre backups termina en estos dos números. Si no los conocés, no sabés cuál es tu exposición real.
El RPO es cuántos datos podés perder, medido en tiempo. Si el backup corre todos los días a las dos de la mañana y el incidente ocurre a las seis de la tarde, perdiste dieciséis horas de operación. Todo lo que tu empresa hizo ese día se rehace a mano o no se rehace.
El RTO es cuánto tarda el servicio en volver. Y ojo con la trampa habitual: no es cuánto tarda en copiarse el archivo. Es todo el tiempo transcurrido desde que algo falla hasta que tu gente vuelve a trabajar normalmente, incluyendo el rato en que nadie se dio cuenta, el rato en que alguien decidió qué hacer y el rato en que se validó que lo restaurado funciona.
Definir estos dos números es una decisión de negocio, no técnica. La pregunta no es cuánto puede ofrecer la tecnología: es cuánto puede tolerar tu operación. Y después sí, se diseña para cumplirlo.
Este es el punto donde falla casi todo el mundo, y es también el más barato de corregir. Verificar que el archivo de backup existe no prueba nada. Lo único que prueba que un backup sirve es haberlo restaurado.
Un test de restauración serio responde cinco preguntas.
Hacé este test al menos dos veces al año, y hacelo sobre un entorno aislado para no pisar nada productivo. La primera vez que lo corras vas a encontrar algo roto. Esa es exactamente la idea: mejor encontrarlo un martes tranquilo que el día del incidente.
En Wavenet separamos las dos funciones. Las réplicas en tiempo real (tres réplicas en dos destinos físicos, con un punto de recuperación menor a 15 minutos) sostienen la continuidad del servicio. El backup 3-2-1, geodistribuido entre Argentina y Estados Unidos, es la copia de la que se vuelve cuando el problema es un ataque.
Si querés ver cómo se compara eso con lo que te ofrece tu proveedor actual, está en la comparativa de proveedores de hosting y cloud.
Si querés cerrar este tema esta semana, alcanza con conseguir respuesta a cuatro cosas.
El antivirus, el firewall y la capacitación de tu gente son capas que sirven y hay que tenerlas. Pero son capas de prevención, y la prevención falla alguna vez. El backup inmutable y verificado es la única capa que sigue funcionando después de que todas las anteriores fallaron. Es, literalmente, lo último que te queda.
Tan seguido como datos estés dispuesto a perder: si tu operación no tolera perder más de una hora de trabajo, el backup tiene que correr al menos cada hora.
La réplica copia los cambios casi al instante para que el servicio siga funcionando si falla un equipo. El backup guarda versiones anteriores para poder volver atrás. Contra un error humano o un ransomware, el que salva es el backup.