¿Cuáles son las diferencias de protección entre la copia de seguridad externalizada y la recuperación gestionada en caso de catástrofe?

En los últimos diez años aproximadamente, las soluciones informáticas han ido evolucionando hacia el modelo "como servicio". Las soluciones de copia de seguridad y planes de recuperación ante desastres no son una excepción.

La copia de seguridad como servicio también se conoce como Backup as a Service (BaaS) y la recuperación de desastres como servicio también se conoce como Disaster Recovery as a Service (DRaaS). Estos servicios se refieren a soluciones proporcionadas por proveedores de servicios a las empresas.

Esto significa que los equipos de TI de la empresa no necesitan instalar y mantener las soluciones localmente en sus propios centros de datos. La gestión de las pruebas (reinicio, recuperación ante desastres, red) y el mantenimiento operativo de los servicios también pueden incluirse en la oferta de los proveedores de servicios.

Los departamentos de TI están en el centro de la elección de estas soluciones. Antes de tomar una decisión, deben comprender las diferentes opciones que se ofrecen y las implicaciones para la protección de sus datos. Estos dos métodos de protección, a menudo percibidos como similares, no cubren los mismos escenarios de riesgo.

Definición de Backup as a Service (BaaS)

Cada vez más proveedores de servicios ofrecen soluciones de copia de seguridad como servicio. Éstas corresponden a la compra de un servicio de copia de seguridad en línea, generalmente en una nube (pública, privada o privada).

BaaS puede cubrir varios ámbitos diferentes:

• copia de seguridad de archivos y carpetas
• copia de seguridad de un disco entero
• copia de seguridad de aplicaciones (Domain Controller, Exchange) o de bases de datos (SQL server, PostgreSQL, Oracle, etc.).

Los últimos avances en BaaS han permitido automatizar las pruebas de restauración o reinicio de servidores (completo/parcial). Estas pruebas pueden realizarse manualmente o a través de API o autómatas.

Definición de la recuperación de desastres como servicio (DRaaS)

El concepto de Planificación de la Reanudación del Negocio como Servicio es más reciente, pero se está expandiendo rápidamente al responder a nuevos problemas, como las ciberamenazas.

Se trata de un servicio completo prestado y administrado por un proveedor, basado en el modelo de la nube y que ofrece un tiempo de recuperación garantizado (RTO).

Estas soluciones aprovechan las principales ventajas de la nube (elasticidad, pago por uso) y reducen así los costes asociados al tamaño de la infraestructura.

Los perímetros abordados por estas soluciones DRaaS son potencialmente muy diferentes:

• En términos de SO cubiertos: mientras que las arquitecturas x86 están siempre cubiertas, los SO más raros (OS400, Unix propietario, etc.) sólo se soportan en raras ocasiones.
  
  
• Los tiempos de RTO (reinicio en caso de activación del DRP): las tecnologías utilizadas pueden ser muy diferentes, permitiendo RTOs desde algunas decenas de minutos (lo que se conoce como Plan de Continuidad en lugar de Plan de Recuperación) hasta algunas horas.
  
  
• Los servicios prestados: puede tratarse de un PRM parcialmente gestionado (el cliente se encarga de mantener las condiciones operativas y de realizar las pruebas del PRM de forma autónoma) o de un PRM totalmente gestionado por el proveedor (pruebas periódicas de reinicio del servidor, seguimiento de las copias de seguridad en la nube, etc.).

Es importante tener en cuenta estos diferentes elementos a la hora de elegir su solución. Por eso es necesario realizar un análisis previo , para saber qué necesita en términos de servidores a proteger, tiempos de reinicio y frescura de los datos.y frescura de los datos (RTO y RPO) y, por último, las necesidades de gestión, en función de la disponibilidad y competencias de sus equipos técnicos.

Riesgos cubiertos y no cubiertos por estas dos soluciones

Para comprender plenamente la diferencia entre estos dos servicios, primero debemos examinar los distintos riesgos que cada una de las dos soluciones aborda.

Vamos a analizar varios tipos de riesgos que deben cubrir la copia de seguridad (BaaS) y la recuperación en caso de catástrofe (DRaaS), desglosados por familias.

Situaciones de riesgo: pérdida o corrupción de datos

Pérdida o corrupción de archivos: puede deberse a un error del usuario o del ordenador, a un problema de hardware o a un error de procedimiento.

Preguntas en relación con el escenario de riesgo :

• Almacenamiento de copias de seguridad en la nube:
  • ¿Cuántas réplicas de los datos de las copias de seguridad se realizan en la nube (1, 2 o 3 réplicas?)?
  • ¿Se realizan réplicas de las copias de seguridad en la nube en varios DC remotos?
• Posibilidad o no de tener diferentes periodos de retención de las copias de seguridad:
• Por tipo de archivo,
• Conservando N versiones de cada archivo.

Escenarios de riesgo: pérdida o corrupción del sistema operativo (SO) o de la base de datos

Preguntas que deben plantearse en relación con el escenario de riesgo:

• ¿Existen mecanismos para realizar copias de seguridad de sistemas operativos Linux en contextos de infraestructura en los que no se pueden utilizar mecanismos de hipervisor (normalmente en nubes públicas o privadas)?
• ¿Tiene la solución la capacidad de hacer copias de seguridad sólo de determinados discos/particiones de la máquina para limitar la cantidad de datos de los que hay que hacer copia de seguridad y acelerar la recuperación?

Escenarios de riesgo: indisponibilidad total de uno o varios servidores

Preguntas que hay que plantearse en relación con el escenario de riesgo:

• Sin pruebas no hay salvación: ¿ha tenido en cuenta la solución la necesidad de realizar pruebas periódicas de reinicio del servidor (ya sean totalmente automáticas o manuales)? Se recomienda una frecuencia mínima de pruebas de reinicio anuales.
• Cuáles son los plazos de suministro de la infraestructura informática in situ: a menudo no son compatibles con las necesidades de la empresa (especialmente en la actualidad, con la escasez de componentes) y, por tanto, no permiten recrear una infraestructura in situ en un plazo aceptable.

Escenarios de riesgo: indisponibilidad del centro de datos

Centro de datos completamente indisponible, ya sea a raíz de una catástrofe (incendio, tormenta, inundación, atentado, etc.), o debido a la indisponibilidad a largo plazo de la red o de los fluidos (electricidad, climatización, etc.).

Preguntas sobre el escenario de riesgo:

Sin una prueba de DRP no hay salvación, por lo que hay que comprobar que se realizan pruebas de DRP periódicas: se recomienda una frecuencia de pruebas semestral o inferior.

Sus pruebas de DRP deben cubrir la recuperación de la infraestructura, las pruebas de red, la reconexión de los usuarios y las pruebas funcionales del espacio de recuperación por parte del usuario final.

Escenario de riesgo: ransomware en un servidor de archivos o servidores OS

Infección por ransomware a través de software malicioso propagado por correo electrónico, aprovechando una vulnerabilidad.

Preguntas que hay que hacerse sobre el escenario de riesgo:

• ¿La solución elegida tiene en cuenta la estanqueidad frente a un ataque de ransomware? El espacio de copia de seguridad no debe ser fácilmente accesible por el ransomware (por ejemplo, punto de montaje de Windows, etc.).
• El tiempo necesario para volver a poner en línea todas las copias de seguridad en la nube a través de la red debe corresponder a las necesidades de su empresa. La pregunta que hay que plantearse es: ¿permite la solución recuperar los datos localmente a través de cajas especializadas (tipo NAS, disco SSD, etc.) del proveedor de servicios?

Escenarios de riesgo: ciberataque sofisticado que combina varios mecanismos de ataque

Ataque construido que permite al atacante tomar el control de la infraestructura del cliente con derechos privilegiados.

Puntos a vigilar: la estanqueidad de las copias de seguridad en la nube se ha convertido en un problema importante en caso de ciberataque sofisticado.

Escenarios de riesgo: amenaza persistente avanzada o ataque latente

Infección por una APT o malware latente que puede activarse varios meses después de la infección, lo que requiere una larga conservación de los datos del sistema operativo (más de 6 meses).

Preguntas en relación con el escenario de riesgo:

• En este caso se trata más bien de archivar máquinas virtuales durante largos periodos (1 mes durante 24 meses, por ejemplo).
• La solución de reconstruir completamente el SO a veces no está disponible.

En resumen, los 3 buenos consejos

1 - Comprender los retos de la empresa

El primer consejo, como en muchos proyectos informáticos, es comprender bien los retos a los que se enfrenta la empresa:

• sus necesidades en materia de copias de seguridad (profundidad de las copias, mecanismos de archivo de datos, etc.),
• sus necesidades en términos de aplicaciones críticas que deben reiniciarse en caso de desastre o ciberataque:
  • priorizarlas (RTO),
  • definir la frescura de los datos necesarios (esencialmente bases de datos).

2 - Identificar los escenarios de riesgo a cubrir

A continuación, hay que identificar los escenarios de riesgo que deben cubrirse para las actividades y la infraestructura de la empresa (pérdida de datos, ransomware, pérdida del centro de datos):

• Este mapeo de riesgos revelará inevitablemente una tendencia: o bien una solución BaaS es suficiente, o bien existe la necesidad de DRaaS;
• Hacer validar esta cobertura de riesgos por la dirección. A pesar de su falta de comprensión cuando se trata de Backup y DRP, la cobertura de riesgos de TI es una cuestión importante de la que la dirección es muy consciente. Aunque puede que no entiendan nada sobre Backup y DRP, son cada vez más conscientes de los riesgos de TI que deben cubrirse.

3 - Identificar y expresar sus necesidades

Una vez identificados los riesgos que hay que cubrir, es hora de identificar los requisitos de la solución:

• En primer lugar, las expectativas del proveedor de servicios: ¿se desea una solución parcialmente gestionada o una solución totalmente gestionada con compromisos contractuales?
• Si se requiere copia de seguridad:
  • ¿Qué alcance debe tener: sistemas operativos, tipos de SGBD, etc.?
  • ¿Cómo deben cargarse inicialmente los datos (disponibilidad de un dispositivo dedicado)?
• En caso de plan de recuperación en caso de catástrofe :
  • ¿Qué servidores deben protegerse en caso de catástrofe y para cuáles bastará una solución de copia de seguridad?
  • ¿Cuáles son los requisitos específicos de la red: cómo se reconectan los sitios (MPLS, SD-Wan), los usuarios móviles (SSL VPN, etc.)?
  • ¿Cuáles son las especificidades en materia de seguridad: las soluciones de seguridad necesarias en caso de copia de seguridad?