Copias aisladas e inmutables

Una copia aislada vive fuera del alcance de quien administra producción: otra cuenta, otro directorio, otras credenciales. Una copia inmutable no se puede modificar ni borrar durante un plazo, ni siquiera con permisos de administrador, porque el propio almacenamiento lo impide hasta que vence el bloqueo. Son defensas distintas que se complementan: la primera evita que alguien llegue; la segunda hace inútil llegar.

Estar en «otra ubicación» no es ninguna de las dos. Una réplica en otra zona o región protege de que se apague un centro de datos, pero si la administra el mismo grupo con el mismo inicio de sesión, un solo acceso comprometido alcanza el original y las copias.

Mirar dónde está una copia es solo la mitad. Lo que decide si sobrevive es quién puede borrarla y con qué identidad. Si el grupo que opera producción también administra la copia, esta se pierde en el mismo mal día que el original, aunque esté en otra zona.

El inventario dice qué copias están fuera del clúster de producción y el archivo de identidades dice quién administra cada una. Cruza los dos.

El plazo de bloqueo de una copia inmutable tiene que ser más largo que el tiempo que se tarda en darse cuenta de que algo salió mal. Si un cambio indebido se descubre a los 40 días y la copia limpia solo estuvo protegida 25, cuando por fin se necesita ya se pudo borrar. El número que importa no es cuánto dura el bloqueo, sino cuánto tarda la empresa en enterarse.

El registro de Seguridad guarda los cambios no autorizados que la empresa detectó en el pasado y cuántos días pasaron hasta descubrirlos. Es la evidencia con que se dimensiona el bloqueo.

Una copia sin prueba de restauración es una creencia. Se sabe que se hizo, no que sirve: un formato que cambió, una clave que ya no está o una cinta que no se lee solo aparecen cuando alguien intenta usarla. Por eso el inventario de un arquitecto lleva siempre la fecha de la última restauración probada, y una copia sin esa fecha cuenta como no verificada.

Hay tres maneras de reaccionar ante una copia que comparte llaves con producción: ponerle más copias del mismo tipo, alargarle la retención o separarle la administración. Las dos primeras agrandan lo que se pierde de golpe si alguien con acceso a producción llega a borrar; la tercera cambia quién puede hacerlo. La mejor inversión es la que cambia la pregunta de seguridad, no la que añade más de lo mismo.

Abre las propuestas de Seguridad y su costo mensual. Escoge la que cambia quién puede borrar C-02.