Diseñar pensando en el ransomware

Los métodos de ataque cambian cada año; las preguntas de diseño no. Un arquitecto no predice qué usará quien ataque: fija un supuesto de pérdida y comprueba qué sobrevive. Un supuesto útil es concreto y acotado: «el grupo que administra producción deja de ser fiable». De él se desprende qué copias, qué identidades y qué herramientas quedan fuera de su alcance y, por tanto, de qué se parte para recuperar.

Lo que no sobrevive al supuesto no cuenta como protección. Una copia que administra el grupo supuesto perdido no es una copia en ese escenario, por lejos o por inmutable que se anuncie.

Es fácil proteger las copias y olvidar lo que las gobierna. La consola o el servicio que programa, mueve y borra las copias es, en la práctica, la llave de todas ellas: quien la controla puede acortar su retención, vaciarlas o apagar la programación. Una copia aislada gestionada desde una consola del grupo perdido está aislada solo en el papel.

La matriz de administración clasifica cada sistema por tipo. Mira cuáles son de gobierno de las copias, y no una copia en sí, y cuál alcanza el grupo del supuesto.

Si el supuesto elimina lo que alcanza el grupo de producción, la recuperación parte de las copias que no alcanza. De esas, la que sirve es la más reciente, y lo que se pierde es lo ocurrido desde su última ejecución hasta el momento del supuesto. El número es una pérdida de datos real y se puede decir en horas.

Lee el momento del supuesto y el programa de ejecución de las copias que sobreviven. La copia diaria y la cinta mensual dan puntos de partida muy distintos.

Un orden de recuperación es una lista de pasos, cada uno con lo que necesita ya restaurado. La comprobación es mecánica: recorrerlo en orden y marcar, en cada paso, si lo que necesita ya está en pie. Un paso que necesita algo que se restaura más abajo es un error de diseño del plan, y suele estar escrito por servicio y no por dependencia: se pone arriba lo que importa al negocio.

Recorre el orden propuesto por Operaciones con la lista de componentes y señala el paso que no se podría cumplir.

Restaurar dentro de la misma cuenta y el mismo directorio de producción obliga a confiar en lo que el supuesto declara no fiable. Un entorno de recuperación aislado —otra cuenta, otra identidad, plantillas de infraestructura guardadas fuera— permite empezar desde cero con garantías. No tiene que estar encendido todo el tiempo: tiene que existir, estar probado y costar poco en reposo.

Compara las tres propuestas con su costo mensual y elige la que da un punto de partida de confianza sin pagar un segundo sitio completo.