Las copias de seguridad y su integridad

Una copia sirve para recuperar tras un cifrado si cumple tres condiciones a la vez. Está fuera del alcance de las cuentas que el atacante pudo robar: una copia a la que se llega con una credencial del dominio la pierde quien tenga esa credencial. No se puede borrar ni alterar antes de su plazo, es decir, es inmutable por diseño y no por costumbre. Y su integridad se comprueba: el hash guardado al hacerla coincide con el que se calcula hoy, y se ha probado que restaura.

La regla de las tres copias, en dos medios distintos y una de ellas fuera de la red, resume la idea: cuando falla una, hay otra que no comparte su causa. Una copia no probada es una esperanza, no un respaldo.

Elegir la copia no es elegir la más reciente. Se descartan las que fueron borradas, las que no son inmutables o fallan la comprobación del hash, y las que se hicieron cuando el atacante ya estaba dentro, porque pueden traer su acceso a salvo. La investigación fecha el primer indicio de la intrusión; la copia que se restaura se hizo antes de esa fecha, y cumple todo lo demás.

Es un cruce de dos tablas: lo que dice el catálogo de cada copia y la fecha del primer indicio. Ninguna de las dos basta sola.

Abre catalogo_de_copias y indicios_de_la_intrusion.

Toda copia deja una ventana de datos que no recupera: lo que se escribió entre el momento de la copia y el momento del cifrado. Esa ventana se mide en horas y es la cifra que la gerencia necesita para decidir. Las áreas que trabajaron en esas horas tendrán que rehacerlo: pedidos, facturas, documentos.

El cálculo cuenta desde la hora de la copia que se restaura hasta la hora en que empezó el cambio masivo de archivos en el servidor de archivos. Cuenta con cuidado los días: la ventana cruza un fin de semana.

A las 06:31 desapareció la serie nocturna del servidor de copias, y la hizo la misma cuenta que se había movido por los servidores. Lo que se ve en el catálogo es lo que pasa cuando las copias viven en la misma red y con las mismas credenciales que lo que protegen: el atacante no necesita cifrar las copias si puede borrarlas. Lo que salvó los datos fue la bóveda con bloqueo, que ninguna cuenta del dominio podía vaciar.

La lección es de diseño, no de culpas: se escribe en el informe como una causa que se corrige, no como el error de una persona.

Cada sistema necesita su propia copia utilizable, y eso se comprueba sistema por sistema, no mirando el catálogo en conjunto. Un catálogo con muchas filas presentes puede esconder un sistema cuya única copia estaba en el lugar que se borró. Saberlo cambia el plan: ese sistema no se restaura, se reconstruye, y su tiempo de recuperación es otro.

Mira la columna de alcance de cada copia presente y busca qué sistema no aparece en ninguna.