El control número once de los CIS es el reconocimiento honesto de que todas las demás defensas pueden fallar. Por más que prevengas, algún día algo se colará: un ransomware, un borrado, un error, un desastre. La recuperación de datos es la red bajo el trapecista, lo que te permite volver a estar de pie cuando todo lo demás falló. Y el Control 11 es tajante en algo: no pide "tener respaldos", pide tener respaldos que de verdad funcionen cuando los necesites. Que son cosas muy distintas.
Por qué "tener respaldo" no es suficiente
Muchísimas organizaciones creen estar protegidas porque "hacen respaldos", y descubren en el peor momento que el respaldo estaba incompleto, corrupto, o que nunca supieron restaurarlo. Un respaldo que nunca se probó es una promesa, no una garantía —lo decimos sin rodeos en el backup que nunca se probó no es un backup—. Peor aún: el ransomware moderno busca y destruye los respaldos primero, sabiendo que son tu salvación. Un respaldo accesible desde la red comprometida puede ser cifrado junto con todo lo demás. Tener un archivo llamado "respaldo" no es recuperación; poder restaurar lo es.
Qué pide en la práctica
- Respaldos automáticos y regulares de los datos y sistemas importantes. Lo automático no se olvida; lo manual, sí.
- Respaldos protegidos: al menos una copia aislada o inmutable que un atacante no pueda alterar, y copias fuera de sitio, siguiendo la lógica de la regla 3-2-1.
- Pruebas de restauración periódicas: verificar que realmente puedes recuperar, y en cuánto tiempo. Es el paso que casi todos omiten y el único que prueba que el respaldo sirve.
El aterrizaje honesto
La recuperación es donde el optimismo se paga caro. Nadie prueba sus respaldos porque "seguro funcionan", hasta el día que no. La disciplina de restaurar de prueba, de proteger los respaldos del propio ataque, y de no confiar todo a un solo sistema, es lo que separa a quien se recupera de un ransomware en un día de quien pierde todo o paga el rescate. Este control es la última línea, y una última línea que no probaste no es una línea: es una esperanza.