CIS Control 11: Recuperación de datos, el respaldo que sí te salva cuando todo falla

El control número once de los CIS es el reconocimiento honesto de que todas las demás defensas pueden fallar. Por más que prevengas, algún día algo se colará: un ransomware, un borrado, un error, un desastre. La recuperación de datos es la red bajo el trapecista, lo que te permite volver a estar de pie cuando todo lo demás falló. Y el Control 11 es tajante en algo: no pide "tener respaldos", pide tener respaldos que de verdad funcionen cuando los necesites. Que son cosas muy distintas.

Por qué "tener respaldo" no es suficiente

Muchísimas organizaciones creen estar protegidas porque "hacen respaldos", y descubren en el peor momento que el respaldo estaba incompleto, corrupto, o que nunca supieron restaurarlo. Un respaldo que nunca se probó es una promesa, no una garantía —lo decimos sin rodeos en el backup que nunca se probó no es un backup—. Peor aún: el ransomware moderno busca y destruye los respaldos primero, sabiendo que son tu salvación. Un respaldo accesible desde la red comprometida puede ser cifrado junto con todo lo demás. Tener un archivo llamado "respaldo" no es recuperación; poder restaurar lo es.

Qué pide en la práctica

• Respaldos automáticos y regulares de los datos y sistemas importantes. Lo automático no se olvida; lo manual, sí.
• Respaldos protegidos: al menos una copia aislada o inmutable que un atacante no pueda alterar, y copias fuera de sitio, siguiendo la lógica de la regla 3-2-1.
• Pruebas de restauración periódicas: verificar que realmente puedes recuperar, y en cuánto tiempo. Es el paso que casi todos omiten y el único que prueba que el respaldo sirve.

¿Qué salvaguardas incluye el Control 11 en CIS v8?

Es de los controles más cortos, con 5 salvaguardas, y casi todo está en el nivel básico.

CIS agrupa las salvaguardas en tres grupos de implementación. IG1 es la higiene básica que recomienda para cualquier organización; IG2 suma lo necesario para empresas con más sistemas, personal de TI y datos sensibles; IG3 completa el control para organizaciones con requisitos de seguridad altos.

• IG1 (11.1 a 11.4): un proceso documentado de recuperación de datos; respaldos automatizados al menos cada semana, o con mayor frecuencia según la sensibilidad de los datos; proteger los datos de recuperación con los mismos controles que los originales, incluido el cifrado; y mantener una instancia aislada de esos datos, fuera de línea, en la nube o fuera de sitio.
• IG2 (11.5): probar la recuperación al menos cada trimestre con una muestra de los activos incluidos.

Que la copia aislada esté en IG1 no es casualidad: CIS la considera básica porque es exactamente lo que separa a quien se recupera de un ransomware de quien no.

¿Cada cuánto respaldar? RPO primero, calendario después

La frecuencia semanal de CIS es un mínimo, no una recomendación universal. La pregunta correcta es cuánta información puedes darte el lujo de perder, lo que se conoce como RPO:

• Un sistema contable o un ERP normalmente no tolera perder un día de operación: respaldos diarios o varios al día.
• Una base de datos transaccional puede requerir respaldos de bitácora cada 15 minutos o menos.
• Un archivo documental que cambia poco puede quedar bien con la frecuencia semanal.

¿Qué verificar en la prueba trimestral?

1. Que el respaldo se restaura completo, no solo que el trabajo terminó en verde.
2. Que la aplicación arranca y los datos son consistentes después de restaurar.
3. Cuánto tardó, comparado con el tiempo que el negocio puede estar detenido.
4. Que la copia aislada también se puede recuperar, no solo la local.

¿Qué evidencia pide un auditor para el Control 11?

Si tu empresa busca SOC 2 o ISO 27001, este control no se trabaja dos veces. En la ISO 27001:2022 corresponde a el control 8.13 (respaldo de información), con apoyo de 5.30 (preparación de las TIC para la continuidad). La evidencia que normalmente se revisa:

• La política de respaldo con frecuencias, retención y objetivos de RPO y RTO.
• Los reportes de trabajos de respaldo de varios meses, con los fallos y su atención.
• Evidencia de la copia aislada o inmutable.
• Las actas de las pruebas de restauración: qué se restauró, cuánto tardó y si funcionó.
• El cifrado de los respaldos y quién tiene acceso a ellos.

Tener esto organizado desde el principio es lo que convierte el control en algo que se puede demostrar, no solo afirmar. La diferencia entre ambos marcos la explicamos en SOC 2 vs ISO 27001.

El aterrizaje honesto

La recuperación es donde el optimismo se paga caro. Nadie prueba sus respaldos porque "seguro funcionan", hasta el día que no. La disciplina de restaurar de prueba, de proteger los respaldos del propio ataque, y de no confiar todo a un solo sistema, es lo que separa a quien se recupera de un ransomware en un día de quien pierde todo o paga el rescate. Este control es la última línea, y una última línea que no probaste no es una línea: es una esperanza.